Il worm Kenety sta sfruttando un bug del software
Kenety cerca di sfruttare una vulnerabilità in un'applicazione popolare mentre si diffonde attaccando i PC attraverso una vulnerabilità nel software RealVNC.
Dopo aver disabilitato il firewall integrato di Windows, il worm Kenety tenta di infettare altri computer sfruttando una vulnerabilità in RealVNC. Se ciò non funziona per lui, non rinuncerà alla lotta, poiché proverà a connettersi a RealVNC in base a un elenco di password predefinito.
La principale minaccia del worm consiste nell'aprire una backdoor sui computer infetti attraverso la quale gli aggressori possono eseguire le seguenti azioni:
- aggiorna il worm
- scaricare ed eseguire file
- Avvia il server FTP.
Quando il worm Kenety si avvia, esegue le seguenti azioni:
1. Crea il seguente file:
% ProgramFiles% \ Common Files \ Systemdata \ svchost.exe
2. Modifica le seguenti chiavi di registro:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\HaredAccess\Parameters\FirewallPolicy\StandardProfile\Auth orizedApplications\List”%ProgramFiles%\Common Files\Systemdata\svchost.exe” = “%ProgramFiles%\Common Files\Systemdata\svchost.exe: * :Abilitato:sincronizzazione”
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Share dAccess\Parameters\FirewallPolicy\StandardProfile\Authoriz edApplications\List”%ProgramFiles%\Common Files\Systemdata\svchost.exe” = “%ProgramFiles%\Common Files\Systemdata\svchost.exe: *:Abilitato:sincronizzazione”
Questo disabilita il Windows Firewall integrato.
3. Crea un servizio chiamato Sync.
4. Crea le seguenti voci nel database di registrazione:
HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ S ysdate
HKEY_LOCAL_MACHINE \ SYSTEM \ ControlSet001 \ Services \ Sysda te
5. Apre una backdoor tramite la porta TCP 8888 e quindi si connette a server remoti.
6. In attesa degli ordini degli aggressori.
7. RealVNC sta cercando di diffondersi sfruttando una delle vulnerabilità di autenticazione. Se fallisce, proverà a connettersi alle applicazioni RealVNC in base a un elenco di password predefinito.
