Hoe Windows Calculator malware van het besturingssysteem te verwijderen
Geschreven door Tomas Meskauskas op (bijgewerkt)
Wat is Windows Calculator malware?
Bij het analyseren van een e-mail met een schadelijke bijlage hebben we ontdekt dat de bedreigers achter Qakbot (ook bekend als QBot) een DLL-hijackingmethode gebruiken om malware te verspreiden. Ze misbruiken de Windows 7 Calculator-toepassing in hun aanvallen. Momenteel is bekend dat Qakbot wordt gebruikt als dropper voor ransomware.
Windows Calculator malware in detail
Zoals we in de inleiding hebben vermeld, wordt Qakbot verspreid via een DLL hijacking methode. Bij dergelijke aanvallen wordt kwaadaardige code in een toepassing geïnjecteerd door misbruik te maken van de manier waarop de rekenmachine van Windows 7 DLL's zoekt en laadt. Deze aanvallen zijn succesvol wanneer gebruikers een geïnfecteerd DLL-bestand laden vanuit dezelfde map als de beoogde toepassing.
Bij deze aanvallen infecteert Qakbot computers via HTML-bestanden die via e-mail worden verzonden. Deze HMTL-bestanden zijn ontworpen om een met een wachtwoord beveiligd ZIP-archief te downloaden met daarin een ISO-bestand. Dat ISO-bestand bevat vijf bestanden, waaronder een snelkoppelingsbestand (.LNK). Door de snelkoppeling te openen wordt Calc.exe uitgevoerd via de opdrachtprompt.
Wanneer het is geladen, probeert de Windows 7 Calculator automatisch het legitieme WindowsCodecs DLL-bestand te laden. Echter, zonder te controleren op de DLL in bepaalde hard-coded paden, laadt de Windows 7 Calculator elke DLL met dezelfde naam (indien geplaatst in dezelfde map als het Calc.exe uitvoerbare bestand). Hierdoor kunnen cybercriminelen computers infecteren met Qakbot via hun schadelijke WindowsCodecs.dll bestand.
Qakbot stond erom bekend dat het werd gebruikt om gevoelige informatie te stelen (aanmeldingsgegevens voor bankrekeningen). Recentelijk is deze malware gebruikt om ransomware te verspreiden. Slachtoffers van Qakbot aanvallen laten hun bestanden dus uiteindelijk versleutelen.
| Naam | Qakbot Trojan |
| Type bedreiging | Trojan |
| Detectienamen (HTML-bestand dat een ZIP-bestand downloadt dat een ISO-bestand bevat) | Ad-aware (Trojan.GenericKD.50616470), Combo Cleaner (Trojan.GenericKD.50616470), ESET-NOD32 (JS/TrojanDropper.Agent.OSH), Ikarus (Trojan-Dropper.JS.Agent), Microsoft (Trojan:HTML/Qakbot.AMM!MTB), Volledige lijst (VirusTotal) |
| Detectienamen (ISO-bestand bevat) | Avast (Other:Malware-gen [Trj]), Combo Cleaner (Trojan.GenericKD.49349603), ESET-NOD32 (Multiple Detections), Kaspersky (Trojan-Banker.Win32.Qbot.agir), Microsoft (TrojanDownloader:O97M/Qakbot.BKK), Volledige lijst (VirusTotal) |
| Detectienamen (Dirottata DLL) | Avast (Win32:DangerousSig [Trj]), Combo Cleaner (Trojan.GenericKD.49349603), ESET-NOD32 (Win32/Qbot.DM), Kaspersky (Trojan-Banker.Win32.Qbot.agir), Microsoft (Trojan:Win32/Qakbot.MD!MTB), Volledige lijst (VirusTotal) |
| Payload | Qakbot |
| Symptomen | Op een besmette machine zijn geen bijzondere symptomen duidelijk zichtbaar (DLL-kapingaanvallen worden uitgevoerd via legitieme programma's om detectie te vermijden) |
| Verspreidingsmethodes | Geïnfecteerde e-mailbijlagen |
| Schade | Data encryptie, verlies van gevoelige informatie. |
| Malware verwijderen (Windows) | Om mogelijke malware-infecties te verwijderen, scant u uw computer met legitieme antivirussoftware. Onze beveiligingsonderzoekers raden aan Combo Cleaner te gebruiken. |
Meer over DLL hijacking
DLL hijacking aanvallen zijn vaak succesvol omdat ze worden uitgevoerd via legitieme programma's (zoals Windows Calculator). In dergelijke gevallen detecteren niet alle beveiligingsoplossingen de malware wanneer deze wordt geladen. Het is vermeldenswaard dat DLL hijacking aanvallen niet langer worden uitgevoerd via de Windows 10 Calculator versie.
Hoe heeft Windows Calculator malware mijn computer geïnfiltreerd?
