 Doctor Web zawiadomił o szerokim rozprzestrzenieniu się wirusa Win32.Rmnet.12 za pomocą, którego cyberprzestępcy stworzyli sieć botnet liczącą ponad milionów zainfekowanych komputerów.
Wirus atakuje komputery posiadające system operacyjny Microsoft Windows spełniając funkcję backdoora oraz wykradając hasła (z popularnych klientów FTP), które mogą posłużyć do zorganizowania ataku sieciowego oraz zakażenia witryn. Eksperci ds. bezpieczeństwa ostrzegają, że wirus Win32.Rmnet.12 może otrzymać komendę do zniszczenia systemu operacyjnego.
Pierwsze dodanie wirusa do baz sygnatur eksperci z Dr.Web wykonali we wrześniu 2011 roku. Od tego czasu specjaliści śledzą poczynania tego zagrożenia. Rmnet wnika do komputerów poprzez zakażone dyski flash, a także poprzez specjalne skrypty w dokumentach HTML.
Win32.Rmnet.12 to złożony wirus plikowy, skamłający się z kilku modułów posiadający zdolność do samoreplikacji. Uruchomiony w systemie wirus sprawdza jaka przeglądarka jest przeglądarką domyślną (jeżeli nie znajdzie domyślnej przeglądarki atakuje Internet Explorer) i wbudowuje się w procesy przeglądarki. Następnie szkodnik generuje własną nazwę pliku na podstawie numeru seryjnego dysku lokując się w folderze startowym użytkownika.
Jednym z elementów wirusa jest backdoor, po podłączenia komputera do Internetu wysyła on co 70 sekund żądania do Google oraz innych witryn internetowych analizując odpowiedzi. Za pomocą serwera FTP ustanawia połączenie z centrum dowodzenia wysyłając informację o zainfekowanym komputerze. Backdoor jest zdolny do otrzymywania od centrum zarządzającego poleceń w szczególnym przypadku może otrzymać polecenie pobrania i uruchomienia dowolnego pliku na komputerze.
Kolejną funkcjonalnością Rmnet jest kradzież haseł z najpopularniejszych klientów FTP takich jak: Ghisler, WS FTP, CuteFTP, FlashFXP, FileZilla, Bullet Proof i innych. Dane te mogą być wykorzystane przez hakerów do ataków sieciowych lub do umieszczenia różnych szkodników na serwerze. Do tego wirus przegląda pliki cookie użytkownika dzięki czemu może uzyskać dostęp do kont użytkownika na różnych witrynach.
Źródło: cybersecurity.ru |
