Az iPhone telefonok esetében az eddigi egyik leggyorsabban terjedő féregnek az Ikee számít. De miként is működik ez a kártékony program?

A héten a Biztonságportálon már beszámoltunk arról, hogy az Apple iPhone készülékek esetében egy új féreg kezdett terjedni, amely ugyan nem okoz különösebben nagy károkat, viszont a kockázatokra jól rávilágít. Eközben azért némi bosszúság is kelt a telefonok tulajdonosaiban.

Az Ikee csak azokra a feltört iPhone készülékekre képes felkerülni, amelyeken engedélyezett a távoli kapcsolatokhoz alkalmazott SSH, és amelyeken az alapértelmezett ("alpine") jelszót a felhasználó nem változtatta meg. Továbbá akkor sem képes a károkozásra, ha az adott hálózatban NAT-olás (Network Address Translation) is használatos. Amennyiben sikerül kiszemelnie magának egy számára megfelelő készüléket, akkor azon néhány fájl létrehozása után lecseréli a háttérképet.

Az Isidor Biztonsági Központ a Symantec jelentésére alapozva köztölte, hogy az Ikee arra is képes, hogy néhány fájlművelet segítségével a készülékek minden egyes újraindításakor vagy bekapcsolásakor automatikusan betöltődjön. Emellett letiltja a fertőzött telefonokon futó SSH folyamatokat.

Az Ikee féreg a következő IP-címtartományokon belül próbál újabb (elsősorban Ausztráliában használt) készülékeket kiszemelni magának:
192.168.0.0-192.168.255.255
202.81.64.0-202.81.79.255
23.98.128.0-123.98.143.255
120.16.0.0-120.23.255.255
114.72.0.0-114.75.255.255
203.2.75.0-203.2.75.255
210.49.0.0-210.49.255.255
203.17.140.0-203.17.140.255
203.17.138.0-203.17.138.255
211.28.0.0-211.31.255.255
58.160.0.0-58.175.255.25

Ezek mellett esetenként véletlenszerű IP-címekkel is próbálkozik.

Amikor az Ikee féreg elindul, akkor az alábbi műveleteket hajtja végre:

1. Létrehozza a következő állományokat:
/bin/poc-bbot
/bin/sshpass
vagy
/usr/libexec/cydia/startup
/usr/libexec/cydia/startup-helper

Amennyiben a fenti állományok már léteznek, akkor felülírja azokat.

2. Lecseréli az iPhone háttérképét a következő fájlok létrehozásával:
/var/log/youcanbeclosertogod.jpg
/usr/libexec/cydia/startup.so

3.  Létrehozza az alábbi állományokat annak érdekében, hogy az iPhone minden egyes újraindításakor/bekapcsolásakor automatikusan be tudjon töltődni:
/System/Library/LaunchDaemons/com.ikey.bbot.plist
/System/Library/LaunchDaemons/com.saurik.Cydia.Startup.plist

4. Leállítja az SSH-hoz kapcsolódó folyamatokat.

5. Eltávolítja a /bin/sshd állományt.

A hír megjelenését a biztonságportál támogatta.