Kaspersky Lab heeft een nieuw backdoor programma ontdekt. Dit is het eerste kwaadwillige programma dat de DRM software van Fast4Internet misbruikt. Deze DRM software wordt door Sony BMG gebruikt als kopieer-beveiliging op CD’s die al enige tijd in de markt in omloop zijn. De software gebruikt rootkit technologie om de aanwezigheid van kopieerbeveiliging in het systeem te verbergen.
De media hebben reeds uitgebreid geschreven over de kwetsbaarheid van de software en het feit dat de software zich ongevraagd installeert. Een zeer ongelukkig effect hiervan is de dat kwaadwillige programma's dezelfde technologie zouden kunnen gebruiken. De virusanalisten van Kaspersky Lab bevestigen nu dat dit inderdaad gebeurd is.
Vandaag werd een backdoor programma ontdekt dat de rootkit technologie misbruikt. Kaspersky Lab classificeert het programma in de Backdoor.Win32.Breplibot-familie. De backdoor als spam-mail met bijlage verstuurd. Hierbij is gebruik gemaakt van “social engineering” technieken om de ontvanger van de mail te verleiden tot het openen van het bestand. De bijlage bevat naar verluidt een foto. Zodra de gebruiker de bijlage opent, zal de backdoor-code de PC van de gebruiker binnendringen.
Breplibot.b is een bestand van 10240 bytes groot, verpakt met UPX compressie technologie. Wanneer het bestand geopend wordt kopieert de backdoor zichzelf als $SYS$DRV.EXE bestand (voor de Breplibot.b-variant) of als $SYS$XP.EXE bestand (voor de Breplibot.c-variant) naar een Windows systeemfolder. Deze bestandsnamen hebben een standaard naamgeving voor rootkits. Door gebruik te maken van deze naamgeving is het voor het programma mogelijk om zich als rootkit op het systeem te verbergen.
Uiteraard zal de backdoor-activiteit slechts verborgen worden indien de DRM bescherming, zoals die op sommige Sony Audio CDs aanwezig is, geïnstalleerd is op de PC van de gebruiker. Zoals gebruikelijk waarschuwt Kaspersky Lab om zorgvuldig te zijn met e-mails van onbekende afzenders, of het openen van verdachte bijlagen.
EFF heeft inmiddels een lijst met CD’s die de DRM software gebruiken op haar website gepubliceerd.
De Kaspersky Anti-Virus databases zijn bijgewerkt om de Backdoor.Win32.Breplibot-familie te ontdekken. Overige informatie over de backdoor kunt u terug vinden op het Kaspersky Lab Weblog. Kaspersky Lab heeft verregaande plannen voor het schrijven van een de-installatie hulpmiddel, maar wacht hiervoor nog op bevestiging van Fast4Internet. Tot die tijd raden wij u aan deze website goed in de gaten te houden.
Voor verdere persinformatie kunt u contact opnemen met:
Kaspersky Lab Benelux BV
Emmeke Jansen - MarCom Manager
Tel: 073 6154 834
emmeke@kaspersky.nl