Cybercriminelen achter deze campagne gebruiken e-mail om Qakbot te verspreiden. Ze sturen een kwaadaardig HTML-bestand dat is ontworpen om een met een wachtwoord beveiligd ZIP-bestand te downloaden dat een ISO-bestand bevat. Computers worden geïnfecteerd met Qakbot via een snelkoppelingsbestand dat in dat ISO-bestand is geplaatst.
Dat snelkoppelingsbestand voert Windows 7 Calculator uit. Wanneer de app wordt geladen, probeert hij het legitieme WindowsCodecs DLL-bestand te vinden. Hij laadt echter elke DLL (in dit geval een kwaadaardige DLL die is ontworpen om computers met Qakbot te infecteren) als die DLL dezelfde naam heeft en in dezelfde map is geplaatst als het Calc.exe bestand.
Hoe voorkom ik de installatie van malware?
Open geen bijlagen (documenten en andere bestanden) en koppelingen in e-mails die van onbekende of verdachte e-mailadressen zijn ontvangen. Merk op dat e-mails met kwaadaardige koppelingen of bestanden meestal irrelevant zijn en vermomd zijn als officiële e-mails van legitieme entiteiten. Download ook software van officiële pagina's.
Gebruik geen P2P-netwerken, downloaders van derden, gratis bestandshostingsites en soortgelijke bronnen om bestanden/software te downloaden. Houd het besturingssysteem (en geïnstalleerde programma's) up to date. Gebruik de hulpmiddelen van de officiële softwareontwikkelaars om de geïnstalleerde software bij te werken. Gebruik gereputeerde antivirussoftware voor computerbescherming en voer regelmatig systeemscans uit.
Als u denkt dat uw computer al geïnfecteerd is, raden wij u aan een scan uit te voeren met Combo Cleaner om geïnfiltreerde malware automatisch te verwijderen.
Kwaadaardig HTML-bestand dat Windows Calculator-malware verspreidt (een archief met een kwaadaardige ISO):
Inhoud van het kwaadaardige ISO-bestand:
Onmiddellijke automatische malwareverwijdering:
Handmatig de dreiging verwijderen, kan een langdurig en ingewikkeld proces zijn dat geavanceerde computer vaardigheden vereist. Combo Cleaner is een professionele automatische malware verwijderaar die wordt aanbevolen om malware te verwijderen. Download het door op de onderstaande knop te klikken:
▼ DOWNLOAD Combo Cleaner
De gratis scanner controleert of uw computer geïnfecteerd is. Om het volledige product te kunnen gebruiken moet u een licentie van Combo Cleaner kopen. Beperkte proefperiode van 7 dagen beschikbaar. Combo Cleaner is eigendom van en wordt beheerd door Rcs Lt, het moederbedrijf van PCRisk. Lees meer. Door het downloaden van software op deze website verklaar je je akkoord met ons privacybeleid en onze algemene voorwaarden.
Snelmenu:
- Wat is Windows Calculator malware?
- STAP 1. Handmatige verwijdering van Windows rekenmachine malware.
- STAP 2. Controleer of uw computer schoon is.
Hoe verwijder ik malware handmatig?
Handmatig malware verwijderen is een ingewikkelde taak - meestal is het het beste om antivirus of anti-malware programma's dit automatisch te laten doen. Om deze malware te verwijderen raden wij u aan Combo Cleaner te gebruiken.
Als u malware handmatig wilt verwijderen, is de eerste stap het identificeren van de naam van de malware die u probeert te verwijderen. Hier is een voorbeeld van een verdacht programma dat draait op de computer van een gebruiker:
Als u de lijst met programma's die op uw computer draaien hebt gecontroleerd, bijvoorbeeld met taakbeheer, en een programma hebt gevonden dat er verdacht uitziet, moet u verdergaan met deze stappen:
Download een programma genaamd Autoruns. Dit programma toont automatisch opstartende toepassingen, register- en bestandssysteemlocaties:
Herstart uw computer in Veilige modus:
Windows XP en Windows 7 gebruikers: Start uw computer in veilige modus. Klik op Start, klik op Afsluiten, klik op Opnieuw opstarten, klik op OK. Druk tijdens het opstarten van uw computer meerdere malen op de toets F8 op uw toetsenbord totdat u het menu Geavanceerde opties van Windows ziet en selecteer vervolgens Veilige modus met netwerkmogelijkheden in de lijst.
Video die toont hoe Windows 7 op te starten in "Veilige modus met netwerkmogelijkheden":
Windows 8 gebruikers: Windows 8 starten in veilige modus met netwerkmogelijkheden - Ga naar het startscherm van Windows 8, typ Geavanceerd, selecteer in de zoekresultaten Instellingen. Klik op Geavanceerde opstartopties, in het geopende venster "Algemene pc-instellingen" selecteert u Geavanceerd opstarten.
Klik op de knop "Nu opnieuw opstarten". Uw computer zal nu opnieuw opstarten in het "Geavanceerde opstartopties menu". Klik op de knop "Problemen oplossen", en vervolgens op de knop "Geavanceerde opties". In het scherm met geavanceerde opties klikt u op "Opstartinstellingen".
