Tereza MalkusováWin32/Dorkbot se šíří různými kanály od sociálních sítí, spam, výměnná média až po exploit kity. Po úspěšné instalaci se snaží narušit běžnou činnost nalezeného antivirového řešení tím, že blokuje jeho aktualizační servery. Poté se připojí na IRC server a čeká na další instrukce.
Primárně Dorkbot krade hesla různých populárních služeb jako je Facebook nebo Twitter. Nicméně dále na infikovaný počítač stahuje další malware – Win32/Kasidet, který se používá k DDoS útokům nebo Win32/Lethic, což je známý spambot.
Následující diagram znázorňuje jednotlivé moduly posledních verzí DorkBotu, které ESET analyzoval.
Pro názornost si zvolíme scénář, ve kterém dojde k infikování počítače z USB média.
Jednou z funkcí Dorkbota je hledat připojená výměnná zařízení k infikovanému PC, které poté použije k vlastní replikaci a šíření na další počítače. Typicky se na USB zařízení nachází dropper a přidružené .LNK soubory.
Po spuštění dropperu, který ESET detekuje jako Win32/Dorkbot.I, z USB zařízení, se nejprve pokusí stáhnout hlavní komponentu z C&C řídícího serveru. Stažený balíček rozbalí a spustí Win32/Dorkbot.L, což je wrapper, který hlavní komponentu nainstaluje.
Následně dojde ke spuštění hlavní Dorkbot IRC komponenty (Win32/Dorkbot.B), přičemž se zároveň provede tzv. hook DnsQuery API funkce. To je nezbytné, protože hlavní komponenty neobsahují pravé C&C domény. Ve skutečnosti pak v momentě, kdy se IRC komponenta snaží přeložit tyto domény pomocí zmanipulované API funkce, wrapper namísto toho provede pokus je přeložit jako jednu z domén, které obsahuje. Takto složitý proces samozřejmě pomáhá maskovat reálné adresy C&C serverů.
Po dokončení instalace se systém pokusí spojit s IRC serverem, připojí se na specifický kanál a čeká na příkazy od botmastera. Obvykle netrvá moc dlouho a infikovaný počítač dostane příkaz ke stažení dalšího škodlivého kódu.
Pokud máte podezření, že je Váš počítač nebo síť Dorkbotem infikována, můžete pro vyčištění použít ESET nástroj zdarma.
Příklady domén, na které Dorkbot cílil:
Lucie Mudráková
