后门.黑月.L
Backdoor.Blackmoon.L是一种恶意软件，属于后门木马。与其他此类威胁一样，它旨在秘密渗透计算机系统，并授予远程攻击者未经授权的访问权限，使他们能够控制受感染的计算机并在用户不知情或未经同意的情况下执行有害操作。
目录
Backdoor.Blackmoon.L 的作用
作为一种后门威胁，Backdoor.Blackmoon.L 通过在受感染计算机和网络犯罪分子控制的远程服务器之间建立隐藏连接来运作。这种连接通常允许攻击者向受感染的计算机发出命令，从而使他们能够像拥有物理访问权限一样操纵系统。此类后门通常用于下载和安装其他恶意文件、窃取设备上存储的敏感数据、监控用户活动，甚至将受感染的计算机作为更大的受感染计算机网络的一部分。由于后门感染通常在后台静默运行，因此可以长时间不被察觉，使攻击者能够持续不断地进行恶意操作。
Backdoor.Blackmoon.L 通常如何传播
这类后门威胁通常通过欺骗手段而非利用显而易见的安全漏洞入侵计算机。常见的后门感染途径包括伪装成合法文档的恶意电子邮件附件、来自不可信来源的捆绑软件下载、虚假软件更新、破解或盗版应用程序以及嵌入在钓鱼邮件中的链接。用户也可能因访问被入侵的网站或点击恶意广告而感染。在许多情况下，受害者在被诱骗下载安全或有用的文件后，不知不觉地安装了后门。
用户面临的风险
系统中存在后门会带来严重风险。一旦安装，这类恶意软件就能让攻击者窃取个人和财务信息，包括登录凭证、银行账户信息和其他敏感数据。它还可能被用于安装其他恶意软件，例如勒索软件、间谍软件或加密货币挖矿程序，进一步损害系统的安全性和性能。此外，受感染的计算机可能被纳入僵尸网络，在用户不知情的情况下攻击其他系统或散布垃圾邮件。后门感染造成的财务、隐私和安全影响可能十分重大且持久。
感染迹象
后门感染通常旨在保持隐蔽，但用户可能会注意到一些警告信号。这些信号包括系统性能无故下降、异常网络活动或数据使用量增加、程序意外启动或关闭、系统设置未经用户干预而发生更改，以及出现陌生的文件或进程。部分用户还可能遇到意外崩溃，或发现安全软件在未经其许可的情况下被禁用。
如何做好防护
为了降低感染 Backdoor.Blackmoon.L 等后门威胁的风险，用户应避免从非官方或未经核实的来源下载软件，不要打开来自未知发件人的电子邮件附件或点击链接，并及时更新操作系统和应用程序，安装最新的安全补丁。强烈建议使用信誉良好的安全解决方案来扫描和检测恶意软件。养成安全的浏览习惯，谨慎下载免费软件，并定期备份重要数据，这些都有助于最大限度地减少后门感染可能造成的损害。
分析报告
一般信息
| 姓： | Backdoor.Blackmoon.L |
|---|---|
| 签名状态： | No Signature |
已知样本
已知样本
本节列出了其他据信与该家族有关的文件样本。|
MD5:
ea938129a2a2081fb42b6459539cccdf
SHA1:
ede4b8586e4a4d569c566b481e22de4023672d5b
SHA256:
69B597D51B42D5E12F970A409DA903B955F5B0B20FB5DDDB2730CA0F1B351DF8
文件大小:
1.17 MB,1171456字节
|
Windows 可移植可执行文件属性
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have exports table
- File doesn't have relocations information
- File doesn't have security information
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
显示更多
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
文件图标
文件图标
本部分展示了在恶意软件家族样本中找到的图标资源。恶意软件通常会复制与合法软件相关的图标，以误导用户，使其误以为该恶意软件是安全的。
文件特征
- 2+ executable sections
- HighEntropy
- No Version Info
- x86
区块信息
区块信息
在分析过程中，EnigmaSoft 会将文件样本分解成逻辑块，以便进行分类并与其他样本进行比较。这些逻辑块可用于生成恶意软件检测规则，并根据共享的源代码、功能以及其他显著属性和特征将文件样本分组到不同的家族中。本节概述了这些逻辑块数据及其 EnigmaSoft 分类结果。如果可用，还会显示逻辑块数据的可视化表示。| 总区块数： | 728 |
|---|---|
| 潜在恶意块： | 419 |
| 白名单区块： | 309 |
| 未知区块： | 0 |
可视化地图
0
x
x
x
x
x
0
x
x
0
0
x
x
x
x
0
x
x
0
x
x
x
x
x
x
x
0
x
x
0
x
x
0
x
x
x
x
x
0
x
x
x
x
0
x
x
x
x
x
x
x
0
x
0
0
x
x
x
x
0
x
x
x
1
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
0
x
x
x
x
0
x
x
x
0
x
0
x
x
x
x
x
0
x
x
0
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
0
x
0
x
x
x
0
x
x
x
x
x
x
x
x
x
x
0
x
0
x
0
0
x
x
0
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
0
0
x
x
x
0
x
x
0
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
0
0
x
x
x
x
x
x
0
x
x
x
x
x
x
x
x
x
x
x
x
x
0
0
x
x
x
0
x
