Kiszolgáltatottá teszi a PC-ket a Rinbot féreg

A Rinbot.H féreg hálózati megosztásokon keresztül, illetve különböző szoftveres sebezhetőségek révén terjed, és a fertőzött számítógépeket teljes mértékben kiszolgáltatottá teszi a támadásokkal szemben.

A Rinbot.H féreg az IPC$ nevű megosztáson keresztül, előre meghatározott felhasználónevek és jelszavak segítségével próbál meg számítógépről számítógépre terjedni. A féreg a fertőzött számítógépeken véletlenszerűen kiválaszt egy TCP portot, amelyen keresztül folyamatosan figyeli a hálózati adatforgalmat. Emellett fogadja a támadók parancsait, akik az alábbi műveleteket hajthatják végre:
– Rendszerinformációk összegyűjtése
– Fájlok letöltése és futtatása
– HTTP/FTP szerver indítása
– a féreg frissítése
– CD kulcsok megszerzése
– Filemon, Regmon, Ethereal szoftverek felügyelete.

Amikor Rinbot.H féreg elindul, akkor az alábbi műveleteket hajtja végre:

1. Létrehozza a következő fájlt:
%System%\mstscc.exe

2. Létrehozza a következő bejegyzést a regisztrációs adatbázisban:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentV ersion\Run”Terminal Services” = “%System%\mstscc.exe”

3. A féreg megpróbál az IPC$ megosztáson keresztül terjedni. A megosztás eléréséhez előre meghatározott felhasználónevek és jelszavak közül válogat.

4. Egy véletlenszerűen kiválasztott TCP porton figyeli a hálózati forgalmat.

5. A 8080-as TCP porton keresztül kapcsolódik egy távoli szerverhez.

6. A féreg egy hátsó kapun keresztül fogadja a támadók parancsait:

7. Microsoft és Symantec termékekben található sebezhetőségeket igyekszik kihasználni.