El gusano Kenety está explotando un error de software
Kenety busca explotar una vulnerabilidad en una aplicación popular a medida que se propaga atacando PC a través de una vulnerabilidad en el software RealVNC.
Después de deshabilitar el firewall integrado de Windows, el gusano Kenety intenta infectar computadoras adicionales explotando una vulnerabilidad en RealVNC. Si eso no funciona para él, no renunciará a la lucha, ya que intentará conectarse a RealVNC basándose en una lista de contraseñas predefinidas.
La principal amenaza del gusano es abrir una puerta trasera en los equipos infectados a través de la cual los atacantes pueden realizar las siguientes acciones:
- actualiza el gusano
- descargar y ejecutar archivos
- Inicie el servidor FTP.
Cuando se inicia el gusano Kenety, realiza las siguientes acciones:
1. Crea el siguiente archivo:
% Archivos de programa% \ Archivos comunes \ Systemdata \ svchost.exe
2. Modifica las siguientes claves de registro:
HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ S haredAccess \ Parameters \ FirewallPolicy \ StandardProfile \ Auth orizedApplications \ List ”% ProgramFiles% \ Common Files \ Systemdata \ svchost.exe” = “% ProgramFiles% \ Common Files \ Systemdata \ svchost.exe: *: Habilitado: sincronización ”
HKEY_LOCAL_MACHINE \ SYSTEM \ ControlSet001 \ Services \ Share dAccess \ Parameters \ FirewallPolicy \ StandardProfile \ Authoriz edApplications \ List ”% ProgramFiles% \ Common Files \ Systemdata \ svchost.exe” = “% ProgramFiles% \ Common Files \ Systemdata \ svchost.exe: *: Habilitado: sincronización ”
Esto deshabilita el Firewall de Windows integrado.
3. Crea un servicio llamado Sync.
4. Crea las siguientes entradas en la base de datos de registro:
HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ S ysdate
HKEY_LOCAL_MACHINE \ SYSTEM \ ControlSet001 \ Services \ Sysda te
5. Abre una puerta trasera a través del puerto TCP 8888 y luego se conecta a servidores remotos.
6. Esperando las órdenes de los atacantes.
7. RealVNC está intentando propagarse explotando una de las vulnerabilidades de autenticación. Si esto falla, intentará conectarse a las aplicaciones RealVNC basándose en una lista de contraseñas predefinidas.
