Trojan Nymeria
Escrito por Tomas Meskauskas a (atualizado)
Guia de remoção do vírus Nymeria
O que é Nymeria?
Nymeria (também conhecido como Loda) é um vírus de Trojan de alto risco, que serve como um keylogger e uma ferramenta de acesso remoto (RAT). Este malware está escrito na linguagem de script AutoIT. Embora bastante simples do ponto de vista técnico, o Nymeria é extremamente perigoso e pode causar problemas relacionados à segurança e privacidade do computador. A pesquisa demonstra que, na maioria dos casos, os criminosos cibernéticos proliferam Nymeria usando campanhas de spam por email.
Como mencionado acima, o Nymeria é capaz de executar várias ações, dependendo do "ator da ameaça", uma vez que Nymeria foi projetado para receber comandos de um Comando e Controlo (servidor C&C). Após uma infiltração bem-sucedida, o Nymeria coloca uma cópia da sua imagem executável na pasta "%TEMP%" e cria uma tarefa agendada para que é executada constantemente. Além disso, Nymeria regista vários parâmetros/informações do sistema e envia para o servidor remoto. Pode ver a lista de dados recolhidos abaixo. A comunicação é então feita com o servidor C&C do qual o Nymeria é capaz de descarregar e fazer o carregamento de ficheiros. Também grava as teclas digitadas e envia os dados gravados para o C&C. O Nymeria pode controlar a webcam, o microfone do computador, fechar processos em execução e executar várias outras tarefas maliciosas (a funcionalidade do Nymeria também está listada abaixo). O programa é controlado através de um servidor C&C idêntico - dessa forma, os criminosos remotamente enviam comandos específicos para o Nymeria executar. A presença desse malware pode levar a sérias conseqüências. Em primeiro lugar, os criminosos cibernéticos podem obter acesso às contas pessoais da vítima, incluindo e-mail, rede social, bancos e assim por diante. Podem roubar a identidade das vítimas, causar vários problemas de privacidade e roubar dinheiro. Além disso, como o Nymeria descarrega e executa vários ficheiros, pode ser usado como um "backdoor" para se infiltrar noutro malware no sistema. Anteriormente, o Nymeria era usado para proliferar outra infecção por malware de alto risco chamada ISR Stealer, que também rouba credenciais da conta. De fato, o malware capaz de executar um conjunto específico de ações geralmente é usado para proliferar outros vírus que abrangem diferentes funcionalidades. Seja como for, a presença do Nymeria pode levar à infiltração de ransomware, o que pode levar à perda permanente de dados - os vírus do tipo ransomware são projetados para encriptar ficheiros e fazer exigências de resgate. Pagar qualquer resgate não dá valor real, já que os criminosos geralmente ignoram as vítimas. Portanto, se for afetado por uma infecção por ransomware, a melhor solução é restaurar tudo de uma cópia de segurança. Observe que o Nymeria pode manipular a webcam e o microfone do computador, os quais podem ser usados para gravar o utilizador. Os criminosos cibernéticos costumam alegar que gravaram material comprometedor e usam-no para fins de chantagem. Em resumo, o Nymeria representa uma ameaça significativa à sua privacidade, computador, dados e segurança financeira. Portanto, elimine esta infecção imediatamente.
| Nome | vírus Trojan.Nymeria |
| Tipo de Ameaça | Trojan, vírus de roubo de palavras-passe, malware para bancos, spyware |
| Nomes de Detecção | Avast (Win32:Malware-gen), BitDefender (AIT:Trojan.Nymeria.219), ESET-NOD32 (Uma Variante De Win32/Autoit.CK), Kaspersky (Trojan-Dropper.Win32.Scrop.ecv), Lista completa (VirusTotal) |
| Nome(s) do Processo Fraudulento | JARBRY.exe (o nome do processo pode variar dependendo do executável malicioso). |
| Sintomas | Os trojans são projetados para se infiltrarem furtivamente no computador da vítima e permanecerem silenciosos, assim, nenhum sintoma específico é claramente visível numa máquina infectada. |
| Métodos de distribuição | Anexos de e-mail infectados, anúncios on-line maliciosos, engenharia social, software pirateado. |
| Danos | Informações bancárias roubadas, palavras-passe, roubo de identidade, computador da vítima adicionado a um botnet. |
| Remoção | Para eliminar possíveis infecções por malware, verifique o seu computador com software antivírus legítimo. Os nossos investigadores de segurança recomendam a utilização do Combo Cleaner. |
Existem muitos vírus do tipo trojan semelhantes ao Nymeria, incluindo, por exemplo, FormBook, Hancitor, TrickBot, e Adwind. Nem todos são tão versáteis quanto Nymeria. Alguns reúnem informações, enquanto outros usam mal os recursos do sistema para minerar criptomoedas ou causar "infecções em cadeia". Embora esse comportamento seja diferente, a sua presença pode levar a problemas relacionados à privacidade e segurança do computador. Portanto, deve eliminar essas ameaças imediatamente.
