Le ver Kenety exploite un bogue logiciel
Kenety cherche à exploiter une vulnérabilité dans une application populaire au fur et à mesure qu'elle se propage en attaquant les PC via une vulnérabilité dans le logiciel RealVNC.
Après avoir désactivé le pare-feu intégré de Windows, le ver Kenety tente d'infecter d'autres ordinateurs en exploitant une vulnérabilité dans RealVNC. Si cela ne fonctionne pas pour lui, il n'abandonnera pas le combat, car il essaiera de se connecter à RealVNC en fonction d'une liste de mots de passe prédéfinie.
La principale menace du ver est d'ouvrir une porte dérobée sur les ordinateurs infectés à travers laquelle les attaquants peuvent effectuer les actions suivantes :
- mettre à jour le ver
- télécharger et exécuter des fichiers
- Démarrer le serveur FTP.
Lorsque le ver Kenety démarre, il effectue les actions suivantes :
1. Créez le fichier suivant :
% ProgramFiles% \ Common Files \ Systemdata \ svchost.exe
2. Modifie les clés de registre suivantes :
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\HaredAccess\Parameters\FirewallPolicy\StandardProfile\Auth orizedApplications\List”%ProgramFiles%\Common Files\Systemdata\svchost.exe” = “%ProgramFiles%\Common Files\Systemdata\svchost.exe : * :Activé:synchronisation”
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Share dAccess\Parameters\FirewallPolicy\StandardProfile\Authoriz edApplications\List"%ProgramFiles%\Common Files\Systemdata\svchost.exe" = "%ProgramFiles%\Common Files\Systemdata\svchost.exe : * : Activé : synchronisation »
Cela désactive le pare-feu Windows intégré.
3. Crée un service appelé Sync.
4. Crée les entrées suivantes dans la base de données d'enregistrement :
HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ S ysdate
HKEY_LOCAL_MACHINE \ SYSTEM \ ControlSet001 \ Services \ Sysdate
5. Il ouvre une porte dérobée via le port TCP 8888, puis se connecte aux serveurs distants.
6. En attente des ordres des attaquants.
7. RealVNC essaie de se propager en exploitant l'une des vulnérabilités d'authentification. Si cela échoue, il essaiera de se connecter aux applications RealVNC en fonction d'une liste de mots de passe prédéfinie.
