Difobot féreg

CH azonosító

CH-12717

Angol cím

Difobot worm

Felfedezés dátuma

2015.10.21.

Súlyosság

Alacsony

Érintett rendszerek

Microsoft
Windows

Érintett verziók

Windows 2000, Windows 7, Windows NT, Windows Server 2003, Windows Server 2008, Windows Vista, Windows XP

Összefoglaló

A Difobot féreg alapvetően kétféle módon képes terjedni. Egyrészt USB-s adathordozókat szemel ki magának, és a cserélhető meghajtókra másolja fel a kártékony állományait. Emellett pedig a Dropbox szolgáltatásait sem veti meg. Amennyiben képes a fertőzött rendszerről csatlakozni valamely Dropbox fiókhoz, akkor abba is feltölti a saját fájljait.

Leírás

A Difobot nemcsak a terjedésére koncentrál, hanem adatlopásból is kiveszi a részét. Ennek során folyamatosan naplózza a billentyűleütéseket, és képernyőképeket készít. Emellett rendszerparamétereket kérdez le, illetve Bitcoin információkat gyűjt.

A Difobot a virtuális környezeteket nem kedveli, ezért azokra nézve adott esetben kisebb kockázatot jelenthet.

Technikai részletek:

1. Létrehozza a következő állományokat:
%UserProfile%Application Datasvchost.exe
%SystemDrive%Documents and SettingsAll UsersStart MenuProgramsStartupWordPad.exe
%UserProfile%Application Dataky.config
%UserProfile%Application Datalogger.p
%UserProfile%Application DataElog.log
%UserProfile%Application DataFlog.log
%UserProfile%Application Datagrabbed.log

2. A regisztrációs adatbázishoz hozzáfűzi az alábbi bejegyzéseket:
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionpoliciessystem”EnableLUA” = “0”
HKEY_LOCAL_MACHINESOFTWAREMicrosoftSecurity Center”UACDisableNotify” = “0”

3. Csatlakozik egy vezérlőszerverhez.

4. Ellenőrzi a biztonsági szoftverek jelenlétét, illetve, hogy fizikai vagy virtuális környezetben fut-e.

5. Képernyőképeket ment le.

6. Rendszerinformációkat kérdez le.

7. Naplózza a billentyűleütéseket.

8. Bitcoin információkat gyűjt össze.

9. Esetenként frissíti a saját állományait.

10. Megpróbál USB-s adathordozókon keresztül terjedni.

11. Megpróbál Dropboxon keresztül terjedni.

Megoldás

  • Ne látogasson nem megbízható weboldalakat és ne kövessen ilyen hivatkozásokat (linkeket) se!
  • Használjon offline biztonsági mentést!
  • Az eltávolításban segítséget nyújthat: Norton Power Eraser (NPE), Norton Bootable Recovery Tool.