Ver.Netsky.CA

Le ver Worm.Netsky.CA est un ver autoréplicatif ciblant les ordinateurs sous Microsoft Windows. Identifié pour la première fois dans les flux de sécurité en 2022 et toujours détecté actuellement, ce ver appartient à la famille de vers Netsky, active depuis longtemps et historiquement associée à l'envoi massif de courriels et à la propagation sur les réseaux. Comme les autres membres de cette famille, Worm.Netsky.CA est considéré comme une menace dangereuse car il peut se propager automatiquement, installer des composants malveillants supplémentaires et permettre à des attaquants distants d'interagir avec un système infecté.

Que fait Worm.Netsky.CA ?

Une fois actif sur un système, le ver Worm.Netsky.CA est conçu pour s'autorépliquer et se copier sur d'autres ordinateurs sans intervention de l'utilisateur. L'un des principaux dangers de ce ver réside dans sa capacité à installer une porte dérobée. Cette porte dérobée permet à un pirate distant d'accéder sans autorisation à la machine infectée et d'exécuter des commandes à l'insu de la victime. Grâce à cet accès, un attaquant peut reproduire, renommer, supprimer ou copier des fichiers sur le système compromis, donnant ainsi à un tiers le contrôle des données stockées sur la machine. Ce niveau d'accès peut entraîner une perte de données, d'autres infections ou l'utilisation du système comme point de départ pour des attaques supplémentaires.

Comment cela se propage aux ordinateurs

Le ver Worm.Netsky.CA est conçu pour se propager via une grande variété de canaux, ce qui explique sa persistance. Il peut se propager par le biais de réseaux de partage de fichiers, de réseaux sociaux, de failles de sécurité exploitées dans les programmes, de courriels, de canaux IRC (Internet Relay Chat), de supports amovibles tels que les clés USB et de partages réseau non protégés ou mal sécurisés. Du fait de la diversité de ses vecteurs d'infection, une simple action imprudente – comme ouvrir une pièce jointe infectée, brancher un support amovible infecté ou se connecter à un partage réseau faiblement sécurisé – peut suffire à infecter un ordinateur.

Risques pour les utilisateurs

La présence du ver Worm.Netsky.CA sur un système présente plusieurs risques. La porte dérobée installée peut donner à un attaquant distant un contrôle important sur l'ordinateur compromis, exposant potentiellement des fichiers personnels, des documents et d'autres données au vol, à la modification ou à la suppression. Le ver se répliquant automatiquement, l'infection peut également se propager au sein d'un réseau domestique ou professionnel, aggravant ainsi les dégâts. De plus, comme le logiciel malveillant ne possède pas de signature numérique et n'est pas conçu pour être facilement repérable lors d'une inspection rapide, il peut rester sur un système sans que l'utilisateur ne se rende compte du problème.

Signes d’infection

Comme pour de nombreux vers informatiques, les systèmes infectés peuvent présenter peu de symptômes évidents, ce qui est typique de ce type de menace. Les utilisateurs peuvent remarquer une activité réseau inhabituelle, des modifications de fichiers inattendues, l'apparition de fichiers inconnus sur le système ou une baisse des performances du système, le ver tentant de se répliquer et de communiquer avec des systèmes externes. Le signalement par un logiciel de sécurité d'activités suspectes ou de processus inconnus est souvent l'indicateur le plus clair de la présence d'un tel ver.

Comment rester protégé

Pour réduire le risque d'infection par des vers comme Worm.Netsky.CA, il est essentiel de maintenir votre système d'exploitation Windows et vos programmes installés à jour afin de corriger les vulnérabilités connues. Évitez d'ouvrir les pièces jointes des courriels ou de cliquer sur les liens provenant d'expéditeurs inconnus ou suspects, et soyez prudent lorsque vous téléchargez des fichiers depuis des réseaux de partage de fichiers ou les réseaux sociaux. Les périphériques amovibles doivent être analysés avant utilisation et les partages réseau doivent être correctement sécurisés par des autorisations robustes. L'utilisation d'un logiciel de sécurité fiable et à jour, ainsi que la réalisation régulière d'analyses système, permettent de détecter et d'éliminer les menaces de ce type avant qu'elles ne causent des dommages importants.

