Összefoglaló
A Brambul féreg hálózati megosztásokon keresztül képes terjedni a számítógépek között. Mindezt olyan módon éri el, hogy pontosan feltérképezi a hálózatokat, illetve a megosztásokat. Amennyiben ez nem sikerül számára, akkor véletlenszerűen generált IP címekkel próbálkozik. Ha ráakad egy megosztásra, akkor ahhoz megpróbál csatlakozni gyakran használt felhasználónév és jelszó párosok segítségével. Ha hozzáférést szerez, akkor a PC-re felmásolja a saját fájlját.
Leírás
A Brambul nemcsak arra használja fel a hálózati megosztásokkal kapcsolatos adatokat, hogy a saját kódját terjessze. Emellett ugyanis a terjesztőit értesíti a kipuhatolt adatokról, így azok a további károkozásaik során felhasználhatják a hálózati és hozzáférési információkat.
1. Feltérképezi a hálózatokat vagy véletlenszerű IP címekkel számítógépeket keres.
2. Lekérdezi a hálózati megosztásokat.
3. A megosztásokhoz előre definiált felhasználónév és jelszó párosokkal megpróbál csatlakozni.
4. Amennyiben sikeresen kapcsolódik egy megosztáshoz, akkor arra felmásolja a következő állományokat:
%Windir%.crss.exe
%System%lsasvc.exe
5. A regisztrációs adatbázishoz hozzáadja az alábbi értékeket:
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun”Windows Update” = “[a féreg elérési útvonala]”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceswglmgr”ImagePath” = “cmd.exe /c “net share admin$””
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceswglmgr”DisplayName” = “Windows Genuine Logon Manager”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceswgudtr”ImagePath” = “%SystemRoot%csrss.exe”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceswgudtr”DisplayName” = “Microsoft Windows Genuine Updater”
6. Rendszerinformációkat gyűjt össze, illetve szivárogtat ki.
Megoldás
Frissítse az antivírus-szoftver adatbázisát a kártevő felismeréséhez és eltávolításához.
Támadás típusa
Information disclosure (Információ/adat szivárgás)Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
Egyéb referencia: isbk.hu