Jak usunąć malware LOBSHOT z twojego komputera

Czym jest LOBSHOT?

LOBSHOT to rodzaj złośliwego oprogramowania z funkcją o nazwie hVNC (Hidden Virtual Network Computing), która umożliwia atakującym dostęp do komputera ofiary bez bycia zauważonym. Komponent hVNC skutecznie omija systemy wykrywania oszustw. Ponadto LOBSHOT jest wykorzystywany do popełniania przestępstw finansowych przy użyciu trojana bankowego i funkcji służących do kradzieży informacji.

Więcej informacji o LOBSHOT

Początkowo LOBSHOT tworzy spersonalizowaną strukturę, która obejmuje katalog informacji, takich jak identyfikator GUID urządzenia, wersja systemu Windows, nazwa komputera i nazwa użytkownika, szczegóły obiektu pulpitu systemu Windows, liczba uruchomionych procesów, identyfikator procesu malware oraz proces nadrzędny, rozdzielczość ekranu, informacje o urządzeniu wyświetlającym, DPI dla wyświetlaczy, a także ekrany do obiektów pulpitu i okien.

Po wykonaniu LOBSHOT tworzy swój duplikat w katalogu „C:\ProgramData", uruchamia nowy proces za pomocą programu explorer.exe, kończy oryginalny proces, a następnie usuwa oryginalny plik. Takie podejście jest wykorzystywane do ukrywania linii drzewa procesów i utrudniania analitykom wykrywania.

LOBSHOT wykorzystuje metodę utrwalania klucza rejestru w celu zachowania trwałości. Gdy LOBSHOT ustanowi swój mechanizm trwałości, inicjuje nowy wątek, aby aktywować funkcję kradzieży. Proces ten rozpoczyna się od atakowania rozszerzeń przeglądarki związanych z kryptografią (w tym licznych rozszerzeń portfela Chrome, Edge i Firefox).

Moduł hVNC LOBSHOT to kolejna istotna funkcja tego malware. W tym momencie zaatakowane urządzenie zaczyna wysyłać zrzuty ekranu ukrytego pulpitu do nasłuchującego klienta znajdującego się pod kontrolą atakującego. Osoba atakująca ma pełną zdalną kontrolę nad urządzeniem, używając klienta do manipulowania klawiaturą, klikania przycisków i poruszania myszą.

Moduł hVNC LOBSHOT umożliwia atakującemu wykonywanie różnych poleceń. Polecenia te obejmują uruchamianie nowego procesu explorer.exe, uruchamianie polecenia Uruchom systemu Windows, inicjowanie nowego procesu systemu Windows za pomocą podanego polecenia, uruchamianie przeglądarek internetowych, takich jak Internet Explorer, Edge i Firefox, kończenie istniejących procesów explorer.exe, manipulowanie systemem Windows ustawienia dźwięku, ustawianie lub pobieranie tekstu ze schowka oraz aktywowanie menu Start.

Podsumowanie zagrożenia:

Nazwa	Wirus LOBSHOT
Typ zagrożenia	Złodziej informacji, trojan zdalnego dostępu
Nazwy wykrycia (LOBSHOT)	Avast (Win32:BackdoorX-gen [Trj]), Combo Cleaner (Gen:Variant.Lazy.271868), ESET-NOD32 (wariant Win32/Agent.AEYE), Kaspersky (Backdoor.Win32.DarkVNC.rr), Microsoft (Trojan:Win32/Sdaloog.C), Pełna lista (VirusTotal)
Powiązana domena	anydeskcloud[.]tech
Nazwy wykrycia (anydeskcloud[.]tech)	AlphaSOC (malware), Combo Cleaner (malware), ESET (malware), Forcepoint ThreatSeeker (złośliwy), G-Data (Malware), FPełna lista wykrycia (VirusTotal)
Objawy	LOBSHOT ma na celu potajemną infiltrację komputera ofiary i zachowanie ciszy, dzięki czemu na zainfekowanym urządzeniu nie są wyraźnie widoczne żadne szczególne symptomy.
Metody dystrybucji	Złośliwe reklamy online, fałszywe strony internetowe, złośliwe instalatory
Zniszczenie	Skradzione hasła i informacje bankowe, kradzież tożsamości, dodatkowe infekcje, straty pieniężne i nie tylko
Usuwanie malware (Windows)	Aby usunąć możliwe infekcje malware, przeskanuj komputer profesjonalnym oprogramowaniem antywirusowym. Nasi analitycy bezpieczeństwa zalecają korzystanie z Combo Cleaner. ▼ Pobierz Combo Cleaner Bezpłatny skaner sprawdza, czy twój komputer jest zainfekowany. Aby korzystać z w pełni funkcjonalnego produktu, musisz kupić licencję na Combo Cleaner. Dostępny jest 7-dniowy bezpłatny okres próbny. Combo Cleaner jest własnością i jest zarządzane przez Rcs Lt, spółkę macierzystą PCRisk. Przeczytaj więcej.

