Jak usunąć malware Agent Racoon z systemu operacyjnego

Jakim malware jest Agent Racoon?

Agent Racoon to szkodliwy program napisany przy użyciu .NET framework. Jest sklasyfikowany jako narzędzie otwierania tylnych drzwi. Celem złośliwego oprogramowania objętego tą klasyfikacją jest otwieranie „tylnych drzwi" do docelowych systemów. Programy te są zwykle stosowane w początkowych fazach infekcji wieloetapowych.

Pierwsze instancje Agenta Racoona odkryto w lipcu 2022 roku. Jednak domena C&C (zarządzania i kontroli) powiązana z jej infekcjami została zarejestrowana już w sierpniu 2020 r.

Zaobserwowano, że ten backdoor, wraz z innym złośliwym oprogramowaniem, był wykorzystywany w atakach ukierunkowanych na organizacje z siedzibą na Bliskim Wschodzie, w Afryce i Stanach Zjednoczonych. W szczególności agent Racoon był wykorzystywany w infekcjach wymierzonych w instytucje rządowe i organizacje non-profit. Istnieją dowody sugerujące, że ataki te mogły zostać przeprowadzone przez ugrupowanie cyberprzestępcze wspierane przez państwo.

Przegląd malware Agent Racoon

Jak wspomniano na początku, Agent Racoon to backdoor, którego głównym celem jest przygotowanie zaatakowanego systemu na dalszą infekcję.

To malware tworzy kanał komunikacyjny ze swoim serwerem zarządzania i kontroli, wykorzystując protokół DNS (Domain Name System). Agent Racoon działa głównie w oparciu o zaplanowane zadania i nie stosuje żadnych konkretnych technik zapewniających trwałość. Chociaż wykorzystanie pętli komunikacyjnych podczas interakcji z serwerem C&C może być taktyką zapobiegającą wykryciu. Można to również wykorzystać do zmniejszenia ryzyka zakłóceń sieci i skoków aktywności.

Agent Racoon potrafi wykonywać polecenia. Może także przesyłać i pobierać pliki. To pierwsze może zostać wykorzystane do wprowadzania dodatkowych szkodliwych programów, a drugie do wydobywania danych.

Znane ataki Agent Racoona obejmowały Ntospy i Mimilite (lżejszą, dostosowaną wersję Mimikatz), z których oba były wykorzystywane do kradzieży danych uwierzytelniających.

Warto zauważyć, że w przypadku tych infekcji wdrożono dodatkowe środki zapobiegające wykryciu, w tym wykorzystanie folderów tymczasowych i narzędzia do usuwania artefaktów infekcji po każdym ataku. Ponadto niektóre szkodliwe programy ukrywały się pod aktualizacjami Microsoft.

W zaobserwowanych atakach (obejmujących malware kradnące dane uwierzytelniające) wydobyte dane obejmowały profile użytkowników mobilnych i e-maile od klientów Microsoft Exchange.

Należy wspomnieć, że ponieważ twórcy złośliwego oprogramowania często udoskonalają swoje oprogramowanie i techniki, nie jest mało prawdopodobne, że przyszłe wersje Agent Racoon będą miały dodatkowe możliwości, a infekcje związane z tym programem będą wykorzystywać różne metodologie.

Podsumowując, obecność na urządzeniach oprogramowania takiego jak Agent Racoon może prowadzić do wielu infekcji systemu, poważnych problemów prywatności, strat finansowych i kradzieży tożsamości. Ataki wymierzone w cele o dużej wrażliwości (takie jak podmioty świadczące podstawowe usługi) mogą wiązać się z zagrożeniami o jeszcze większym znaczeniu.

Podsumowanie zagrożenia:

Nazwa	Wirus Agent Racoon
Typ zagrożenia	Trojan, narzędzie otwierania tylnych drzwi.
Nazwy wykrycia	Avast (Win32:Malware-gen), Combo Cleaner (IL:Trojan.MSILMamut.5188), ESET-NOD32 (wariant Generik.HNFVIHA), Kaspersky (HEUR:Trojan.MSIL.Denes.gen), Microsoft (Trojan:MSIL/Tnega!MTB), Pełna lista wykrycia (VirusTotal)
Ładunek	Ntospy, Mimilite (indywidualny Mimikatz)
Objawy	Trojany zostały zaprojektowane tak, aby potajemnie infiltrować komputer ofiary i zachowywać się cicho, w związku z czym na zainfekowanym urządzeniu nie są wyraźnie widoczne żadne szczególne objawy.
Metody dystrybucji	Zainfekowane załączniki do wiadomości e-mail, złośliwe reklamy online, socjotechnika, narzędzia „łamania” zabezpieczeń oprogramowania.
Zniszczenie	Kradzież haseł i danych bankowych, kradzież tożsamości, dodanie komputera ofiary do botnetu.
Usuwanie malware (Windows)	Aby usunąć możliwe infekcje malware, przeskanuj komputer profesjonalnym oprogramowaniem antywirusowym. Nasi analitycy bezpieczeństwa zalecają korzystanie z Combo Cleaner. ▼ Pobierz Combo Cleaner Bezpłatny skaner sprawdza, czy twój komputer jest zainfekowany. Aby korzystać z w pełni funkcjonalnego produktu, musisz kupić licencję na Combo Cleaner. Dostępny jest 7-dniowy bezpłatny okres próbny. Combo Cleaner jest własnością i jest zarządzane przez Rcs Lt, spółkę macierzystą PCRisk. Przeczytaj więcej.

