Ответить Создать тему

Интернет-червь LoveSan , готовит DOS-атаку на Micros

Gena
post Aug 13 2003, 07:20 
Отправлено #1


Постоялец

Сообщений: 260
Из: Чебоксары



Новый интернет-червь LoveSan (другие названия - Blaster, MSBlaster) в понедельник начал активно распространяться в США, сообщает Reuters со ссылкой на специалистов по информационной безопасности из института SANS.
Распространяющийся вирус эксплуатирует брешь, обнаруженную недавно в технологии DCOM. В свою очередь, DCOM является элементом службы удаленного теледоступа (RPC), используемой для осуществления общего доступа к файлам. Попадая в заражаемый компьютер через порты 135, 139, 445 и 593 червь загружает программный код с одной из ранее пораженных машин. Затем через Интернет он начинает искать другие уязвимые компьютеры, которые могут стать объектами для атаки.

LoveSan содержит функцию, которая позволяет ему организовать DOS-атаку на сайт компании Microsoft. В коде червя содержится фраза "Билли Гейтс, почему ты делаешь это возможным? Прекрати зарабатывать деньги и займись своим программным обеспечением!". В задачи червя не входит причинение какого-либо ущерба пользователю, его компьютеру и файлам. В период до 16 августа червь, проникший в компьютер, занимается сканированием той подсети, куда он попал, выявлением уязвимых машин и их заражением. 16 августа (по локальному времени зараженной машины) все копии червя начнут атаку Syn Flood на сервер Microsoft Windows Update.

Специалисты в области информационной безопасности и антивирусного программного обеспечения считают, что LoveSan обладает высокой способностью к распространению. В то же время последствия его воздействия на зараженный компьютер таят в себе минимальную опасность. LoveSan поражает только операционные системы на платформе NT, в том числе Win2000 и XP.

Описанные антивирусными специалистами версии червя LoveSan содержат две существенных ошибки, из-за которых запланированная атака на Microsoft может не состояться. Во-первых червь позволяет обнаружить себя раньше времени, поскольку после проникновения в компьютер перезагружает его. Во-вторых червь неправильно отдает уязвимым машинам свой собственный IP-адрес, а потому не может распространяться дальше после первичного заражения. В связи с этим представители Symantec считают, что создатели червя наверняка устранят ошибки в ближайшую пару дней и выпустят его новую версию.

Лекарство smile.gif

Существуют три способа защиты от червя. Во-первых, в бюллетене Microsoft приведены ссылки на патчи для всех уязвимых версий Windows, закрывающие брешь в RPC (эти патчи были выпущены еще 16 июля, поэтому тем, кто регулярно обновляет систему, беспокоиться не стоит). Во-вторых, если 135-й порт закрыт файрволлом - червь не сможет проникнуть на компьютер. В-третьих, в качестве крайней меры помогает отключение DCOM (подробно эта процедура описана в бюллетене от Microsoft). Таким образом, если вы еще не подверглись атаке червя - настоятельно рекомендуется как можно скорее скачать патч для вашей ОС с сервера Microsoft (например, воспользуйтесь службами Windows Update или получите его по ссылкам в нашей новости за 2 августа), либо настроить блокировку портов 135, 139 и 445 в файрволле. Если же ваш компьютер уже заражен (а появление сообщения об ошибке RPC однозначно означает, что он заражен), то необходимо выключить DCOM (иначе каждая следующая атака будет вызывать перезагрузку), после чего скачать и установить патч. Для уничтожения червя необходимо удалить из ключа реестра HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run запись "windows auto update"="msblast.exe", после чего найти и стереть файл msblast.exe - это и есть тело червя. Более подробно о процедуре удаления червя можно прочитать на сайте Symantec.

На данный момент не все антивирусы обнаруживают червя - надеяться на защиту с их стороны можно будет только завтра, после выхода обновлений. Об этом сообщает fcenter.
Profile CardPM
  0/0  
Pewrick
post Aug 13 2003, 07:29 
Отправлено #2


Старый Пью

Сообщений: 4 027
Из: гой




Worm.Win32.Lovesan


Вирус-червь. Распространяется по глобальным сетям, используя для своего размножения уязвимость в службе DCOM RPC Microsoft Windows. Ее описание приведено в Microsoft Security Bulletin MS03-026.

