威胁数据库 后门 后门.比弗罗斯.C

后门.比弗罗斯.C

通过CagedTech在 后门
发布时间：
翻译为：

威胁评分卡

人气排名： 21,317
威胁级别： 60 % (中等的)
受感染的计算机： 37
初见： May 9, 2019
最后一次露面： October 18, 2026
受影响的操作系统： Windows

Backdoor.Bifrose.C 是一款恶意程序，被归类为后门程序，旨在让远程攻击者未经授权访问 Windows 计算机，同时试图对用户和安全软件保持隐蔽。一旦激活，它会悄无声息地打开一个通道，网络犯罪分子可以利用该通道控制受感染的计算机，而且通常不会出现任何明显的异常迹象。据观察，该程序主要针对 Windows 系统，并且由于其能够赋予攻击者相当程度的控制权，因此被认为是一种中等到严重的威胁。

Backdoor.Bifrose.C 的作用

Backdoor.Bifrose.C 旨在绕过受感染系统上的正常身份验证流程，使攻击者能够有效绕过常规的登录和安全检查。它可能会伪装成合法的已安装程序或组件，以避免引起怀疑。技术分析表明，该威胁是一个原生 Windows 可执行文件，能够操纵正在运行的进程，并使用底层系统调用与内存和文件交互。这些技术通常被恶意软件用于保持隐蔽性并逃避安全工具的检测。此外，它还被发现采用了反调试行为，这有助于其抵抗研究人员的分析并躲避监控工具。在已观察到的案例中，该恶意软件通过诸如 rundll32.exe 之类的合法 Windows 实用程序启动，这种技术可以帮助它融入正常的系统活动，使用户或基本安全工具更难发现它。

它通常是如何进入电脑的

像 Backdoor.Bifrose.C 这样的后门程序通常利用系统已安装软件中的漏洞进行传播，尤其偏爱过时或未打补丁的程序。它也可能与其他恶意程序（例如病毒、蠕虫或 rootkit）捆绑在一起，或者在用户被诱骗打开受感染文件后植入系统。这些恶意程序通常通过欺骗性下载、恶意电子邮件附件或被入侵的网站传播。由于它可以伪装成合法的已安装软件，用户可能并未意识到自己已经将其引入了计算机。

用户面临的风险

一旦安装，Backdoor.Bifrose.C 就能让攻击者远程、未经授权地访问受感染的计算机。这可能导致一系列有害后果，包括窃取个人或财务信息、安装其他恶意软件、未经授权地监控用户活动以及滥用计算机资源进行进一步攻击。由于后门程序旨在隐蔽运行，因此被入侵的系统可以在用户毫无察觉的情况下长时间处于攻击者的控制之下。

感染迹象

后门程序的设计初衷就是为了逃避检测，因此其症状往往不明显甚至没有。用户应警惕诸如系统运行速度异常变慢、后台运行着陌生进程、网络活动异常、程序无故启动或安全工具意外禁用等警告信号。任何无法解释的系统行为变化都应被视为潜在的危险信号。

如何做好防护

为了降低感染风险，请确保您的操作系统和所有已安装的软件保持最新状态，因为 Backdoor.Bifrose.C 和类似的威胁通常利用未修补的漏洞。避免从不可信的来源下载文件或程序，并对电子邮件附件和链接保持谨慎，即使它们看似来自熟悉的联系人。定期备份重要数据，使用信誉良好的安全解决方案扫描您的系统，并监控异常进程活动。养成安全的浏览习惯并保持安全防护措施的更新是保护您的计算机免受此类后门威胁的关键步骤。

分析报告

一般信息

姓： Backdoor.Bifrose.C
签名状态： No Signature

已知样本

MD5: 3adf466718a21cb121b1b5895f488534
SHA1: e4a30920d7eef80e0069ccdc437c82b7e7da32fd
SHA256: 6DF80860F39D1A4714CD9189CE931C602C88D0FE1820701CA2FD471990BCD8E2
文件大小: 270.34 KB,270336字节

Windows 可移植可执行文件属性

  • File doesn't have "Rich" header
  • File doesn't have debug information
  • File doesn't have security information
  • File has exports table
  • File is 32-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is Native application (NOT .NET application)
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
显示更多
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

文件特征

  • 00 section
  • dll
  • x86

区块信息

总区块数： 499
潜在恶意块： 1
白名单区块： 371
未知区块： 127

可视化地图

? ? 0 ? ? ? 0 ? ? ? ? ? ? ? ? 0 ? 0 ? ? ? ? ? ? ? ? ? ? ? ? x ? ? ? ? ? ? ? ? ? ? ? ? 0 0 0 0 0 0 0 0 ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? 0 ? ? ? ? ? 0 ? ? ? ? ? ? ? ? ? ? ? ? ? ? 0 0 ? ? ? ? ? ? ? ? ? ? 0 ? ? ? ? 0 ? ? 0 ? ? ? ? ? ? ? ? ? ? ? ? ? 0 0 ? ? ? ? ? ? ? ? ? 0 0 ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? 0 0 1 1 0 0 0 0 0 0 1 1 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0
0 - 可能的保险箱
? - 未知区块
x - 潜在恶意拦截

Windows API 使用情况

类别 API
Syscall Use
  • ntdll.dll!NtAlpcSendWaitReceivePort
  • ntdll.dll!NtClose
  • ntdll.dll!NtCreateFile
  • ntdll.dll!NtCreateSection
  • ntdll.dll!NtFreeVirtualMemory
  • ntdll.dll!NtMapViewOfSection
  • ntdll.dll!NtOpenFile
  • ntdll.dll!NtOpenKey
  • ntdll.dll!NtOpenProcessToken
  • ntdll.dll!NtQueryAttributesFile
显示更多
  • ntdll.dll!NtQueryDebugFilterState
  • ntdll.dll!NtQueryInformationProcess
  • ntdll.dll!NtQueryInformationToken
  • ntdll.dll!NtQuerySystemInformationEx
  • ntdll.dll!NtQueryValueKey
  • ntdll.dll!NtQueryVirtualMemory
  • ntdll.dll!NtQueryVolumeInformationFile
  • ntdll.dll!NtReadFile
  • ntdll.dll!NtSetEvent
  • ntdll.dll!NtSetInformationFile
  • ntdll.dll!NtSetInformationProcess
  • ntdll.dll!NtSetInformationVirtualMemory
  • ntdll.dll!NtSetInformationWorkerFactory
  • ntdll.dll!NtTestAlert
  • ntdll.dll!NtTraceControl
  • ntdll.dll!NtUnmapViewOfSection
  • ntdll.dll!NtWaitForSingleObject
  • ntdll.dll!NtWriteFile
Process Manipulation Evasion
  • NtUnmapViewOfSection
Process Shell Execute
  • CreateProcess
Anti Debug
  • NtQuerySystemInformation

Shell命令执行

C:\WINDOWS\SysWOW64\rundll32.exe C:\WINDOWS\system32\rundll32.exe c:\users\user\downloads\e4a30920d7eef80e0069ccdc437c82b7e7da32fd_0000270336.,LiQMAxHB