Możliwe zniszczenie

Cyberprzestępcy mogą wykorzystywać LOBSHOT do różnych złośliwych działań. Zaobserwowano, że LOBSHOT wykorzystuje zdolności trojana bankowego i złodziei informacji, co oznacza, że może kraść poufne dane z komputera ofiary, w tym informacje finansowe.

Dzięki modułowi hVNC atakujący mogą uzyskać pełną zdalną kontrolę nad zainfekowanym urządzeniem, co pozwala im na wykonywanie szerokiej gamy złośliwych działań. Dodatkowo LOBSHOT może uruchamiać nowe procesy i zmieniać ustawienia dźwięku systemu Windows. Ogólnie rzecz biorąc, LOBSHOT może spowodować znaczne uszkodzenia komputera ofiary i narazić jej poufne informacje na ryzyko.

Jak malware LOBSHOT dostało się na mój komputer?

Ten łańcuch infekcji rozpoczyna się od wyszukiwania przez użytkownika w internecie legalnego oprogramowania (np. AnyDesk). Jednak jednym z wyników wyszukiwania, które klika użytkownik, jest reklama Google, która prowadzi użytkownika do podszywającej się strony docelowej umożliwiającej pobranie oprogramowania. Użytkownik pobiera i uruchamia instalator MS z tej strony, który uruchamia PowerShell.

Następnie PowerShell pobiera malware LOBSHOT i uruchamia je za pośrednictwem rundll32. Po uruchomieniu LOBSHOT rozpoczyna złośliwe działania, które obejmują kradzież poufnych informacji i zapewnianie atakującemu zdalnego dostępu za pośrednictwem modułu hVNC.

Jak uniknąć instalacji malware?

Zachowaj ostrożność podczas pobierania i instalowania oprogramowania z nieznanych źródeł, zwłaszcza jeśli jest to wersja zhakowana lub piracka. Upewnij się, że twój system operacyjny i całe oprogramowanie są aktualne z najnowszymi poprawkami i aktualizacjami zabezpieczeń. Używaj renomowanego oprogramowania antywirusowego lub zabezpieczającego i regularnie aktualizuj je.

Uważaj na podejrzane załączniki do e-mailów, łącza lub okienka pop-up i unikaj ich klikania. Pobieraj oprogramowanie i pliki wyłącznie z renomowanych źródeł (oficjalnych stron i sklepów). Jeśli uważasz, że twój komputer jest już zainfekowany, zalecamy wykonanie skanowania za pomocą Combo Cleaner, aby automatycznie usunąć obecne malware.

Fałszywa witryna AnyDesk dystrybuująca LOBSHOT:

Natychmiastowe automatyczne usunięcie malware: Ręczne usuwanie zagrożenia może być długim i skomplikowanym procesem, który wymaga zaawansowanych umiejętności obsługi komputera. Combo Cleaner to profesjonalne narzędzie do automatycznego usuwania malware, które jest zalecane do pozbycia się złośliwego oprogramowania. Pobierz je, klikając poniższy przycisk:
▼ POBIERZ Combo Cleaner Bezpłatny skaner sprawdza, czy twój komputer został zainfekowany. Aby korzystać z w pełni funkcjonalnego produktu, musisz kupić licencję na Combo Cleaner. Dostępny jest 7-dniowy bezpłatny okres próbny. Combo Cleaner jest własnością i jest zarządzane przez Rcs Lt, spółkę macierzystą PCRisk. Przeczytaj więcej. Pobierając jakiekolwiek oprogramowanie wyszczególnione na tej stronie zgadzasz się z naszą Polityką prywatności oraz Regulaminem.

