Sebezhető PC-ket támad az IRCBot

Az IRCBot.DCN féreg mindössze egy fájlt hoz létre a kiszemelt számítógépeken. Ez azonban bőségesen elég ahhoz, hogy a regisztrációs adatbázis módosítása után egy hátsó kaput nyisson a fertőzött rendszereken. A féreg ezzel biztosítja a támadók számára, hogy átvehessék az érintett PC-k feletti irányítást, és azokon különböző műveleteket hajtsanak végre.

Az IRCBot.DCN a tevékenysége során IRC eszközöket is felhasznál, emellett különféle sérülékenységeket igyekszik a saját javára fordítani. Így olyan biztonsági réseket is kihasznál, amelyek a Windows operációs rendszereket, illetve a Microsoft SQL Servert érintik.

Amikor az IRCBot.DCN féreg elindul, akkor az alábbi műveleteket hajtja végre:

1. Létrehozza a következő fájlt:
%System%\wbem\rpchost.exe

2. Módosítja a következő állományt, amelynek révén megnöveli az engedélyezett TCP/IP kapcsolatok számát:
%System%\drivers\tcpip.sys

3. A regisztrációs adatbázisban létrehozza az alábbi bejegyzéseket:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\"Generic Host Process for Win32 Service" = "%System%\wbem\rpchost.exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices\"Generic Host Process for Win32 Service" = "%System%\wbem\rpchost.exe"
HKEY_CURRENT_USER\Software\Microsoft\OLE\"Generic Host Process for Win32 Service" = "%System%\wbem\rpchost.exe"
HKEY_CURRENT_USER\SYSTEM\CurrentControlSet\Control\Lsa\"Generic Host Process for Win32 Service" = "%System%\wbem\rpchost.exe"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List\"%System%\wbem\rpchost.exe" = "%System%\wbem\rpchost.exe:*:Enabled:Generic Host Process for Win32 Service"

4. Kapcsolódik egy IRC szerverhez a 7654-es porton keresztül.

5. Nyit egy hátsó kaput, amelyen keresztül a támadók átvehetik a fertőzött rendszerek feletti irányítást.

6. Letölt egy kártékony fájlt az Interneten keresztül.

7. Megpróbál olyan sebezhetőségeket kihasználni, amelyek a Windows operációs rendszereket valamint a Microsoft SQL Servert érintik.