Worm.Dorkbot

Worm.Dorkbot è un worm maligno che si diffonde attraverso i sistemi di messaggistica istantanea come Windows Live e Yahoo! Messenger, e drive rimovibili. Questo worm maligno ha anche la funzionalità di backdoor, che garantisce ad attacchi remoti il completo accesso al PC infettato. Worm.Dorkbot opera inoltre sotto vari pseudonimi, uno dei quali è:

Trojan.Win32.Scar.drih

Questo worm è stato rilasciato per la prima volta il 9 marzo 2011 e ha continuato a infettare migliaia di PC in tutto il mondo. Ciò che lo rende ancora più pericoloso è il fatto che Worm.Dorkbot non presenta alcun sintomo palese e gli unici sintomi che indicano la presenza del worm sul PC provengono dal software per la sicurezza installato.
Questo rende più difficile per l'utente rilevare e rimuovere Worm.Dorkbot dal sistema.

Dopo essere entrato nel sistema, Worm.Dorkbot si eseguirà e si copierà automaticamente nella cartella %AppData% usando nomi di file di 6 lettere generati in modo casuale, come per esempio ozkqke.exe. Modificherà le seguenti voci per eseguire il suo file ogni volta che Windows sarà avviato:

Nella sottochiave: HKCUSoftwareMicrosoftWindowsCurrentVersionRun
Valore: ""
Con dati: "%appdata%.exe"

Una volta operativo, Worm.Dorkbot inserirà il suo codice in explorer.exe e in molti altri processi sul PC infetto. Il numero di processi che Worm.Dorkbot è in grado di inserire varia in base a se sia stato lanciato con privilegi amministrativi.

Worm.Dorkbot connetterà a particolari server IRC, unendosi a canali e aspettando ulteriori comandi dai suoi sviluppatori. Seguendo la sua lista di server Worm.Dorkbot è conosciuto per connettersi senza che l'utente ne sia a conoscenza:

shuwhyyu.com
lovealiy.com
yegyege.com

Gli sviluppatori alle spalle di Worm.Dorkbot possono richiedere al worm di ottenere l'indirizzo IP e la locazione del PC colpito connettendosi a api.wipmania.com. Otterrà quindi il tipo di sistema operativo del PC, il livello dei privilegi dell'utente e la locazione.

Il worm sarà anche istruito a fermare l'utente dal vedere o alterare i suoi file. Questo viene fatto tramite le seguenti funzionalità all'interno delle quali è inserito:

NtQueryDirectoryFile
NtEnumerateValueKey
CopyFileA/W
DeleteFileA/W

Il worm bloccherà inoltre l'accesso dell'utente ai seguenti siti web per la sicurezza:

avast.
avg.
avira.
bitdefender.
bullguard.
clamav.
comodo.
emsisoft.
eset.
fortinet.
f-secure.
garyshood.
gdatasoftware.
heck.tc
iseclab.
jotti.
kaspersky.
lavasoft.
malwarebytes.
mcafee.
necare.live.
norman.
norton.
novirusthanks
onlinemalwarescanner.
pandasecurity.
precisesecurity.
sophos.
sunbeltsoftware.
symantec

Per eliminare Worm.Dorkbot e limitare i danni che questa minaccia maligna potrebbe causare al tuo PC, distruggi Worm.Dorkbot con l'aiuto di un potente strumento per la sicurezza che sarà anche in grado di proteggere in modo adeguato il tuo PC da simili attacchi futuri.