En softwarefejl udnyttes af Kenety-ormen
Kenety søger at udnytte en sårbarhed i en populær applikation, da den spreder sig ved at angribe pc'er gennem en sårbarhed i RealVNC-software.
Efter at have deaktiveret Windows 'indbyggede firewall, forsøger Kenety-ormen at inficere yderligere computere ved at udnytte en sårbarhed i RealVNC. Hvis det ikke virker for ham, vil han ikke opgive kampen, da han vil prøve at oprette forbindelse til RealVNC baseret på en foruddefineret adgangskodeliste.
Ormens største trussel er at åbne en bagdør på inficerede computere, gennem hvilke angribere kan udføre følgende handlinger:
- opdater ormen
- download og kør filer
- Start FTP-server.
Når Kenety-ormen starter, udfører den følgende handlinger:
1. Opret følgende fil:
% ProgramFiles% \ Common Files \ Systemdata \ svchost.exe
2. Ændrer følgende registreringsdatabasenøgler:
HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ S haredAccess \ Parameters \ FirewallPolicy \ StandardProfile \ Auth orizedApplications \ List ”% ProgramFiles% \ Common Files \ Systemdata \ svchost.exe” = “% ProgramFiles% \ Common Files \ Systemdata \ svchost.exe: *: Aktiveret: synkronisering ”
HKEY_LOCAL_MACHINE \ SYSTEM \ ControlSet001 \ Services \ Share dAccess \ Parameters \ FirewallPolicy \ StandardProfile \ Authoriz edApplications \ List ”% ProgramFiles% \ Common Files \ Systemdata \ svchost.exe” = “% ProgramFiles% \ Common Files \ Systemdata \ svchost.exe: *: Aktiveret: synkronisering ”
Dette deaktiverer den indbyggede Windows Firewall.
3. Opretter en tjeneste kaldet Sync.
4. Opretter følgende poster i registreringsdatabasen:
HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ S ysdate
HKEY_LOCAL_MACHINE \ SYSTEM \ ControlSet001 \ Services \ Sysda te
5. Det åbner en bagdør gennem TCP-port 8888 og opretter derefter forbindelse til eksterne servere.
6. Venter på angribernes ordrer.
7. RealVNC forsøger at sprede sig ved at udnytte en af godkendelsessårbarhederne. Hvis dette mislykkes, forsøger det at oprette forbindelse til RealVNC-applikationer baseret på en foruddefineret adgangskodeliste.