Bulletin d'analyse

Informations générales

Nom de famille :	Worm.Netsky.CA
Statut de la signature :	No Signature

Échantillons connus

i

Échantillons connus

Cette section répertorie d'autres exemples de fichiers que l'on pense être associés à cette famille.

MD5: ffda414dd0dc4843cd3a5b834cbeb284 SHA1: c4562e1562fc19490598f0a2eae165d90b80b338 SHA256: 89442A84C2015DD78B379DD3B8CB9F42A6AA1293DD679D597ABA916777376807 Taille du fichier: 19.46 KB 19456 octets

Attributs des exécutables portables Windows

i

Attributs des exécutables portables Windows

Cette section répertorie les attributs de fichiers présents dans les échantillons de la famille. Ces attributs sont extraits de la spécification Windows PE (Portable Executable) des fichiers et de divers indicateurs système. Les attributs des exécutables portables permettent aux chercheurs en sécurité informatique d'obtenir des informations sur les fonctionnalités, les détails d'exécution, la plateforme et l'environnement d'exécution d'un fichier.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have relocations information
• File doesn't have security information
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed

Afficher plus

• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Icônes de fichiers

i

Icônes de fichiers

Cette section présente les ressources d'icônes trouvées dans les échantillons de la famille. Les logiciels malveillants reproduisent souvent des icônes couramment associées à des logiciels légitimes afin d'induire les utilisateurs en erreur et de leur faire croire qu'ils sont sûrs.

Caractéristiques du fichier

• 00 section
• 2+ executable sections
• HighEntropy
• No Version Info
• x86

Informations sur le bloc

i

Informations sur le bloc

Lors de l'analyse, EnigmaSoft segmente les échantillons de fichiers en blocs logiques afin de les classer et de les comparer à d'autres échantillons. Ces blocs permettent de générer des règles de détection de logiciels malveillants et de regrouper les échantillons de fichiers en familles en fonction du code source partagé, des fonctionnalités et d'autres attributs et caractéristiques distinctifs. Cette section présente un résumé de ces données de bloc, ainsi que leur classification par EnigmaSoft. Une représentation visuelle des données de bloc est également affichée, le cas échéant.

Nombre total de blocs :	8
Blocages potentiellement malveillants :	0
Blocs autorisés :	7
Blocs inconnus :	1

Carte visuelle

? 0 0 0 0 0 0 0

0 - Blocage probable du coffre-fort
? - Bloc inconnu
x - Blocage potentiellement malveillant

Familles similaires

i

Familles similaires

Cette section répertorie d'autres familles de logiciels malveillants présentant des similitudes avec celle-ci, d'après l'analyse d'EnigmaSoft. De nombreuses familles de logiciels malveillants sont créées à partir des mêmes kits d'outils et utilisent les mêmes techniques d'encapsulation et de chiffrement, tout en étendant leurs fonctionnalités de manière unique. Les familles similaires peuvent également partager le même code source, les mêmes attributs, les mêmes icônes, les mêmes sous-composants, les mêmes signatures numériques compromises ou invalides, ainsi que les mêmes caractéristiques réseau. Les chercheurs exploitent ces similitudes pour trier rapidement et efficacement les échantillons de fichiers et étendre les règles de détection des logiciels malveillants.

• Netsky.C
• Netsky.CA
• RBot.C

Fichiers modifiés

i

Fichiers modifiés

Cette section répertorie les fichiers créés, modifiés, déplacés et/ou supprimés par les échantillons de cette famille. L'activité du système de fichiers peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants au sein du système d'exploitation.

Déposer	Attributs
c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.1.regtrans-ms	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\microsoft\windows\usrclass.dat{dba6b5ef-640a-11ed-9bcb-f677369d361c}.txr.2.regtrans-ms	Generic Read,Write Data,Write Attributes,Write extended,Append data

Utilisation de l’API Windows

i

Utilisation de l'API Windows

Cette section répertorie les appels d'API Windows utilisés par les exemples de cette famille. L'analyse de l'utilisation des API Windows est un outil précieux permettant d'identifier les activités malveillantes, telles que l'enregistrement des frappes au clavier, l'élévation de privilèges, le chiffrement et l'exfiltration de données, l'interférence avec les logiciels antivirus et la manipulation des requêtes réseau.

Catégorie	API
Anti Debug	IsDebuggerPresent
User Data Access	GetUserObjectInformation