Szybkie menu:

• Czym jest LOBSHOT?
• KROK 1. Manualne usuwanie malware LOBSHOT.
• KROK 2. Sprawdź, czy twój komputer jest czysty.

Jak manualnie usunąć malware?

Ręczne usuwanie malware jest skomplikowanym zadaniem. Zwykle lepiej jest pozwolić programom antywirusowym lub anty-malware zrobić to automatycznie. Aby usunąć to malware zalecamy użycie Combo Cleaner.

Jeśli chcesz manualnie usunąć malware, pierwszym krokiem jest zidentyfikowanie jego nazwy. Oto przykład podejrzanego programu uruchomionego na komputerze użytkownika:

Jeśli sprawdziłeś listę programów uruchomionych na komputerze, na przykład używając menedżera zadań i zidentyfikowałeś program, który wygląda podejrzanie, powinieneś wykonać te kroki:

Pobierz program o nazwie Autoruns. Pokazuje on automatycznie uruchamiane aplikacje, rejestr i lokalizacje plików systemowych:

Uruchom ponownie swój komputer w trybie awaryjnym:

Użytkownicy Windows XP i Windows 7: Uruchom komputer w trybie awaryjnym. Kliknij Start, kliknij Zamknij, kliknij Uruchom ponownie, kliknij OK. Podczas procesu uruchamiania komputera naciśnij kilkakrotnie klawisz F8 na klawiaturze, aż zobaczysz menu Opcje zaawansowane systemu Windows, a następnie wybierz z listy opcję Tryb awaryjny z obsługą sieci.

Film pokazujący jak uruchomić system Windows 7 w „Trybie awaryjnym z obsługą sieci":

Użytkownicy Windows 8: Uruchom system Windows 8 w trybie awaryjnym z obsługą sieci — przejdź do ekranu startowego systemu Windows 8, wpisz Zaawansowane, w wynikach wyszukiwania wybierz Ustawienia. Kliknij Zaawansowane opcje uruchamiania, a w otwartym oknie „Ogólne ustawienia komputera" wybierz Zaawansowane uruchamianie.

Kliknij przycisk „Uruchom ponownie teraz". Twój komputer zostanie teraz ponownie uruchomiony w „Zaawansowanym menu opcji uruchamiania". Kliknij przycisk „Rozwiąż problemy", a następnie kliknij przycisk „Opcje zaawansowane". Na ekranie opcji zaawansowanych kliknij „Ustawienia uruchamiania".

Kliknij przycisk „Uruchom ponownie". Twój komputer uruchomi się ponownie na ekranie Ustawienia uruchamiania. Naciśnij klawisz F5, aby uruchomić komputer w trybie awaryjnym z obsługą sieci.

Film pokazujący, jak uruchomić Windows 8 w „Trybie awaryjnym z obsługą sieci":

Użytkownicy Windows 10: Kliknij logo Windows i wybierz ikonę Zasilania. W otwartym menu kliknij „Uruchom ponownie" przytrzymując przycisk „Shift" na klawiaturze. W oknie „Wybierz opcję" kliknij przycisk „Rozwiązywanie problemów", a następnie wybierz opcję „Opcje zaawansowane".

W menu opcji zaawansowanych wybierz „Ustawienia uruchamiania" i kliknij przycisk „Uruchom ponownie". W następnym oknie powinieneś kliknąć przycisk „F5" na klawiaturze. Spowoduje to ponowne uruchomienie systemu operacyjnego w trybie awaryjnym z obsługą sieci.

Film pokazujący jak uruchomić Windows 10 w „Trybie awaryjnym z obsługą sieci":

Wyodrębnij pobrane archiwum i uruchom plik Autoruns.exe.

W aplikacji Autoruns kliknij „Opcje" u góry i odznacz opcje „Ukryj puste lokalizacje" oraz „Ukryj wpisy Windows". Po tej procedurze kliknij ikonę „Odśwież".

