Porte dérobée.MSIL.ClipBanker.BMA
Fiche d'évaluation menace
Tableau de bord des menaces EnigmaSoft
EnigmaSoft Threat Scorecards sont des rapports d'évaluation de différentes menaces de logiciels malveillants qui ont été collectés et analysés par notre équipe de recherche. Les tableaux de bord des menaces EnigmaSoft évaluent et classent les menaces à l'aide de plusieurs mesures, notamment les facteurs de risque réels et potentiels, les tendances, la fréquence, la prévalence et la persistance. Les cartes de pointage EnigmaSoft Threat sont mises à jour régulièrement sur la base de nos données et mesures de recherche et sont utiles pour un large éventail d'utilisateurs d'ordinateurs, des utilisateurs finaux à la recherche de solutions pour supprimer les logiciels malveillants de leurs systèmes aux experts en sécurité analysant les menaces.
Les tableaux de bord des menaces d'EnigmaSoft affichent une variété d'informations utiles, notamment :
Classement de popularité : Le classement d'une menace particulière dans la base de données de menaces d'EnigmaSoft.
Niveau de gravité : le niveau de gravité déterminé d'un objet, représenté numériquement, sur la base de notre processus de modélisation des risques et de nos recherches, comme expliqué dans nos critères d'évaluation des menaces .
Ordinateurs infectés : le nombre de cas confirmés et suspects d'une menace particulière détectée sur des ordinateurs infectés, tel que rapporté par SpyHunter.
Voir aussi Critères d'évaluation des menaces .
| Classement de popularité : | 23,370 |
| Niveau de menace: | 60 % (Moyen) |
| Vu la première fois: | April 24, 2024 |
| Vu pour la dernière fois : | September 7, 2026 |
| Systèmes d'exploitation concernés: | Windows |
Backdoor.MSIL.ClipBanker.BMA est une porte dérobée Windows qui permet aux cybercriminels d'accéder à distance et sans autorisation à un ordinateur infecté. Elle présente également des caractéristiques typiques des logiciels malveillants de détournement de presse-papiers. Malgré sa taille relativement modeste sur le disque, elle est classée à un niveau de dangerosité de 6 sur 10, ce qui reflète sa capacité à compromettre discrètement la vie privée, la sécurité et la sûreté financière de la victime.
Table des matières
Que fait Backdoor.MSIL.ClipBanker.BMA ?
Comme d'autres menaces de la catégorie des portes dérobées, Backdoor.MSIL.ClipBanker.BMA est conçu pour contourner les contrôles d'authentification et de sécurité habituels afin qu'un attaquant puisse accéder à distance au système compromis, à l'insu de l'utilisateur. Il peut exploiter des vulnérabilités dans des programmes déjà installés ou se faire passer pour une application légitime afin d'éviter d'éveiller les soupçons. Ce logiciel malveillant est conçu comme un exécutable Windows natif, sans signature numérique ni information de version, ce qui lui permet de se fondre parmi les fichiers système ordinaires et de se distinguer plus difficilement d'un logiciel légitime pour un utilisateur lambda.
Une fois activées, les portes dérobées de ce type permettent généralement aux attaquants d'exécuter des commandes, d'installer des composants malveillants supplémentaires, de surveiller l'activité de l'utilisateur ou d'exfiltrer des données de la machine infectée. Le terme « ClipBanker » dans son nom est associé à une famille de menaces qui surveillent généralement le presse-papiers Windows à la recherche d'informations copiées (telles que des adresses de portefeuilles de cryptomonnaies ou d'autres données sensibles) et les remplacent discrètement par du contenu contrôlé par l'attaquant, redirigeant ainsi des transactions ou des informations volées sans que la victime ne s'en aperçoive. Cette menace a également été observée en interaction avec des canaux nommés et les fichiers journaux de transactions système, ce qui correspond à des tentatives de persistance et de communication furtive sur le système infecté.
Comment cela se retrouve généralement sur les ordinateurs
Les portes dérobées de ce type se propagent généralement par le biais de téléchargements trompeurs, incluses dans des logiciels piratés ou crackés, de pièces jointes malveillantes, de supports amovibles infectés ou en exploitant des failles de sécurité non corrigées dans les programmes installés. Certaines variantes sont diffusées par des rootkits, des vers ou d'autres logiciels malveillants qui permettent des infections secondaires. Comme le fichier ne comporte aucune signature numérique, les utilisateurs qui téléchargent des logiciels provenant de sources non officielles ou non fiables sont les plus exposés.
Risques pour l’utilisateur
Une infection active par porte dérobée peut avoir de graves conséquences. Les attaquants peuvent obtenir un contrôle à distance permanent du système, voler des informations personnelles ou financières, installer d'autres logiciels malveillants ou utiliser l'ordinateur compromis comme point de départ pour d'autres attaques. Compte tenu de son fonctionnement lié au presse-papiers, les victimes peuvent également subir des pertes financières directes si des données sensibles copiées, telles que des informations de paiement ou de portefeuille électronique, sont altérées ou volées lors de leur transfert.