Como é que Nymeria se infiltrou no meu computador?
Como mencionado acima, Nymeria é distribuído principalmente usando campanhas de e-mail spam. Os criminosos cibernéticos enviam milhares de e-mails enganosos com anexos maliciosos (normalmente documentos do Microsoft Word). Esses e-mails contêm mensagens enganosas, incentivando os utilizadores a abrir ficheiros anexados (ou, em alguns casos, links que levam a esses ficheiros). Os criminosos geralmente afirmam ser funcionários de empresas populares e apresentam esses anexos como faturas, contas, etc. Uma vez abertos, os documentos do MS Office solicitam aos utilizadores que ativem comandos de macro; no entanto, ao fazê-lo, os utilizadores inadvertidamente concedem permissão para o descarregamento de anexos e o Nymeria instalado no sistema. Embora a maioria dos ficheiros usados para proliferar o Nymeria sejam documentos do Microsoft Word, também foi proliferado usando links de descarregamento direto, PDFs e ficheiros executáveis.
Como evitar a instalação de malware?
A falta de conhecimentos dessas ameaças e o comportamento imprudente são as principais razões para infecções por computador. A chave de segurança é precaução. Por isso, prestar atenção ao navegar na Internet é essencial. Recomendamos vivamente que pense duas vezes antes de abrir anexos de email. Se o ficheiro/link foi enviado por alguém suspeito/irreconhecível ou parece irrelevante (não lhe diz respeito), não o abra. Lembre-se de que essas pessoas frequentemente abusam da curiosidade dos utilizadores - não caem nessa manobra. Ter um pacote anti-vírus/anti-spyware legítimo instalado e em execução em todos os momentos - este software pode detectar e eliminar o malware antes que cause algum dano. Se acredita que o seu computador já está infectado, recomendamos que execute uma verificação com Combo Cleaner para eliminar automaticamente o malware infiltrado.
Screenshot do executável Nymeria na pasta "%TEMP%":
Anexo malicioso distribuindo Nymeria:
Lista de informações do sistema recolhidas por Nymeria:
- Uma string codificada (vista victim, Clientv4)
- String codificada (vista 'ddd')
- Fornecedor AV instalado (enumerado por meio de nomes de processos em execução)
- Versão de malware, ou seja, 1.0.1
- Monitorar a resolução num formato especial ("Pr[Height]X2[Width]X3")
- Tipo de sistema operacional (pode ser "laptop", "Desktop" ou "x", enumerado usando a consulta WMI "Select * from Win32_SystemEnclosure")
- Nome da conta do utilizador
- Versão (beta)
- País da vítima
- Endereço IP da vítima
- Webcam instalada (Sim ou Não, enumerada usando capGetDriverDescription de Avicap32.dll)
- Arquitetura do Windows (X64 ou X86)
- versão Windows
Lista dos recursos do Nymeria:
- Comando básico ShellExecute
- Tire o screenshot e envie para C&C
- Alterar papel de parede através de modificações no registo
- Feche um processo em execução
- Feche o Windows Media Player (provavelmente relacionado a acima)
- Copiar ficheiro ou diretório (caminhos solicitados a C&C)
- Crie uma janela de Chat GUI (conversa vítima/atacante salva num ficheiro; veja a Imagem 8)
- Excluir cookies Chrome/Firefox (fecha os navegadores para fazer isso)
- Excluir dados do keylogger
- Detectar configurações de UAC
- Faça o descarregamento e execute um ficheiro (caminho HTTP especificado em C&C)
- Descarregue e reproduza ficheiros .wav de C&C
- Enumerar unidades conectadas
- Enumerar locais de pastas comuns (Área de trabalho/Imagens/Perfil/Appdata/Temp)
- Execute um Windows Media Player oculto transmitido por um MMS de rádio árabe
- Obter tamanhos de ficheiro ou diretório (caminho solicitado de C&C)
- Abrir/Fechar a bandeja do CD
- Leia o texto para a vítima usando SAPI.SpVoice (texto enviado porC&C)
- Receba dados de C&C e grave como binário (executável) e execute-o
- Receba texto da C&C e grave no ficheiro (provavelmente para ficheiros em lote)
- Gravar webcam
- Grave sons de microfone usando o Windows Sound Recorder
- Envie um ficheiro para C&C
- Enviar cliques do rato (esquerda ou direita, sendo comandos separados)
- Enviar nomes de processos em execução para C&C
- PC vítima de desligamento
- Carregar dados do keylogger
- Ficheiros zip/descompactados (para exfiltrar no C&C ou descompactar do C&C)
Remoção automática instantânea do malware:
A remoção manual de ameaças pode ser um processo moroso e complicado que requer conhecimentos informáticos avançados. O Combo Cleaner é uma ferramenta profissional de remoção automática do malware que é recomendada para se livrar do malware. Descarregue-a clicando no botão abaixo:
▼ DESCARREGAR Combo Cleaner
O verificador gratuito faz uma verificação se o seu computador estiver infetado. Para usar a versão completa do produto, precisa de comprar uma licença para Combo Cleaner. 7 dias limitados para teste grátis disponível. O Combo Cleaner pertence e é operado por Rcs Lt, a empresa-mãe de PCRisk. Leia mais. Ao descarregar qualquer software listado no nosso website, concorda com a nossa Política de Privacidade e Termos de Uso.
