Carregador da Energizer contém backdoor

Software abre o PC para acesso remoto não autorizado

O United States Computer Emergency Response Team (US-CERT) divulgou um alerta onde informa que o software incluso no carregador de pilhas Energizer DUO USB contém um backdoor que permite o acesso remoto não autorizado ao computador.

De acordo com o alerta, o US-CERT informou que o instalador do software do Energizer DUO adiciona o arquivo UsbCharger.dll no diretório do aplicativo e o arquivo Arucer.dll no diretório X:\WINDOWS\System32 (X é onde o Windows está instalado).

Quando o software do Energizer DUO é executado, ele utiliza o componente UsbCharger.dll para fornecer seus recursos de comunicação. O UsbCharger.dll então executa o Arucer.dll através do mecanismo rundll32.exe do Windows e configura o arquivo para ser executado automaticamente sempre que o sistema operacional for iniciado graças a uma entrada na chave de registro HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run.

Software do carregador abre o PC para acesso remoto não autorizado

O US-CERT informou que o arquivo Arucer.dll é um backdoor que permite o acesso remoto não autorizado ao computador através da porta TCP 7777.

Com isso um criminoso pode controlar o computador remotamente, incluindo a capacidade de listar diretórios, receber arquivos ou até mesmo executar programas. O backdoor opera com os privilégios do usuário logado no momento.

A Energizer divulgou um comunicado reconhecendo o problema. Nele a empresa informou que as vendas deste produto foram descontinuadas e que o software foi removido de seu site. Todos os usuários que instalaram o software devem removê-lo o mais rápido possível do computador.

Para remover o software
De acordo com o US-CERT, o backdoor pode ser removido simplesmente apagando o arquivo Arucer.dll localizado no diretório X:\WINDOWS\System32. Como o backdoor continua em execução mesmo após a remoção do software, será preciso reinicializar o Windows.

Além disso, os usuários afetados devem bloquear a porta TCP 7777. Isto ajuda a minimizar o impacto do problema ao impedir as conexões do backdoor.

O bloqueio pode ser feito no firewall ou roteador. Como o software do carregador não adiciona uma exceção automaticamente ao firewall do Windows para a porta TCP 7777, quando ele for executado pela primeira vez o usuário receberá uma mensagem informando que o “Run a DLL as an App” (executar uma DLL como aplicativo) foi bloqueado pelo Firewall do Windows.

Artigos relacionados Microsoft alerta para falso antivírus Microsoft investiga nova falha no IE Opera tem falha crítica de segurança Apache tem falha crítica de segurança Vodafone vende celular com malware Novo malware ataca o Facebook AVG critica a NSS Labs Anúncios do Yahoo! e Google espalham malwares Novo malware explora falha em PDF