Tempedreve féreg

CH azonosító

CH-11936

Angol cím

W32.Tempedreve

Felfedezés dátuma

2015.01.15.

Súlyosság

Alacsony

Érintett rendszerek

Microsoft

Érintett verziók

Microsoft

Összefoglaló

A Tempedreve féreg elsősorban cserélhető adattárolókon, valamint hálózati megosztásokon keresztül terjed. A károkozó MSI, PDF, illetve EXE kiterjesztésekkel rendelkező fájlokat fertőz meg. Eközben az áldozatául eső számítógépről csatlakozik egy távoli kiszolgálóhoz, és rendszerinformációkat szivárogtat ki. Emellett rendszeresen képernyőképeket készít, valamint manipulálja a webböngészőket.

A Tempedreve a webböngésző alkalmazások folyamatait fertőzi meg, majd a felhasználó által letöltött weboldalak kódjába különféle JavaScripteket fecskendez be. Ezáltal nemkívánatos eseményeket képes előidézni, és akár webes átirányításokat is kezdeményezhet.

Leírás

1. Létrehozza a következő állományokat:
%UserProfile%Application Data[véletlenszerű karakterek][véletlenszerű karakterek].exe
%System%[véletlenszerű karakterek].exe
%DriveLetter%Temp.exe
%Temp%~[véletlenszerű karakterek].tmp

2. A regisztrációs adatbázishoz hozzáfűzi az alábbi értékeket:
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun”[véletlenszerű karakterek]” = %UserProfile%Application Data[véletlenszerű karakterek][véletlenszerű karakterek].exe
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_[véletlenszerű karakterek]”NextInstance” = “1”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_[véletlenszerű karakterek]000″Class” = “LegacyDriver”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_[véletlenszerű karakterek]000″ClassGUID” = “{8ECC055D-047F-11D1-A537-0000F8753ED1}”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_[véletlenszerű karakterek]000″ConfigFlags” = “0”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_[véletlenszerű karakterek]000″DeviceDesc” = “[véletlenszerű karakterek]”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_[véletlenszerű karakterek]000″Legacy” = “1”
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRootLEGACY_[véletlenszerű karakterek]000″Service” = “[véletlenszerű karakterek]”

3. Létrehoz egy Windows-os szolgáltatást véletlenszerű névvel.

4. A regisztrációs adatbázishoz hozzáadja a következő kulcsot:
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices[véletlenszerű karakterek]

5. A hálózati és a cserélhető meghajtókon manipulálja az alábbi kiterjesztésekkel rendelkező állományokat:
.msi
.pdf
.exe

6. Csatlakozik egy előre meghatározott távoli kiszolgálóhoz.

7. Rendszerinformációkat gyűjt össze.

8. Képernyőképeket készít.

9. Webböngészőkhöz tartozó folyamatokat fertőz meg.

10. JavaScript kódokat szúr be a letöltött weboldalakba.

Megoldás

Használjon vírusvédelmi programot és tűzfalat, illetve rendszeresen frissítse azokat.


Legfrissebb sérülékenységek
CVE-2022-44580 – RichPlugins Plugin For Google Reviews for WordPress sérülékenysége
CVE-2023-23421 – Microsoft Windows sérülékenysége
CVE-2023-23422 – Microsoft Windows sérülékenysége
CVE-2023-23420 – Microsoft Windows sérülékenysége
CVE-2023-23423 – Microsoft Windows sérülékenysége
CVE-2022-39214 – Combodo iTop (aka IT Operations Portal) sérülékenysége
CVE-2022-39216 – Combodo iTop (aka IT Operations Portal), Combodo iTop (aka IT Operations Portal) Community Edition sérülékenysége
CVE-2023-27501 – sap / netweaver application server abap, SAP NetWeaver Application Server ABAP sérülékenysége
CVE-2023-26360 – Adobe ColdFusion Improper Access Control sérülékenysége
CVE-2023-23397 – Microsoft Office Outlook sérülékenysége
Tovább a sérülékenységekhez »