Sprawdź listę dostarczoną przez aplikację Autoruns i znajdź plik malware, który chcesz usunąć.

Powinieneś zapisać pełną ścieżkę i nazwę. Zauważ, że niektóre malware ukrywa swoje nazwy procesów pod prawidłowymi nazwami procesów systemu Windows. Na tym etapie bardzo ważne jest, aby unikać usuwania plików systemowych. Po znalezieniu podejrzanego programu, który chcesz usunąć, kliknij prawym przyciskiem myszy jego nazwę i wybierz „Usuń".

Po usunięciu malware za pomocą aplikacji Autoruns (zapewnia to, że malware nie uruchomi się automatycznie przy następnym uruchomieniu systemu), należy wyszukać jego nazwę na komputerze. Przed kontynuowaniem należy włączyć ukryte pliki i foldery. Jeśli znajdziesz plik malware, upewnij się, że go usunąłeś.

Uruchom ponownie komputer w normalnym trybie. Wykonanie poniższych czynności powinno pomóc w usunięciu malware z twojego komputera. Należy pamiętać, że ręczne usuwanie zagrożeń wymaga zaawansowanych umiejętności obsługi komputera. Zaleca się pozostawienie usuwania malware programom antywirusowym i zabezpieczającym przed malware.

Te kroki mogą nie działać w przypadku zaawansowanych infekcji malware. Jak zawsze lepiej jest uniknąć infekcji niż później próbować usunąć malware. Aby zapewnić bezpieczeństwo swojego komputera, należy zainstalować najnowsze aktualizacje systemu operacyjnego i korzystać z oprogramowania antywirusowego. Aby mieć pewność, że twój komputer jest wolny od infekcji malware, zalecamy jego skanowanie za pomocą Combo Cleaner.

Często zadawane pytania (FAQ)

Mój komputer jest zainfekowany malware LOBSHOT. Czy trzeba sformatować urządzenie pamięci masowej, aby się go pozbyć?

Sformatowanie urządzenia pamięci masowej może usunąć malware LOBSHOT, ale jest to drastyczny krok, który spowoduje utratę wszystkich danych na urządzeniu, którego dotyczy problem. Przed wykonaniem tego kroku, zaleca się próbę usunięcia złośliwego oprogramowania za pomocą niezawodnego oprogramowania anty-malware.

Jakie są największe problemy, jakie może powodować malware?

Konsekwencje infekcji złośliwym oprogramowaniem mogą być różne i mogą obejmować kradzież tożsamości, szkody finansowe, spadek wydajności komputera, dodatkowe infekcje i inne szkody.

Jaki jest cel malware LOBSHOT?

Celem złośliwego oprogramowania LOBSHOT jest kradzież poufnych informacji, takich jak hasła i poświadczenia portfela kryptowalut,owego z zainfekowanych systemów. Posiada również możliwości pełnej zdalnej kontroli nad zainfekowanym urządzeniem, umożliwiając atakującemu wykonywanie poleceń i interakcję z systemem za pośrednictwem ukrytego modułu obliczeniowego sieci wirtualnej.

Jak malware LOBSHOT przeniknęło do mojego komputera?

Złośliwe oprogramowanie LOBSHOT przeniknęło do twojego komputera po kliknięciu reklamy Google, prowadząc do fałszywej witryny udającej pobieranie legalnego oprogramowania. Następnie pobrałeś i uruchomiłeś instalator MS z tej strony, który uruchomił PowerShell. Za pośrednictwem programu PowerShell LOBSHOT został pobrany i uruchomiony za pośrednictwem rundll32, co umożliwiło mu wykonywanie złośliwych działań.

Czy Combo Cleaner ochroni mnie przed złośliwym oprogramowaniem?

Combo Cleaner może wykrywać i usuwać większość typów znanych infekcji malware. Należy jednak zauważyć, że wyrafinowane złośliwe oprogramowanie często ukrywa się głęboko w systemie. Dlatego wysoce zalecane jest wykonanie pełnego skanu systemu w celu jego całkowitego usunięcia.

▼ Pokaż dyskusję