Brambul féreg

CH azonosító

CH-12263

Angol cím

Brambul worm

Felfedezés dátuma

2015.05.21.

Súlyosság

Alacsony

Érintett rendszerek

Microsoft

Érintett verziók

Microsoft Windows

Összefoglaló

A Brambul féreg hálózati megosztásokon keresztül képes terjedni a számítógépek között. Mindezt olyan módon éri el, hogy pontosan feltérképezi a hálózatokat, illetve a megosztásokat. Amennyiben ez nem sikerül számára, akkor véletlenszerűen generált IP címekkel próbálkozik. Ha ráakad egy megosztásra, akkor ahhoz megpróbál csatlakozni gyakran használt felhasználónév és jelszó párosok segítségével. Ha hozzáférést szerez, akkor a PC-re felmásolja a saját fájlját.

Leírás

A Brambul nemcsak arra használja fel a hálózati megosztásokkal kapcsolatos adatokat, hogy a saját kódját terjessze. Emellett ugyanis a terjesztőit értesíti a kipuhatolt adatokról, így azok a további károkozásaik során felhasználhatják a hálózati és hozzáférési információkat.

1. Feltérképezi a hálózatokat vagy véletlenszerű IP címekkel számítógépeket keres.

2. Lekérdezi a hálózati megosztásokat.

3. A megosztásokhoz előre definiált felhasználónév és jelszó párosokkal megpróbál csatlakozni.

4. Amennyiben sikeresen kapcsolódik egy megosztáshoz, akkor arra felmásolja a következő állományokat:
%Windir%.crss.exe
%System%lsasvc.exe

5. A regisztrációs adatbázishoz hozzáadja az alábbi értékeket:
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun”Windows Update” = “[a féreg elérési útvonala]”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceswglmgr”ImagePath” = “cmd.exe /c “net share admin$””
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceswglmgr”DisplayName” = “Windows Genuine Logon Manager”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceswgudtr”ImagePath” = “%SystemRoot%csrss.exe”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceswgudtr”DisplayName” = “Microsoft Windows Genuine Updater”

6. Rendszerinformációkat gyűjt össze, illetve szivárogtat ki.

Megoldás

Frissítse az antivírus-szoftver adatbázisát a kártevő felismeréséhez és eltávolításához.