Données concernant les menaces Portes dérobées Backdoor.Bifrose.C

Backdoor.Bifrose.C

Par CagedTech en Portes dérobées
Publié :
Se traduisent par :

Fiche d'évaluation menace

Classement de popularité : 21,317
Niveau de menace: 60 % (Moyen)
Ordinateurs infectés : 37
Vu la première fois: May 9, 2019
Vu pour la dernière fois : October 18, 2026
Systèmes d'exploitation concernés: Windows

Backdoor.Bifrose.C est un programme malveillant de type porte dérobée, conçu pour permettre à des attaquants distants d'accéder sans autorisation à un ordinateur Windows tout en restant invisible à l'utilisateur et aux logiciels de sécurité. Une fois activé, il ouvre discrètement un canal permettant aux cybercriminels de contrôler la machine infectée, souvent sans aucun signe apparent d'anomalie. Observé ciblant les systèmes Windows, il est considéré comme une menace de gravité moyenne à élevée en raison du niveau de contrôle qu'il confère aux attaquants.

Que fait Backdoor.Bifrose.C ?

Le malware Backdoor.Bifrose.C est conçu pour contourner les processus d'authentification classiques sur un système compromis, permettant ainsi à un attaquant de passer outre les contrôles de connexion et de sécurité habituels. Il peut se dissimuler sous l'apparence d'un programme ou d'un composant légitime installé afin d'éviter d'éveiller les soupçons. L'analyse technique révèle que cette menace est un exécutable Windows natif capable de manipuler les processus en cours d'exécution et d'utiliser des appels système de bas niveau pour interagir avec la mémoire et les fichiers, des techniques couramment employées par les logiciels malveillants pour rester furtifs et échapper à la détection par les outils de sécurité. Il a également été observé qu'il utilise un comportement anti-débogage, ce qui lui permet de résister à l'analyse des chercheurs et de contourner les outils de surveillance. Dans les cas observés, le malware a été lancé via des utilitaires Windows légitimes tels que rundll32.exe, une technique qui lui permet de se fondre dans l'activité système normale et de passer inaperçu auprès des utilisateurs ou des outils de sécurité de base.

Comment cela se retrouve généralement sur les ordinateurs

Les portes dérobées comme Backdoor.Bifrose.C se propagent généralement en exploitant les vulnérabilités des logiciels déjà installés sur un système, notamment les programmes obsolètes ou non mis à jour. Elles peuvent également être intégrées à d'autres charges utiles malveillantes, telles que des virus, des vers ou des rootkits, ou encore être installées sur un système après qu'un utilisateur a été incité à ouvrir un fichier infecté, souvent via des téléchargements trompeurs, des pièces jointes malveillantes ou des sites web compromis. Comme elles peuvent se présenter sous la forme d'un logiciel installé légitime, les utilisateurs peuvent ne pas se rendre compte de leur présence sur leur ordinateur.

Risques pour l’utilisateur

Une fois installée, la porte dérobée Backdoor.Bifrose.C permet aux attaquants d'accéder à distance et sans autorisation à l'ordinateur infecté. Ceci peut entraîner diverses conséquences néfastes, telles que le vol d'informations personnelles ou financières, l'installation de logiciels malveillants supplémentaires, la surveillance non autorisée de l'activité de l'utilisateur et l'utilisation abusive des ressources de l'ordinateur pour de nouvelles attaques. Les portes dérobées étant conçues pour fonctionner de manière furtive, un système compromis peut rester sous le contrôle d'un attaquant pendant une période prolongée sans que l'utilisateur ne s'en aperçoive.

Signes d’infection

Les portes dérobées sont conçues pour être indétectables ; les symptômes visibles sont donc souvent minimes, voire inexistants. Les utilisateurs doivent être attentifs aux signes avant-coureurs tels que des ralentissements inattendus, des processus inconnus s'exécutant en arrière-plan, une activité réseau inhabituelle, le lancement de programmes sans explication ou la désactivation inopinée d'outils de sécurité. Tout changement inexpliqué du comportement du système doit être considéré comme un signal d'alarme potentiel.