Червь написан на языке C, с использованием компилятора LCC. Имеет размер 6КB, упакован UPX. Размножается в виде файла с именем "mblast.exe".

Содержит текстовые строки:


I just want to say LOVE YOU SAN!!
billy gates why do you make this possible ? Stop making money and fix your software!!
Признаками заражения компьютера являются:

Наличие файла "msblast.exe" в системном (system32) каталоге Windows.
Сообщение об ошибке (RPC service failing) приводящее к перезагрузке системы.



Размножение

При запуске червь регистрирует себя в ключе автозапуска:


HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
windows auto update="msblast.exe"
Червь сканирует IP-адреса, начинающиеся с "base address" и пытается соединиться с 20 IP-адресами для инфицирования уязвимых компьютеров.
После этого червь "спит" в течение 1,8 секунды, а затем снова сканирует 20 IP-адресов и повторяет этот процесс в бесконечном цикле. Например, если "base address" является 20.40.50.0, червь будет сканировать следующие адреса:


20.40.50.0
20.40.50.1
20.40.50.2
...
20.40.50.19
----------- пауза 1.8 секунды
20.40.50.20
...
20.40.50.39
----------- пауза 1.8 секунды
...
...
20.40.51.0
20.40.51.1
...
20.41.0.0
20.41.0.1
и так далее.
Червь выбирает один из двух методов сканирования IP-адресов:

В 3 случаях из 5 червь выбирает случайный "base address" (A.B.C.D), где D равен 0, а A, B, C случайно выбраны из диапазона 1-255. Таким образом "base address" находится в диапазоне [1-255].[1-255].[1-255].0.


В 2 случаях из 5 червь сканирует подсеть.

Он определяет адрес локального компьютера (A.B.C.D), устанавливает D в ноль и выбирает значение C. Если C - больше чем 20, то червь выбирает случайное число от 1 до 20. Если C меньше или равно 20, червь не изменяет его.

Например, если инфицированная машина имеет IP-адрес "207.46.134.191", то червь будет сканировать адреса с 207.46.[115-134].0. Если IP-адрес - "207.46.14.1", то червь будет сканировать адреса, начиная с 207.46.14.0.
Используя уязвимость в Microsoft Windows 2000/XP, отправляет на 135 порт выбранного IP-адреса команды эксплойта DCOM RPC и запускает на удаленной машине командную оболочку "cmd.exe" на TCP порту 4444.
После этого червь, при помощи команды tftp get, через 69 порт загружает себя на удаленную машину в системный каталог Windows и запускает на исполнение.


Прочее

После заражения инфицированная машина выводит сообщение об ошибке RPC service failing, после чего может попытаться перезагрузиться.

C 16 августа 2003 года червь запускает процедуры DDoS атаки на сервер windowsupdate.com, пытаясь таким образом затруднить или прервать его работу.

http://www.viruslist.com/viruslist.html?id=2727712


--------------------
Шеф-повар ресторана "Макдональдс"...
Profile CardPM
  0/0  
LeKar
post Aug 13 2003, 07:59 
Отправлено #3


Tech. Support

Сообщений: 282
Из: Russian Federation



Вот заплатка для русской XP - http://download.microsoft.com/download/7/0...980-x86-RUS.exe
Profile CardPM
  0/0  
sanya
post Aug 13 2003, 08:43 
Отправлено #4


Дорога...

Сообщений: 482
Из: Москва



Сраный вирус сервак поразил... не успел я поставить патч. Ростелеком(провайдер связинформа) аж прям звонил, угрожали....
Profile CardPM
  0/0  

ОтветитьTopic Options
1 чел. читают эту тему (1 Гостей и 0 Скрытых Пользователей)
0 Пользователей:
Быстрый ответ
Кнопки кодов
 Расширенный режим
 Нормальный режим
    Закрыть все тэги


Открытых тэгов: 
Введите сообщение
Смайлики
smilie  smilie  smilie  smilie  smilie 
smilie  smilie  smilie  smilie  smilie 
smilie  smilie  smilie  smilie  smilie 
smilie  smilie  smilie  smilie  smilie 
smilie  smilie  smilie  smilie  smilie 
smilie  smilie  smilie  smilie  smilie 
         
Показать все

Опции сообщения