Klik op de knop "Herstarten". Uw PC zal opnieuw opstarten in het scherm "Opstartinstellingen". Druk op F5 om op te starten in Veilige modus met netwerkmogelijkheden.
Video die toont hoe Windows 8 op te starten in "Veilige modus met netwerkmogelijkheden":
Windows 10 gebruikers: Klik op het Windows-logo en selecteer het pictogram Power. Klik in het geopende menu op "Herstart" terwijl u de "Shift"-toets op uw toetsenbord ingedrukt houdt. In het venster "Kies een optie" klikt u op "Problemen oplossen", vervolgens selecteert u "Geavanceerde opties".
In het menu "Geavanceerde opties" selecteert u "Opstartinstellingen" en klikt u op de knop "Herstarten". In het volgende venster moet u op de toets "F5" op uw toetsenbord klikken. Hierdoor wordt uw besturingssysteem opnieuw opgestart in de veilige modus met netwerkmogelijkheden.
Video die toont hoe Windows 10 op te starten in "Veilige modus met netwerkmogelijkheden":
Pak het gedownloade archief uit en voer het Autoruns.exe bestand uit.
In de Autoruns toepassing, klik op "Opties" bovenaan en verwijder het vinkje bij "Lege Locaties Verbergen" en "Windows Entries Verbergen" opties. Klik na deze procedure op het pictogram "Vernieuwen".
Check de lijst die door de Autoruns toepassing en zoek het malware bestand dat u wilt verwijderen.
U moet het volledige pad en de naam opschrijven. Merk op dat sommige malware procesnamen verbergt onder legitieme Windows procesnamen. In dit stadium is het zeer belangrijk om te vermijden dat systeembestanden worden verwijderd. Nadat u het verdachte programma hebt gevonden dat u wilt verwijderen, klikt u met de rechtermuisknop op de naam ervan en kiest u "Verwijderen".
Na het verwijderen van de malware via de Autoruns toepassing (dit zorgt ervoor dat de malware niet automatisch wordt uitgevoerd bij het volgende opstarten van het systeem), moet u zoeken naar de naam van de malware op uw computer. Zorg ervoor dat u verborgen bestanden en mappen inschakelt voordat u verder gaat. Als u de bestandsnaam van de malware vindt, moet u deze verwijderen.
Herstart uw computer in de normale modus. Het volgen van deze stappen zou alle malware van uw computer moeten verwijderen. Merk op dat het handmatig verwijderen van bedreigingen geavanceerde computervaardigheden vereist. Als u deze vaardigheden niet hebt, laat malwareverwijdering dan over aan antivirus- en anti-malwareprogramma's.
Deze stappen werken mogelijk niet bij geavanceerde malware-infecties. Zoals altijd is het beter om infectie te voorkomen dan te proberen later malware te verwijderen. Om uw computer veilig te houden, installeert u de nieuwste updates voor het besturingssysteem en gebruikt u antivirussoftware. Om er zeker van te zijn dat uw computer vrij is van malware-infecties, raden wij u aan uw computer te scannen met Combo Cleaner.
Veelgestelde vragen (FAQ)
Mijn computer is geïnfecteerd met Windows Calculator malware, moet ik mijn opslagapparaat formatteren om er vanaf te komen?
Deze malware kan worden verwijderd zonder het opslagapparaat te formatteren. Onze handleiding voor het verwijderen van malware vindt u hierboven.
Wat zijn de grootste problemen die malware kan veroorzaken?
Het kan verschillende problemen veroorzaken (het hangt af van het type malware). Het kan bijvoorbeeld identiteitsdiefstal, gegevens- en geldverlies, extra computerinfecties, verlies van toegang tot persoonlijke accounts, en andere problemen veroorzaken.
Wat is het doel van Windows Calculator-malware?
Cybercriminelen gebruiken DLL hijacking techniek om computers te infecteren met Qakbot via de Windows 7 Calculator. Deze malware wordt gebruikt als een dropper voor ransomware (het infecteert computers met malware die is ontworpen om bestanden te versleutelen).
Hoe is de Qakbot-malware in mijn computer geïnfiltreerd?
Bedreigers gebruiken e-mail om Qakbot te verspreiden. Ze sturen e-mails met een schadelijk HTML-bestand dat een met een wachtwoord beveiligd ZIP-archief downloadt met daarin een ISO-bestand. Dat ISO-bestand bevat een snelkoppelingsbestand (.LNK) en andere bestanden. De malware wordt geïnjecteerd na het openen van dat snelkoppelingsbestand. Meer details over de infectieketen vindt u in ons artikel.
Zal Combo Cleaner mij beschermen tegen malware?
Ja, Combo Cleaner kan bijna alle bekende malware detecteren en verwijderen van computers. Een computer die is geïnfecteerd met high-end malware moet worden gescand met een volledige scan - dit soort malware verbergt zich meestal diep in het systeem.
Uitmuntend!
▼ Toon discussie