Comment rester protégé

Pour réduire les risques d'infection, assurez-vous que votre système d'exploitation et tous vos logiciels installés soient toujours à jour, car Backdoor.Bifrose.C et les menaces similaires exploitent souvent des failles de sécurité non corrigées. Évitez de télécharger des fichiers ou des programmes provenant de sources non fiables et soyez vigilant face aux pièces jointes et aux liens contenus dans les courriels, même s'ils semblent provenir de contacts connus. Sauvegardez régulièrement vos données importantes, utilisez une solution de sécurité reconnue pour analyser votre système et surveillez toute activité inhabituelle. Adopter de bonnes pratiques de navigation et maintenir vos protections à jour sont des mesures essentielles pour protéger votre ordinateur contre les menaces de type porte dérobée.

Bulletin d'analyse

Informations générales

Nom de famille : Backdoor.Bifrose.C
Statut de la signature : No Signature

Échantillons connus

MD5: 3adf466718a21cb121b1b5895f488534
SHA1: e4a30920d7eef80e0069ccdc437c82b7e7da32fd
SHA256: 6DF80860F39D1A4714CD9189CE931C602C88D0FE1820701CA2FD471990BCD8E2
Taille du fichier: 270.34 KB 270336 octets

Attributs des exécutables portables Windows

  • File doesn't have "Rich" header
  • File doesn't have debug information
  • File doesn't have security information
  • File has exports table
  • File is 32-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is Native application (NOT .NET application)
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
Afficher plus
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Caractéristiques du fichier

  • 00 section
  • dll
  • x86

Informations sur le bloc

Nombre total de blocs : 499
Blocages potentiellement malveillants : 1
Blocs autorisés : 371
Blocs inconnus : 127

Carte visuelle

? ? 0 ? ? ? 0 ? ? ? ? ? ? ? ? 0 ? 0 ? ? ? ? ? ? ? ? ? ? ? ? x ? ? ? ? ? ? ? ? ? ? ? ? 0 0 0 0 0 0 0 0 ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? 0 ? ? ? ? ? 0 ? ? ? ? ? ? ? ? ? ? ? ? ? ? 0 0 ? ? ? ? ? ? ? ? ? ? 0 ? ? ? ? 0 ? ? 0 ? ? ? ? ? ? ? ? ? ? ? ? ? 0 0 ? ? ? ? ? ? ? ? ? 0 0 ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? 0 0 1 1 0 0 0 0 0 0 1 1 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0
0 - Blocage probable du coffre-fort
? - Bloc inconnu
x - Blocage potentiellement malveillant

Utilisation de l’API Windows

Catégorie API
Syscall Use
  • ntdll.dll!NtAlpcSendWaitReceivePort
  • ntdll.dll!NtClose
  • ntdll.dll!NtCreateFile
  • ntdll.dll!NtCreateSection
  • ntdll.dll!NtFreeVirtualMemory
  • ntdll.dll!NtMapViewOfSection
  • ntdll.dll!NtOpenFile
  • ntdll.dll!NtOpenKey
  • ntdll.dll!NtOpenProcessToken
  • ntdll.dll!NtQueryAttributesFile
Afficher plus
  • ntdll.dll!NtQueryDebugFilterState
  • ntdll.dll!NtQueryInformationProcess
  • ntdll.dll!NtQueryInformationToken
  • ntdll.dll!NtQuerySystemInformationEx
  • ntdll.dll!NtQueryValueKey
  • ntdll.dll!NtQueryVirtualMemory
  • ntdll.dll!NtQueryVolumeInformationFile
  • ntdll.dll!NtReadFile
  • ntdll.dll!NtSetEvent
  • ntdll.dll!NtSetInformationFile
  • ntdll.dll!NtSetInformationProcess
  • ntdll.dll!NtSetInformationVirtualMemory
  • ntdll.dll!NtSetInformationWorkerFactory
  • ntdll.dll!NtTestAlert
  • ntdll.dll!NtTraceControl
  • ntdll.dll!NtUnmapViewOfSection
  • ntdll.dll!NtWaitForSingleObject
  • ntdll.dll!NtWriteFile
Process Manipulation Evasion
  • NtUnmapViewOfSection
Process Shell Execute
  • CreateProcess
Anti Debug
  • NtQuerySystemInformation

Exécution de commandes Shell

C:\WINDOWS\SysWOW64\rundll32.exe C:\WINDOWS\system32\rundll32.exe c:\users\user\downloads\e4a30920d7eef80e0069ccdc437c82b7e7da32fd_0000270336.,LiQMAxHB