Menu rápido:
- O que é Nymeria?
- PASSO 1. Remoção manual do malware Nymeria.
- PASSO 2. Verifique se o seu computador está limpo.
Como remover o malware manualmente?
A remoção manual de malware é uma tarefa complicada - geralmente é melhor permitir que programas antivírus ou anti-malware façam isso automaticamente. Para remover este malware, recomendamos o uso de Combo Cleaner. Se deseja remover malware manualmente, a primeira etapa é identificar o nome do malware que está a tentar remover. Aqui está um exemplo de um programa suspeito em execução no computador de um utilizador:
Se verificou a lista de programas em execução no seu computador, por exemplo, a usar o gestor de tarefas e identificou um programa que parece suspeito, deve continuar com estas etapas:
Descarregue um programa denominado Autoruns. Este programa mostra as aplicações de inicialização automática, o Registo e os locais do sistema de ficheiros:
Reinicie o computador no modo de segurança:
Utilizadores Windows XP e Windows 7: Inicie o seu computador no Modo Seguro. Clique em Iniciar, Clique em Encerrar, clique em Reiniciar, clique em OK. Durante o processo de início do seu computador pressione a tecla F8 no seu teclado várias vezes até ver o menu Opções Avançadas do Windows e, em seguida, seleccione Modo Segurança com Rede da lista.
O vídeo demonstra como iniciar o Windows 7 "Modo de Segurança com Rede"
Utilizadores Windows 8: Inicie o Windows 8 com Modo Segurança com Rede - Vá para o ecrã de início Windows 8, escreva Avançado, nos resultados da pesquisa, selecione Configurações. Clique em opções de inicialização avançadas, na janela aberta "Definições Gerais de PC", seleccione inicialização Avançada. Clique no botão "Reiniciar agora". O seu computador será reiniciado no "Menu de opções de inicialização avançadas". Clique no botão "Solucionar Problemas" e, em seguida, clique no botão "Opções avançadas". No ecrã de opções avançadas, clique em "Definições de inicialização". Clique no botão "Reiniciar". O seu PC será reiniciado no ecrã de Definições de Inicialização. Pressione F5 para iniciar em Modo de Segurança com Rede.
O vídeo demonstra como começar Windows 8 "Modo de Segurança com Rede":
Utilizadores Windows 10: Clique no logotipo do Windows e seleccione o ícone Energia. No menu aberto, clique em "Reiniciar", mantendo o botão "Shift" premido no seu teclado. Na janela "escolher uma opção", clique em "Solucionar Problemas" e selecione "Opções avançadas". No menu de opções avançadas, selecione "Startup Settings" e clique no botão "Reiniciar". Na janela seguinte deve clicar no botão "F5" do seu teclado. Isso irá reiniciar o sistema operacional em modo de segurança com rede.
O vídeo demonstra como iniciar o Windows 10 "Modo de Segurança com Rede":
Extraia o ficheiro descarregue e execute o ficheiro Autoruns.exe.
Na aplicação Autoruns, clique em "Opções" na parte superior e desmarque as opções "Ocultar locais vazios" e "Ocultar entradas do Windows". Após este procedimento, clique no ícone "Atualizar".
Verifique a lista fornecida pelo aplicação Autoruns e localize o ficheiro de malware que deseja eliminar.
Deve anotar o caminho completo e o nome. Observe que alguns malwares ocultam seus nomes de processos em nomes de processos legítimos do Windows. Nesta fase, é muito importante evitar a remoção de ficheiros do sistema. Depois de localizar o programa suspeito que deseja remover clique com o mouse sobre o nome dele e escolha "Excluir"
Depois de remover o malware por meio do aplicação Autoruns (isso garante que o malware não seja executado automaticamente na próxima inicialização do sistema), deve procurar o malware name em seu computador. Certifique-se de ativar ficheiros e pastas ocultos antes de continuar. Se encontrar o nome do ficheiro do malware,
Inicie o seu computador no Modo Seguro. Seguir estes passos deve ajudar a remover qualquer malware do seu computador. Observe que a remoção manual de ameaças requer habilidades avançadas de computação. Se não tiver essas habilidades, deixe a remoção de malware para programas antivírus e anti-malware. Essas etapas podem não funcionar com infecções avançadas por malware. Como sempre, é melhor prevenir a infecção do que tentar remover o malware posteriormente. Para manter o seu computador seguro, certifique-se de instalar as atualizações mais recentes do sistema operacional e de usar o software antivírus.
Para garantir que o seu computador esteja livre de infecções por malware, recomendamos analisá-lo com Combo Cleaner.
Excelente!
▼ Mostrar comentários