Uploaded_file Backdoor DarkKomet 分析
技术分析
| 文件名 | uploaded_file |
| 扫描器版本 | 1.0.137.174 |
| 数据库版本 | 2023-09-10 01:17:41 UTC |
Backdoor.Win64.DarkKomet.vb!s1
恶意软件家族: DarkKomet
DarkComet是被滥用于未授权系统控制和监视活动的远程访问特洛伊木马。最初用于合法目的，由于其在叙利亚冲突期间监视操作中的作用而于2018年停止。
N/A
检测率
1,144,832
文件大小（字节）
2023-09-10
分析日期
扫描另一个文件
文件识别
| 哈希类型 | 值 | 操作 |
|---|---|---|
| MD5 |
efebe6072187368183e14c2d561624dc
|
|
| SHA1 |
c0ef36b220a235a12eb610edf616db7a8b02c3fc
|
|
| SHA256 |
cd4f0b526d8f4d2cbc8eb91893b86f2eb767a8cf1982a235c8d4f28fb5ca235e
|
|
| SHA512 |
40b15edfd8d5f5fd2b2fde78ff13ed47cd6b68f17f07b727858c134649a1851c464f2edaf48d8c9214a06d57711586afdd63742b7ba3c5f093c9964a7f9a2ab2
|
|
| ImpHash |
dc8ec03a26acfc254dbda5bcf512476c
|
PE 分析
基本信息
▼| 图标 |
哈希: 5aedef7148b2942180c35a1ff113298a
模糊: a686932a36dcd7ca272ce547802e1a7f dHash: 646464646c646c0c |
| 映像基址 | 0x140000000 |
| 入口点 | 0x1400a4488 |
| 编译时间 | 2018-01-10 08:32:36 |
| 校验和 | 0x00000000 (实际: 0x00119553) |
| 操作系统版本 | 5.2 |
| PEiD 签名 | 未检测到签名 |
| 数字签名 | The PE file does not contain a certificate table. |
| 导入 | 13 库 |
| 导出 | 0 函数 |
| 资源 | 27 资源 |
| 节 | 7 节 |
版本信息
▼| FileDescription | |
| FileVersion | 1.1.27.04 |
| InternalName | |
| LegalCopyright | |
| OriginalFilename | |
| ProductName | |
| ProductVersion | 1.1.27.04 |
| Translation | 0x0409 0x04b0 |
PE 节
▼| 名称 | 虚拟地址 | 虚拟大小 | 原始大小 | 熵 | 特征 | MD5 |
|---|---|---|---|---|---|---|
.text |
0x00001000 |
793,484 bytes | 793,600 bytes | 6.53 (压缩) |
IMAGE_SCN_CNT_CODE|IMAGE_SCN_MEM_EXECUTE|IMAGE_SCN_MEM_READ
|
E3153C303C04CAC929D6F4F4B082C6E7 |
.rdata |
0x000c3000 |
230,604 bytes | 230,912 bytes | 5.12 (正常) |
IMAGE_SCN_CNT_INITIALIZED_DATA|IMAGE_SCN_MEM_READ
|
89B0DBE56B82EB1629DC575BCF72994D |
.data |
0x000fc000 |
48,548 bytes | 14,336 bytes | 3.25 (正常) |
IMAGE_SCN_CNT_INITIALIZED_DATA|IMAGE_SCN_MEM_READ|IMAGE_SCN_MEM_WRITE
|
12362E81756735F67C85E12769907B57 |
.pdata |
0x00108000 |
28,644 bytes | 28,672 bytes | 6.02 (正常) |
IMAGE_SCN_CNT_INITIALIZED_DATA|IMAGE_SCN_MEM_READ
|
0E4D18E7C61D136088F29580072ABADC |
.gfids |
0x0010f000 |
236 bytes | 512 bytes | 1.99 (正常) |
IMAGE_SCN_CNT_INITIALIZED_DATA|IMAGE_SCN_MEM_READ
|
EF90B4DAFDD26C45440265A0E8A8AB91 |
.tls |
0x00110000 |
9 bytes | 512 bytes | 0.02 (正常) |
IMAGE_SCN_CNT_INITIALIZED_DATA|IMAGE_SCN_MEM_READ|IMAGE_SCN_MEM_WRITE
|
1F354D76203061BFDD5A53DAE48D5435 |
.rsrc |
0x00111000 |
75,100 bytes | 75,264 bytes | 5.03 (正常) |
IMAGE_SCN_CNT_INITIALIZED_DATA|IMAGE_SCN_MEM_READ
|
415505D3A8B289BFBD5552AE0CD2CBFC |
熵分析警报
1 检测到较高熵（≥6.5）的节 - 可能存在压缩
资源分析
▼
资源总数: 27
(73,576 字节)
| 资源类型 | 数量 | 总大小 | 百分比 |
|---|---|---|---|
| RT_ICON | 15 | 70,480 字节 | |
| RT_MENU | 1 | 712 字节 | |
| RT_DIALOG | 1 | 232 字节 | |
| RT_ACCELERATOR | 1 | 72 字节 | |
| RT_RCDATA | 1 | 167 字节 | |
| RT_GROUP_ICON | 6 | 246 字节 | |
| RT_VERSION | 1 | 508 字节 | |
| RT_MANIFEST | 1 | 1,159 字节 |
证书链分析
▼无数字签名
此文件未进行数字签名。
安全影响:
- 无法验证发布者的身份
- 运行此文件时安全风险增加
- 可能在某些系统上触发安全警告
⚠ 此文件缺少数字签名或证书链无法验证。
执行来自未知来源的未签名文件时请谨慎。
证书验证状态
The PE file does not contain a certificate table.
建议: 验证文件来源并确保它来自可信的发布者.
Backdoor.Win64.DarkKomet.vb!s1 移除
Gridinsoft 能够识别并消除 Backdoor.Win64.DarkKomet.vb!s1，无需用户进一步干预。
下载反恶意软件移除说明
按照以下步骤完全从系统中移除威胁
-
1
获取 Gridinsoft Anti-Malware — 这是一个快速的 2 MB 下载，不会拖慢您的电脑。
-
2
运行安装程序 gsam-zh-install.exe。安装大约需要 2 分钟，不需要重启。
-
3
应用程序在安装后立即启动。您将看到主仪表板，扫描按钮位于中央。
-
4
点击 "标准扫描" — 这将检查恶意软件通常隐藏的所有位置：临时文件夹、浏览器数据、启动程序和系统目录。
-
5
扫描发现这个威胁后，点击 "立即清理"。清除通常是即时的，但一些顽固的感染可能需要重启。
-
6
如果看到重启提示，请重新启动。这将清除内存中运行的任何恶意软件，确保系统干净启动。
重要提示：开始之前
快速提示：扫描前断开互联网。某些恶意软件会联系服务器获取指令或在感知到问题时下载额外组件。如果感染严重，请先启动到安全模式 — 这会限制可运行的程序，使清理更容易。
发表评论
Gridinsoft Anti-Malware
保持无恶意软件：使用 Gridinsoft 反恶意软件 保护您的 PC
Gridinsoft 反恶意软件正是如此——提供强大、用户友好的解决方案，让您安心，并不断更新以应对最新威胁。由网络安全专家设计，它提供实时保护和轻松删除恶意软件。这不仅仅是检测威胁；它是通过不间断的安全来增强您的数字生活。试一试，体验无忧浏览的感觉！
