Der Kenety-Wurm nutzt einen Software-Bug aus
Kenety versucht, eine Schwachstelle in einer populären Anwendung auszunutzen, die sich verbreitet, indem sie PCs über eine Schwachstelle in der RealVNC-Software angreift.
Nach dem Deaktivieren der integrierten Firewall von Windows versucht der Kenety-Wurm, zusätzliche Computer zu infizieren, indem er eine Schwachstelle in RealVNC ausnutzt. Wenn das für ihn nicht funktioniert, wird er den Kampf nicht aufgeben, da er versucht, sich anhand einer vordefinierten Passwortliste mit RealVNC zu verbinden.
Die Hauptgefahr des Wurms besteht darin, auf infizierten Computern eine Hintertür zu öffnen, durch die Angreifer die folgenden Aktionen ausführen können:
- den Wurm aktualisieren
- Dateien herunterladen und ausführen
- FTP-Server starten.
Wenn der Kenety-Wurm startet, führt er die folgenden Aktionen aus:
1. Erstellen Sie die folgende Datei:
% ProgramFiles% \ Common Files \ Systemdata \ svchost.exe
2. Ändert die folgenden Registrierungsschlüssel:
HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ SharedAccess \ Parameters \ FirewallPolicy \ StandardProfile \ Auth orizedApplications \ List „% ProgramFiles% \ Common Files \ Systemdata \ svchost.exe“ = „% ProgramFiles% \ Common Files \ Systemdata \ svchost.exe: *: Aktiviert: Synchronisierung ”
HKEY_LOCAL_MACHINE \ SYSTEM \ ControlSet001 \ Services \ Share dAccess \ Parameters \ FirewallPolicy \ StandardProfile \ Authoriz edApplications \ List „% ProgramFiles% \ Common Files \ Systemdata \ svchost.exe“ = „% ProgramFiles% \ Common Files \ Systemdata \ svchost.exe: *: Aktiviert: Synchronisierung ”
Dadurch wird die integrierte Windows-Firewall deaktiviert.
3. Erstellt einen Dienst namens Sync.
4. Erstellt die folgenden Einträge in der Registrierungsdatenbank:
HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Dienste \ S ysdate
HKEY_LOCAL_MACHINE \ SYSTEM \ ControlSet001 \ Dienste \ Sysdaten
5. Es öffnet eine Hintertür über den TCP-Port 8888 und verbindet sich dann mit Remote-Servern.
6. Warten auf die Befehle der Angreifer.
7. RealVNC versucht sich zu verbreiten, indem es eine der Authentifizierungsschwachstellen ausnutzt. Wenn dies fehlschlägt, wird versucht, eine Verbindung zu RealVNC-Anwendungen basierend auf einer vordefinierten Passwortliste herzustellen.