Signes d’infection
Les portes dérobées sont conçues pour être invisibles, mais les utilisateurs peuvent remarquer des ralentissements inhabituels du système, une activité réseau anormale, des processus inconnus s'exécutant en arrière-plan, la désactivation d'outils de sécurité ou des modifications du contenu du presse-papiers ne correspondant pas à la version originale. Des tentatives de connexion inexpliquées ou des modifications des paramètres système peuvent également constituer des signes d'alerte.
Comment rester protégé
Pour réduire les risques d'infection, maintenez votre système d'exploitation et tous vos logiciels installés à jour, évitez de télécharger des programmes provenant de sources non officielles et soyez prudent avec les pièces jointes et les liens provenant d'expéditeurs inconnus. Sauvegardez régulièrement vos données importantes, utilisez des mots de passe robustes et uniques et examinez attentivement les transactions nécessitant l'utilisation du presse-papiers, notamment les transactions financières, avant de les confirmer. L'utilisation d'un logiciel de sécurité fiable et à jour, ainsi que la réalisation d'analyses système régulières, demeurent essentielles pour protéger votre ordinateur contre les portes dérobées de ce type.
Bulletin d'analyse
Informations générales
| Nom de famille : | Backdoor.MSIL.ClipBanker.BMA |
|---|---|
| Statut de la signature : | No Signature |
Échantillons connus
Échantillons connus
Cette section répertorie d'autres exemples de fichiers que l'on pense être associés à cette famille.|
MD5:
7079c2cd1b63ce9ca3a9db69b7a8ead1
SHA1:
52f41ed64f380a5348d06cebd956d242616ebcc0
SHA256:
AAD7020E6A895174AB771C244E757F3F83F213217C00B93080069709CAF7C6E4
Taille du fichier:
714.24 KB 714240 octets
|
Attributs des exécutables portables Windows
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have exports table
- File doesn't have security information
- File has TLS information
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
Show 2 more
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Icônes de fichiers
Icônes de fichiers
Cette section présente les ressources d'icônes trouvées dans les échantillons de la famille. Les logiciels malveillants reproduisent souvent des icônes couramment associées à des logiciels légitimes afin d'induire les utilisateurs en erreur et de leur faire croire qu'ils sont sûrs.
Caractéristiques du fichier
- No Version Info
- x86
Informations sur le bloc
Informations sur le bloc
Lors de l'analyse, EnigmaSoft segmente les échantillons de fichiers en blocs logiques afin de les classer et de les comparer à d'autres échantillons. Ces blocs permettent de générer des règles de détection de logiciels malveillants et de regrouper les échantillons de fichiers en familles en fonction du code source partagé, des fonctionnalités et d'autres attributs et caractéristiques distinctifs. Cette section présente un résumé de ces données de bloc, ainsi que leur classification par EnigmaSoft. Une représentation visuelle des données de bloc est également affichée, le cas échéant.| Nombre total de blocs : | 1,890 |
|---|---|
| Blocages potentiellement malveillants : | 2 |
| Blocs autorisés : | 1,868 |
| Blocs inconnus : | 20 |
Carte visuelle
? - Bloc inconnu
x - Blocage potentiellement malveillant
Familles similaires
Familles similaires
Cette section répertorie d'autres familles de logiciels malveillants présentant des similitudes avec celle-ci, d'après l'analyse d'EnigmaSoft. De nombreuses familles de logiciels malveillants sont créées à partir des mêmes kits d'outils et utilisent les mêmes techniques d'encapsulation et de chiffrement, tout en étendant leurs fonctionnalités de manière unique. Les familles similaires peuvent également partager le même code source, les mêmes attributs, les mêmes icônes, les mêmes sous-composants, les mêmes signatures numériques compromises ou invalides, ainsi que les mêmes caractéristiques réseau. Les chercheurs exploitent ces similitudes pour trier rapidement et efficacement les échantillons de fichiers et étendre les règles de détection des logiciels malveillants.- Banload.XT
- Downloader.Delf.F
- Gimemo.E
- Injector.XF
- Trojan.Injector.Gen.INT
Show 1 more
- ZBot.XGA
Fichiers modifiés
Fichiers modifiés
Cette section répertorie les fichiers créés, modifiés, déplacés et/ou supprimés par les échantillons de cette famille. L'activité du système de fichiers peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants au sein du système d'exploitation.| Déposer | Attributs |
|---|---|
| \device\namedpipe\gmdasllogger | Generic Write,Read Attributes |
| c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.1.regtrans-ms | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.2.regtrans-ms | Generic Read,Write Data,Write Attributes,Write extended,Append data |
Utilisation de l’API Windows
Utilisation de l'API Windows
Cette section répertorie les appels d'API Windows utilisés par les exemples de cette famille. L'analyse de l'utilisation des API Windows est un outil précieux permettant d'identifier les activités malveillantes, telles que l'enregistrement des frappes au clavier, l'élévation de privilèges, le chiffrement et l'exfiltration de données, l'interférence avec les logiciels antivirus et la manipulation des requêtes réseau.| Catégorie | API |
|---|---|
| User Data Access |
|