后门.MSIL.ClipBanker.BMA
威胁评分卡
EnigmaSoft 威胁记分卡
EnigmaSoft 威胁记分卡是针对不同恶意软件威胁的评估报告，由我们的研究团队收集和分析。 EnigmaSoft 威胁记分卡使用多个指标对威胁进行评估和排名，包括现实世界和潜在风险因素、趋势、频率、普遍性和持续性。 EnigmaSoft 威胁记分卡会根据我们的研究数据和指标定期更新，对广泛的计算机用户有用，从寻求解决方案以从系统中删除恶意软件的最终用户到分析威胁的安全专家。
EnigmaSoft 威胁记分卡显示各种有用的信息，包括：
流行度排名： EnigmaSoft威胁数据库中特定威胁的排名。
严重性级别：根据我们的风险建模过程和研究，确定的对象的严重性级别，以数字形式表示，如我们的威胁评估标准中所述。
受感染计算机： SpyHunter 报告的在受感染计算机上检测到的特定威胁的确认和疑似案例数量。
另请参阅威胁评估标准。
| 人气排名： | 23,370 |
| 威胁级别： | 60 % (中等的) |
| 初见： | April 24, 2024 |
| 最后一次露面： | September 7, 2026 |
| 受影响的操作系统： | Windows |
Backdoor.MSIL.ClipBanker.BMA是一种基于 Windows 的后门威胁，它使网络犯罪分子能够未经授权远程访问受感染的计算机，同时还具有与剪贴板劫持恶意软件相关的常见特征。尽管它占用磁盘空间相对较小，但其危险等级被评为 6 级（满分 10 级），这反映出它能够悄无声息地损害受害者的隐私、安全和财务安全。
目录
Backdoor.MSIL.ClipBanker.BMA 的作用
与其他后门威胁一样，Backdoor.MSIL.ClipBanker.BMA 旨在绕过正常的身份验证和安全控制，使攻击者能够在用户不知情或未经同意的情况下远程访问受感染的系统。它可以利用已安装程序中的漏洞，也可以伪装成合法应用程序以避免引起怀疑。该恶意软件被构建为一个没有数字签名和版本信息的 Windows 原生可执行文件，这使得它能够混入普通的系统文件中，普通用户更难将其与合法软件区分开来。
一旦激活，此类后门通常允许攻击者执行命令、安装其他恶意组件、监控用户活动或从受感染的计算机窃取数据。“ClipBanker”是其名称中的“ClipBanker”部分，它与一类威胁相关，这类威胁通常会监控 Windows 剪贴板，查找复制的信息（例如加密货币钱包地址或其他敏感数据），并在受害者不知情的情况下将其替换为攻击者控制的内容，从而重定向交易或窃取的信息。此外，还观察到该威胁会与命名管道和系统事务日志文件交互，这与攻击者试图在受感染的系统上保持持久性和进行隐蔽通信的意图相符。
它通常是如何进入电脑的
此类后门程序通常通过欺骗性下载、与盗版或破解软件捆绑、恶意电子邮件附件、受感染的移动存储设备或利用已安装程序中未修补的漏洞传播。某些变种通过rootkit、蠕虫或其他恶意软件传播，从而为二次感染打开方便之门。由于该文件没有数字签名，因此从非官方或不可信来源下载软件的用户面临更高的感染风险。
用户面临的风险
后门感染一旦发生，后果可能十分严重。攻击者可能获得对系统的持久远程控制权，窃取个人或财务信息，安装其他恶意软件，或利用受感染的计算机发起其他攻击。鉴于其与剪贴板相关的特性，如果敏感的复制数据（例如支付或钱包详细信息）在传输过程中被篡改或窃取，受害者也可能面临直接的经济损失。
感染迹象
后门程序通常隐蔽运行，但用户可能会注意到系统运行异常缓慢、网络活动异常频繁、后台运行着陌生的进程、安全工具被禁用，或者剪贴板内容与原始复制内容不符。无法解释的登录尝试或系统设置被篡改也可能是警示信号。
如何做好防护
为了降低感染风险，请确保您的操作系统和所有已安装的软件保持最新状态，避免从非官方来源下载程序，并谨慎对待来自未知发件人的电子邮件附件和链接。定期备份重要数据，使用强密码和唯一密码，并在确认之前仔细监控依赖剪贴板的交易（尤其是金融交易）。运行信誉良好且最新的安全软件并定期进行系统扫描仍然是防止此类后门程序入侵计算机的关键。
分析报告
一般信息
| 姓： | Backdoor.MSIL.ClipBanker.BMA |
|---|---|
| 签名状态： | No Signature |
已知样本
已知样本
本节列出了其他据信与该家族有关的文件样本。|
MD5:
7079c2cd1b63ce9ca3a9db69b7a8ead1
SHA1:
52f41ed64f380a5348d06cebd956d242616ebcc0
SHA256:
AAD7020E6A895174AB771C244E757F3F83F213217C00B93080069709CAF7C6E4
文件大小:
714.24 KB,714240字节
|
Windows 可移植可执行文件属性
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have exports table
- File doesn't have security information
- File has TLS information
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
Show 2 more
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
文件图标
文件图标
本部分展示了在恶意软件家族样本中找到的图标资源。恶意软件通常会复制与合法软件相关的图标，以误导用户，使其误以为该恶意软件是安全的。
文件特征
- No Version Info
- x86
区块信息
区块信息
在分析过程中，EnigmaSoft 会将文件样本分解成逻辑块，以便进行分类并与其他样本进行比较。这些逻辑块可用于生成恶意软件检测规则，并根据共享的源代码、功能以及其他显著属性和特征将文件样本分组到不同的家族中。本节概述了这些逻辑块数据及其 EnigmaSoft 分类结果。如果可用，还会显示逻辑块数据的可视化表示。| 总区块数： | 1,890 |
|---|---|
| 潜在恶意块： | 2 |
| 白名单区块： | 1,868 |
| 未知区块： | 20 |
可视化地图
? - 未知区块
x - 潜在恶意拦截
相似家庭
相似家庭
本节根据 EnigmaSoft 的分析，列出了与此恶意软件家族具有相似性的其他家族。许多恶意软件家族都基于相同的恶意软件工具包创建，并使用相同的打包和加密技术，但各自扩展了独特的功能。相似的家族可能共享源代码、属性、图标、子组件、受损和/或无效的数字签名以及网络特征。研究人员利用这些相似性来快速有效地对文件样本进行分类，并扩展恶意软件检测规则。- Banload.XT
- Downloader.Delf.F
- Gimemo.E
- Injector.XF
- Trojan.Injector.Gen.INT
Show 1 more
- ZBot.XGA
文件已修改
文件已修改
本节列出了该系列样本创建、修改、移动和/或删除的文件。文件系统活动可以帮助我们深入了解恶意软件在操作系统上的运行方式。| 文件 | 属性 |
|---|---|
| \device\namedpipe\gmdasllogger | Generic Write,Read Attributes |
| c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.1.regtrans-ms | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.2.regtrans-ms | Generic Read,Write Data,Write Attributes,Write extended,Append data |
Windows API 使用情况
Windows API 使用情况
本节列出了此系列样本使用的 Windows API 调用。Windows API 使用情况分析是一项宝贵的工具，可以帮助识别恶意活动，例如键盘记录、安全权限提升、数据加密、数据泄露、干扰防病毒软件以及网络请求篡改。| 类别 | API |
|---|---|
| User Data Access |
|