Przykłady malware typu backdoor

Przeanalizowaliśmy niezliczone próbki malware, a StyleServ, SysUpdate, MQsTTang i WhiskerSpy to tylko kilka typów backdoorów, o których ostatnio pisaliśmy. Ponieważ złośliwe oprogramowanie należące do tej kategorii jest zwykle wykorzystywane w początkowych stadiach infekcji, ostateczny atak i jego cele mogą się drastycznie różnić.

Zagrożenia związane z jakąkolwiek infekcją zależą od możliwości wykorzystywanych programów i celów cyberprzestępców – dlatego charakter ataków i zagrożeń nie jest statyczny. Niezależnie od tego, istotne jest usunięcie wszystkich zagrożeń natychmiast po wykryciu, ponieważ obecność tego oprogramowania w systemie zagraża integralności urządzenia i bezpieczeństwu użytkownika.

Jak Agent Racoon dostało się na mój komputer?

Obecnie nie wiadomo, w jaki sposób rozsyła się Agent Racoon. Ogólnie rzecz biorąc, ataki złośliwego oprogramowania obejmują phishing i inżynierię społeczną. Malware może być maskowane lub dołączane do zwykłych programów/plików multimedialnych. Występuje w różnych formatach, np. archiwów (ZIP, RAR itp.), plików wykonywalne (.exe, .run itp.), dokumentów (PDF, Microsoft Office, Microsoft OneNote itp.), JavaScript itd. Po otwarciu złośliwego pliku rozpoczyna się łańcuch infekcji.

Typowe techniki dystrybucji złośliwego oprogramowania obejmują: pobrania metodą drive-by (potajemne/oszukańcze), złośliwe załączniki lub linki w e-mailach/wiadomościach spamowych, podejrzane kanały pobierania (np. witryny nieoficjalne i strony z bezpłatnym hostingiem plików, sieci udostępniania peer-to-peer itp.), nielegalne narzędzia do aktywacji oprogramowania („łamania" zabezpieczeń oprogramowania), fałszywe aktualizacje, oszustwa internetowe i złośliwe reklamy.

Niektóre złośliwe programy mogą nawet samodzielnie rozsyłać się za pośrednictwem sieci lokalnych i wymiennych urządzeń pamięci masowej (np. dysków flash USB, zewnętrznych dysków twardych itp.).

Jak uniknąć instalacji malware?

Zdecydowanie zalecamy pobieranie produktów wyłącznie z oficjalnych i zweryfikowanych źródeł. Wszystkie programy muszą być aktywowane i aktualizowane przy użyciu legalnych funkcji/narzędzi, ponieważ te nabyte od stron trzecich mogą zawierać złośliwe oprogramowanie.

Zachowaj czujność podczas przeglądania sieci, ponieważ oszukańcze i złośliwe treści online zwykle wydają się autentyczne i nieszkodliwe. Odradzamy otwieranie załączników lub linków znajdujących się w podejrzanych/nieistotnych wiadomościach, ponieważ mogą one być zaraźliwe.

Dla bezpieczeństwa urządzenia/użytkownika kluczowe znaczenie ma zainstalowanie i aktualizacja niezawodnego programu antywirusowego. Do regularnego skanowania systemu oraz usuwania zagrożeń i problemów należy używać oprogramowania zabezpieczającego. Jeśli uważasz, że twój komputer jest już zainfekowany, zalecamy wykonanie skanowania za pomocą Combo Cleaner, aby automatycznie usunąć obecne złośliwe oprogramowanie.

