Worm.Dorkbot

Worm.Dorkbot er er skadelig orm, der spredes via chat-services som Windows Live og Yahoo! Messenger, samt eksterne drev. Denne skadelige orm indeholder også en bagdørsfunktionalitet, der kan give bagmændene komplet adgang til den inficerede pc. Worm.Dorkbot opererer også under diverse aliasser, hvoraf et er:

Trojan.Win32.Scar.drih

Denne orm blev først aktiveret den 9. marts 2011, og har siden da inficeret tusinder af pc'ere verden over. Hvad gør den endnu mere farlig, er at Worm.Dorkbot ikke udviser nogen åbenlyse symptomer, og det eneste tegn der kunne indikere ormens tilstedeværelse på pc’en, vil komme fra et eventuelt sikkerhedsprogram. Dette vil gøre det endnu sværere for brugeren at opspore og fjerne Worm.Dorkbot fra systemet.

Efter at Worm.Dorkbot trænger ind i systemet, vil den afvikle og kopiere sig selv til %AppData%-stien med tilfældigt genererede navne af 6 bogstaver, som for eksempel ozkqke.exe. Den vil modificere den følgende værdi for at køre denne fil ved hver opstart:

I undernøgle: HKCUSoftwareMicrosoftWindowsCurrentVersionRun
Indstillet værdi: ""
Med data: "%appdata%.exe"

Når først den er aktiv, vil Worm.Dorkbot indsætte dens kode i explorer.exe, såvel som mange andre processer på den inficerede pc. Antallet af processer som Worm.Dorkbot formår at inficere, afhænger af om den er blevet afviklet med administratorprivilegier.

Worm.Dorkbot vil forbinde til udvalgte IRC-servere, åbne visse kanaler og afvente yderligere kommandoer fra dens udviklere. Det følgende er en liste af servere som Worm.Dorkbot er kendt for forbinde til uden brugerens viden:

shuwhyyu.com
lovealiy.com
yegyege.com

Udviklerne af Worm.Dorkbot kan instruere ormen til at indsamle den påvirkede pc's IP-adresse og beliggenhed, ved at forbinde til api.wipmania.com. Den vil derefter ofte indsamle den inficerede pc's systemtype, aktuelle brugerprivilegium og lokalitet.

Ormen vil også blive instrueret i at afholde brugeren fra se eller ændre dens filer. Dette gøres ved at hooke de følgende inficerede funktioner:

NtQueryDirectoryFile
NtEnumerateValueKey
CopyFileA/W
DeleteFileA/W

The worm will also block the user’s access to the following security websites:

avast.
avg.
avira.
bitdefender.
bullguard.
clamav.
comodo.
emsisoft.
eset.
fortinet.
f-secure.
garyshood.
gdatasoftware.
heck.tc
iseclab.
jotti.
kaspersky.
lavasoft.
malwarebytes.
mcafee.
necare.live.
norman.
norton.
novirusthanks
onlinemalwarescanner.
pandasecurity.
precisesecurity.
sophos.
sunbeltsoftware.
symantec

For at fjerne Worm.Dorkbot, og begrænse den skade som denne farlige trussel kan forårsage til din pc, så eliminer Worm.Dorkbot ved hjælp af et effektivt sikkerhedsværktøj, der også kan beskytte din pc mod lignende angreb i fremtiden.