Brambul féreg

CH azonosító

CH-12263

Angol cím

Brambul worm

Felfedezés dátuma

2015.05.21.

Súlyosság

Alacsony

Érintett rendszerek

Microsoft

Érintett verziók

Microsoft Windows

Összefoglaló

A Brambul féreg hálózati megosztásokon keresztül képes terjedni a számítógépek között. Mindezt olyan módon éri el, hogy pontosan feltérképezi a hálózatokat, illetve a megosztásokat. Amennyiben ez nem sikerül számára, akkor véletlenszerűen generált IP címekkel próbálkozik. Ha ráakad egy megosztásra, akkor ahhoz megpróbál csatlakozni gyakran használt felhasználónév és jelszó párosok segítségével. Ha hozzáférést szerez, akkor a PC-re felmásolja a saját fájlját.

Leírás

A Brambul nemcsak arra használja fel a hálózati megosztásokkal kapcsolatos adatokat, hogy a saját kódját terjessze. Emellett ugyanis a terjesztőit értesíti a kipuhatolt adatokról, így azok a további károkozásaik során felhasználhatják a hálózati és hozzáférési információkat.

1. Feltérképezi a hálózatokat vagy véletlenszerű IP címekkel számítógépeket keres.

2. Lekérdezi a hálózati megosztásokat.

3. A megosztásokhoz előre definiált felhasználónév és jelszó párosokkal megpróbál csatlakozni.

4. Amennyiben sikeresen kapcsolódik egy megosztáshoz, akkor arra felmásolja a következő állományokat:
%Windir%.crss.exe
%System%lsasvc.exe

5. A regisztrációs adatbázishoz hozzáadja az alábbi értékeket:
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun”Windows Update” = “[a féreg elérési útvonala]”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceswglmgr”ImagePath” = “cmd.exe /c “net share admin$””
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceswglmgr”DisplayName” = “Windows Genuine Logon Manager”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceswgudtr”ImagePath” = “%SystemRoot%csrss.exe”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceswgudtr”DisplayName” = “Microsoft Windows Genuine Updater”

6. Rendszerinformációkat gyűjt össze, illetve szivárogtat ki.

Megoldás

Frissítse az antivírus-szoftver adatbázisát a kártevő felismeréséhez és eltávolításához.


Legfrissebb sérülékenységek
CVE-2023-38823 – Tenda AC routerek sérülékenysége
CVE-2023-43177 – CrushFTP sérülékenysége
cve-2023-36439 – Microsoft Exchange szerver sérülékenysége
CVE-2023-23368 – QNAP QTS sérülékenysége
CVE-2023-22518 – Confluence Data Center és Server sérülékenysége
CVE-2023-20273 – Cisco IOS XE Web UI jogosultság kiterjesztés sérülékenysége
CVE-2023-20198 – Cisco IOS XE Web UI sérülékenysége
CVE-2023-4966 – NetScaler ADC és NetScaler Gateway sérülékenysége
CVE-2023-20101 – Cisco Emergency Responder 12.5(1)SU4 sérülékenysége
CVE-2023-22515 – Atlassian Confluence Data Center és Server sérülékenysége
Tovább a sérülékenységekhez »