Natychmiastowe automatyczne usunięcie malware: Ręczne usuwanie zagrożenia może być długim i skomplikowanym procesem, który wymaga zaawansowanych umiejętności obsługi komputera. Combo Cleaner to profesjonalne narzędzie do automatycznego usuwania malware, które jest zalecane do pozbycia się złośliwego oprogramowania. Pobierz je, klikając poniższy przycisk:
▼ POBIERZ Combo Cleaner Bezpłatny skaner sprawdza, czy twój komputer został zainfekowany. Aby korzystać z w pełni funkcjonalnego produktu, musisz kupić licencję na Combo Cleaner. Dostępny jest 7-dniowy bezpłatny okres próbny. Combo Cleaner jest własnością i jest zarządzane przez Rcs Lt, spółkę macierzystą PCRisk. Przeczytaj więcej. Pobierając jakiekolwiek oprogramowanie wyszczególnione na tej stronie zgadzasz się z naszą Polityką prywatności oraz Regulaminem.

Szybkie menu:

• Czym jest Agent Racoon?
• KROK 1. Manualne usuwanie malware Agent Racoon.
• KROK 2. Sprawdź, czy twój komputer jest czysty.

Jak manualnie usunąć malware?

Ręczne usuwanie malware jest skomplikowanym zadaniem. Zwykle lepiej jest pozwolić programom antywirusowym lub anty-malware zrobić to automatycznie. Aby usunąć to malware zalecamy użycie Combo Cleaner.

Jeśli chcesz manualnie usunąć malware, pierwszym krokiem jest zidentyfikowanie jego nazwy. Oto przykład podejrzanego programu uruchomionego na komputerze użytkownika:

Jeśli sprawdziłeś listę programów uruchomionych na komputerze, na przykład używając menedżera zadań i zidentyfikowałeś program, który wygląda podejrzanie, powinieneś wykonać te kroki:

Pobierz program o nazwie Autoruns. Pokazuje on automatycznie uruchamiane aplikacje, rejestr i lokalizacje plików systemowych:

Uruchom ponownie swój komputer w trybie awaryjnym:

Użytkownicy Windows XP i Windows 7: Uruchom komputer w trybie awaryjnym. Kliknij Start, kliknij Zamknij, kliknij Uruchom ponownie, kliknij OK. Podczas procesu uruchamiania komputera naciśnij kilkakrotnie klawisz F8 na klawiaturze, aż zobaczysz menu Opcje zaawansowane systemu Windows, a następnie wybierz z listy opcję Tryb awaryjny z obsługą sieci.

Film pokazujący jak uruchomić system Windows 7 w „Trybie awaryjnym z obsługą sieci":

Użytkownicy Windows 8: Uruchom system Windows 8 w trybie awaryjnym z obsługą sieci — przejdź do ekranu startowego systemu Windows 8, wpisz Zaawansowane, w wynikach wyszukiwania wybierz Ustawienia. Kliknij Zaawansowane opcje uruchamiania, a w otwartym oknie „Ogólne ustawienia komputera" wybierz Zaawansowane uruchamianie.

Kliknij przycisk „Uruchom ponownie teraz". Twój komputer zostanie teraz ponownie uruchomiony w „Zaawansowanym menu opcji uruchamiania". Kliknij przycisk „Rozwiąż problemy", a następnie kliknij przycisk „Opcje zaawansowane". Na ekranie opcji zaawansowanych kliknij „Ustawienia uruchamiania".

Kliknij przycisk „Uruchom ponownie". Twój komputer uruchomi się ponownie na ekranie Ustawienia uruchamiania. Naciśnij klawisz F5, aby uruchomić komputer w trybie awaryjnym z obsługą sieci.

Film pokazujący, jak uruchomić Windows 8 w „Trybie awaryjnym z obsługą sieci":

Użytkownicy Windows 10: Kliknij logo Windows i wybierz ikonę Zasilania. W otwartym menu kliknij „Uruchom ponownie" przytrzymując przycisk „Shift" na klawiaturze. W oknie „Wybierz opcję" kliknij przycisk „Rozwiązywanie problemów", a następnie wybierz opcję „Opcje zaawansowane".

W menu opcji zaawansowanych wybierz „Ustawienia uruchamiania" i kliknij przycisk „Uruchom ponownie". W następnym oknie powinieneś kliknąć przycisk „F5" na klawiaturze. Spowoduje to ponowne uruchomienie systemu operacyjnego w trybie awaryjnym z obsługą sieci.

Film pokazujący jak uruchomić Windows 10 w „Trybie awaryjnym z obsługą sieci":

Wyodrębnij pobrane archiwum i uruchom plik Autoruns.exe.

W aplikacji Autoruns kliknij „Opcje" u góry i odznacz opcje „Ukryj puste lokalizacje" oraz „Ukryj wpisy Windows". Po tej procedurze kliknij ikonę „Odśwież".

