Dumaru-orm åbner FTP-bagdør på vid gab

Indhold

Et vilkårligt brugernavn og en vilkårlig adgangskode. Det er alt, hvad der skal til for at få fuld adgang til alle filer på en Windows-pc, der er inficeret med ormen Dumaru.Y

Den seneste orm i Dumaru-familien kører en FTP-server på værtsmaskinen. I forhold til andre ormes bagdøre er denne forholdsvis let for alle og enhver at udnytte.

Når Dumaru.Y inficerer en pc, installerer den blandt andet en FTP-server, der lytter på port 10000. Alle brugernavne og adgangskoder kan bruges til at få adgang, og det betyder, at bagdøren kan åbnes af stort set alle og enhver, der forsøger at få adgang til den inficerede Windows-pc.

Ormen spreder sig selv via e-mail i en pakket ZIP-fil, der lader den slippe forbi de filtre, som mange virksomheder har installeret på postserveren, hvor PIF, SCR og EXE-filer ofte bliver sorteret fra, fordi de netop udgør en sikkerhedsrisiko, hvis de indeholder en virus, og en bruger klikker på filen.

Derfor vil den kun blive stoppet på postserveren, hvis antivirusprogrammet er opdateret og er sat til at skanne ZIP-filer.

Emnelinjen i den mail, som ormen spreder sig gennem, lyder: "Important information for you. Read it immediately !". Afsenderen vil stå som "Elene" og den vedhæftede fil med ormen hedder "myphoto.zip".

Afsenderadressen har de fleste antivirusfirmaer valgt at censurere delvist, da den er: "FUCKENSUICIDE@HOTMAIL.COM".

Dumaru.Y indeholder i alt to bagdøre, da den også lytter på port 2283.

Ormen kan også registrere tastaturtryk, og den indeholder en funktion, der aktiverer logningen, når brugeren er ved at indtaste data i formularer på bestemte websteder. Dermed bliver logfilen ikke overvældende stor, men til gengæld er der stadig en stor chance for, at ormen opsnapper et brugernavn og en adgangskode.

Den aktiverer denne funktion på alle websteder, hvor titel-linjen indeholder blandt andet ordene 'bank' og 'Paypal'.

Der er i øjeblikket tre nye varianter af Dumaru-familien i omløb, men ingen af dem spredes specielt hurtigt, selvom den spreder sig via sin egen SMTP-server ligesom eksempelvis Sobig.