Difobot féreg

CH azonosító

CH-12717

Angol cím

Difobot worm

Felfedezés dátuma

2015.10.21.

Súlyosság

Alacsony

Érintett rendszerek

Microsoft
Windows

Érintett verziók

Windows 2000, Windows 7, Windows NT, Windows Server 2003, Windows Server 2008, Windows Vista, Windows XP

Összefoglaló

A Difobot féreg alapvetően kétféle módon képes terjedni. Egyrészt USB-s adathordozókat szemel ki magának, és a cserélhető meghajtókra másolja fel a kártékony állományait. Emellett pedig a Dropbox szolgáltatásait sem veti meg. Amennyiben képes a fertőzött rendszerről csatlakozni valamely Dropbox fiókhoz, akkor abba is feltölti a saját fájljait.

Leírás

A Difobot nemcsak a terjedésére koncentrál, hanem adatlopásból is kiveszi a részét. Ennek során folyamatosan naplózza a billentyűleütéseket, és képernyőképeket készít. Emellett rendszerparamétereket kérdez le, illetve Bitcoin információkat gyűjt.

A Difobot a virtuális környezeteket nem kedveli, ezért azokra nézve adott esetben kisebb kockázatot jelenthet.

Technikai részletek:

1. Létrehozza a következő állományokat:
%UserProfile%Application Datasvchost.exe
%SystemDrive%Documents and SettingsAll UsersStart MenuProgramsStartupWordPad.exe
%UserProfile%Application Dataky.config
%UserProfile%Application Datalogger.p
%UserProfile%Application DataElog.log
%UserProfile%Application DataFlog.log
%UserProfile%Application Datagrabbed.log

2. A regisztrációs adatbázishoz hozzáfűzi az alábbi bejegyzéseket:
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionpoliciessystem”EnableLUA” = “0”
HKEY_LOCAL_MACHINESOFTWAREMicrosoftSecurity Center”UACDisableNotify” = “0”

3. Csatlakozik egy vezérlőszerverhez.

4. Ellenőrzi a biztonsági szoftverek jelenlétét, illetve, hogy fizikai vagy virtuális környezetben fut-e.

5. Képernyőképeket ment le.

6. Rendszerinformációkat kérdez le.

7. Naplózza a billentyűleütéseket.

8. Bitcoin információkat gyűjt össze.

9. Esetenként frissíti a saját állományait.

10. Megpróbál USB-s adathordozókon keresztül terjedni.

11. Megpróbál Dropboxon keresztül terjedni.

Megoldás

  • Ne látogasson nem megbízható weboldalakat és ne kövessen ilyen hivatkozásokat (linkeket) se!
  • Használjon offline biztonsági mentést!
  • Az eltávolításban segítséget nyújthat: Norton Power Eraser (NPE), Norton Bootable Recovery Tool.

Legfrissebb sérülékenységek
CVE-2024-29944 – Mozilla Firefox ESR sérülékenysége
CVE-2024-29943 – Mozilla Firefox sérülékenysége
CVE-2024-28916 – Xbox Gaming Services sérülékenysége
CVE-2023-46808 – Ivanti Neurons for ITSM sérülékenysége
CVE-2024-2169 – UDP sérülékenysége
CVE-2023-41724 – Ivanti Standalone Sentry sérülékenysége
CVE-2024-27957 – Pie Register sérülékenysége
CVE-2024-25153 – Fortra FileCatalyst sérülékenysége
CVE-2024-21407 – Windows Hyper-V sérülékenysége
CVE-2024-21390 – Microsoft Authenticator sérülékenysége
Tovább a sérülékenységekhez »