Sprawdź listę dostarczoną przez aplikację Autoruns i znajdź plik malware, który chcesz usunąć.

Powinieneś zapisać pełną ścieżkę i nazwę. Zauważ, że niektóre malware ukrywa swoje nazwy procesów pod prawidłowymi nazwami procesów systemu Windows. Na tym etapie bardzo ważne jest, aby unikać usuwania plików systemowych. Po znalezieniu podejrzanego programu, który chcesz usunąć, kliknij prawym przyciskiem myszy jego nazwę i wybierz „Usuń".

Po usunięciu malware za pomocą aplikacji Autoruns (zapewnia to, że malware nie uruchomi się automatycznie przy następnym uruchomieniu systemu), należy wyszukać jego nazwę na komputerze. Przed kontynuowaniem należy włączyć ukryte pliki i foldery. Jeśli znajdziesz plik malware, upewnij się, że go usunąłeś.

Uruchom ponownie komputer w normalnym trybie. Wykonanie poniższych czynności powinno pomóc w usunięciu malware z twojego komputera. Należy pamiętać, że ręczne usuwanie zagrożeń wymaga zaawansowanych umiejętności obsługi komputera. Zaleca się pozostawienie usuwania malware programom antywirusowym i zabezpieczającym przed malware.

Te kroki mogą nie działać w przypadku zaawansowanych infekcji malware. Jak zawsze lepiej jest uniknąć infekcji niż później próbować usunąć malware. Aby zapewnić bezpieczeństwo swojego komputera, należy zainstalować najnowsze aktualizacje systemu operacyjnego i korzystać z oprogramowania antywirusowego. Aby mieć pewność, że twój komputer jest wolny od infekcji malware, zalecamy jego skanowanie za pomocą Combo Cleaner.

Często zadawane pytania (FAQ)

Mój komputer jest zainfekowany malware Agent Racoon. Czy trzeba sformatować urządzenie pamięci masowej, aby się go pozbyć?

Usuwanie złośliwego oprogramowania rzadko wymaga formatowania.

Jakie są największe problemy, jakie może powodować malware Agent Racoon?

To, jakie zagrożenia stwarza infekcja, zależy od możliwości szkodliwego oprogramowania i sposobu działania atakujących. Agent Racoon to backdoor – rodzaj złośliwego oprogramowania, który otwiera „tylne drzwi" do systemów w celu dalszej infekcji. Zaobserwowano, że był on używany w atakach z udziałem dwóch programów kradnących dane uwierzytelniające.

Tego rodzaju infekcje najprawdopodobniej prowadzą do poważnych problemów prywatności, strat finansowych i kradzieży tożsamości. Zagrożenia mogą być większe, jeśli zaatakowany podmiot jest szczególnie wrażliwy (np. organizacje świadczące podstawowe usługi itp.).

Jaki jest cel malware Agent Racoon?

Złośliwe oprogramowanie jest najczęściej wykorzystywane do generowania przychodów. Jednak cyberprzestępcy mogą również wykorzystywać to oprogramowanie do rozrywki, przeprowadzania osobistych wendet, zakłócania procesów (np. stron internetowych, usług, firm itp.), angażowania się w haktywizm i przeprowadzania ataków na tle politycznym/geopolitycznym.

Warto wspomnieć, że znane ataki Agent Racoon miały charakter geopolityczny na tyle, aby sugerować, że mógł je rozpropagować sponsorowany przez państwo ugrupowanie cyberprzestępcze.

Jak malware Agent Racoon przeniknęło do mojego komputera?

Złośliwe oprogramowanie rozsyła się głównie poprzez pocztę spamową, pobrania metodą drive-by, oszustwa internetowe, złośliwe reklamy, niewiarygodne źródła pobierania (np. witryny z freeware i stron trzecich, sieci udostępniania P2P itp.), nielegalne narzędzia do aktywacji oprogramowania („łamania" zabezpieczeń oprogramowania) oraz fałszywe aktualizacje. Co więcej, niektóre złośliwe programy mogą samodzielnie rozsyłać się poprzez sieci lokalne i wymienne urządzenia pamięci masowej.

Czy Combo Cleaner ochroni mnie przed złośliwym oprogramowaniem?

Tak, Combo Cleaner jest przeznaczony do wykrywania i usuwania wszelkiego rodzaju zagrożeń. Jest w stanie usunąć praktycznie wszystkie znane infekcje złośliwym oprogramowaniem. Należy pamiętać, że ponieważ wyrafinowane złośliwe programy zwykle ukrywają się głęboko w systemach – najważniejsze jest wykonanie pełnego skanowania systemu.

▼ Pokaż dyskusję