x
x
x
0
x
x
x
x
0
0
x
0
0
0
0
0
0
0
x
x
x
x
x
0
0
x
0
x
x
x
x
x
x
x
x
x
0
x
x
x
x
0
x
x
x
x
x
x
x
x
x
x
x
0
x
x
x
x
x
0
0
0
x
x
x
x
x
x
x
0
x
x
0
x
x
x
x
0
x
x
x
x
x
x
x
0
x
x
x
x
x
x
x
x
x
x
x
x
x
0
x
x
x
x
x
0
x
x
x
x
x
x
x
x
x
x
x
0
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
0
x
x
x
x
x
x
x
x
x
0
x
x
x
x
x
x
x
x
x
x
x
x
0
x
x
x
0
0
x
x
x
x
x
x
0
0
x
x
0
0
0
x
x
x
x
x
x
x
0
x
x
x
x
0
x
x
x
x
x
x
x
x
x
x
x
x
0
x
x
x
x
0
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
x
0
x
0
x
x
0
x
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
1
1
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
1
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
1
1
0
0
0
0
0
0
0
0
0
0
0
0
1
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
1
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0
0 - 可能的保险箱
? - 未知区块
x - 潜在恶意拦截
? - 未知区块
x - 潜在恶意拦截
相似家庭
相似家庭
本节根据 EnigmaSoft 的分析，列出了与此恶意软件家族具有相似性的其他家族。许多恶意软件家族都基于相同的恶意软件工具包创建，并使用相同的打包和加密技术，但各自扩展了独特的功能。相似的家族可能共享源代码、属性、图标、子组件、受损和/或无效的数字签名以及网络特征。研究人员利用这些相似性来快速有效地对文件样本进行分类，并扩展恶意软件检测规则。- Blackmoon.L
文件已修改
文件已修改
本节列出了该系列样本创建、修改、移动和/或删除的文件。文件系统活动可以帮助我们深入了解恶意软件在操作系统上的运行方式。| 文件 | 属性 |
|---|---|
| \device\namedpipe\gmdasllogger | Generic Write,Read Attributes |
| c:\users\user\downloads\ede4b8586e4a4d569c566b481e22de4023672d5b_0001171cfg | Generic Write,Read Attributes |
| c:\users\user\downloads\ede4b8586e4a4d569c566b481e22de4023672d5b_0001171cfg | Synchronize,Write Attributes |
注册表修改
注册表修改
本节列出了此系列样本创建、修改和/或删除的注册表项和值。Windows 注册表活动可以提供关于恶意软件功能的宝贵信息。此外，恶意软件通常会创建注册表值，以便在初始感染系统后自动启动并无限期地持续存在。| 键::值 | 数据 | API名称 |
|---|---|---|
| HKCU\system\currentcontrolset\control\mediaproperties\privateproperties\directinput\vid_0627&pid_0001\calibration\0::guid | ج�����DEST | RegNtPreCreateKey |
| HKCU\software\microsoft\directinput\mostrecentapplication::version | Ԋ | RegNtPreCreateKey |
| HKCU\software\microsoft\directinput\mostrecentapplication::name | EDE4B8586E4A4D569C566B481E22DE4023672D5B_0001171456 | RegNtPreCreateKey |
| HKCU\software\microsoft\directinput\mostrecentapplication::id | EDE4B8586E4A4D569C566B481E22DE4023672D5B_0001171456445B839A0011E000 | RegNtPreCreateKey |
| HKCU\software\microsoft\directinput\mostrecentapplication::mostrecentstart | 慇摤仵ǝ | RegNtPreCreateKey |
| HKCU\software\microsoft\ctf\msutb::left | Դ | RegNtPreCreateKey |
| HKCU\software\microsoft\ctf\msutb::top | RegNtPreCreateKey |
Windows API 使用情况
Windows API 使用情况
本节列出了此系列样本使用的 Windows API 调用。Windows API 使用情况分析是一项宝贵的工具，可以帮助识别恶意活动，例如键盘记录、安全权限提升、数据加密、数据泄露、干扰防病毒软件以及网络请求篡改。| 类别 | API |
|---|---|
| Other Suspicious |
|
| Keyboard Access |
|
