ESTE SERVIÇO PODE CONTER TRADUÇÕES FEITAS PELO GOOGLE. O GOOGLE SE ISENTA DE TODAS AS GARANTIAS RELACIONADAS ÀS TRADUÇÕES, EXPRESSAS OU IMPLÍCITAS, INCLUINDO QUALQUER RESPONSABILIDADE EM RELAÇÃO À PRECISÃO, CONFIABILIDADE E QUALQUER DEVER IMPLÍCITO SOBRE SUA COMERCIALIZAÇÃO, ADEQUAÇÃO PARA UM FIM ESPECÍFICO E NÃO-VIOLAÇÃO.

Para sua conveniência, o site da Kaspersky Lab foi traduzido com a utilização do software de tradução Google Tradutor. Foram realizados esforços razoáveis para o oferecimento de uma tradução precisa; entretanto, as traduções automatizadas não são perfeitas e tampouco pretendem substituir a tradução qualificada de especialistas. Essas traduções são fornecidas como um serviço para os usuários do site da Kaspersky Lab e são exibidas "como estão". Não há nenhuma garantia de qualquer tipo, seja expressa ou implícita, sobre a precisão, confiabilidade, ou exatidão de quaisquer traduções feitas do inglês para qualquer outro idioma. Alguns conteúdos (como imagens, vídeos, Flash, etc.) podem não estar corretamente traduzidos devido às limitações do programa de tradução.

Net-Worm.Win32.BlueCode

Classe Net-Worm
Plataforma Win32
Descrição

Detalhes técnicos

Este é um worm da Internet que atinge sites da Web, infectando os ISS (Internet Information Servers). O worm perpetua esse método de se espalhar de um site para outro enviando e executando seu arquivo EXE.

O nome dos arquivos do worm são consistentes – SVCHOST.EXE e HTTPEXT.DLL. O arquivo EXE é um aplicativo Win32 (arquivo EXE PE) sobre 29K de comprimento e está escrito em Microsoft C ++. Também havia uma variante compactada descoberta, com cerca de 14K de tamanho. O arquivo DLL é de cerca de 47 K de tamanho e está escrito em Microsoft C ++.

Observe que o worm usa nomes de arquivos EXE padrão do Win32. SVCHOST.EXE e HTTPEXT.DLL podem ser encontrados nas instalações Win2000 padrão na subpasta SYSTEM32.

O worm infecta apenas máquinas instaladas com o pacote do IIS e o conteúdo do site. O aplicativo worm, ao ser executado em uma dessas máquinas, localiza e infecta sites remotos (máquinas remotas com o pacote IIS instalado): ele os insere e, usando uma exploração Web Directory Traversal, envia sua cópia para lá e gera essa cópia. Como resultado, o worm infecta todos os servidores da Web vulneráveis ​​que podem ser acessados ​​a partir da máquina infectada atual, e outros servidores infectados disseminam a cópia do worm, e assim por diante.

O worm possui uma rotina de carga útil que, das 10:00 às 11:00, realiza um ataque DoS (Deny of Service) no servidor da Web http://www.nsfocus.com.

Instalando

O worm cria suas cópias (EXE e DLL) na raiz da unidade C: – C: SVCHOST.EXE e C: HTTPEXT.DLL. Este arquivo EXE é então registrado na chave de execução automática do Registro:

HKLMSoftwareMicrosoftWindowsCurrentVersionRun
Gerenciador de domínio = C: svchost.exe

O worm então cria e troca um arquivo de script C: D.VBS, depois procura o aplicativo INETINFO.EXE e o finaliza se estiver ativo. O programa de script VBS também procura por serviço de indexação, consulta de indexação e mapeamento de impressora e os remove.

Como resultado, o worm desabilita violações de segurança que podem ser usadas (ou usadas) por outros worms para infectar a máquina e / ou hackers para romper as proteções de segurança da Web.

Espalhando

Para se espalhar ainda mais, o worm executa 100 threads que examinam endereços IP selecionados aleatoriamente e os ataca.

Em 50% dos casos, as máquinas atacadas estão na mesma rede, e os endereços IP atacados são "aa.bb. ??. ??", onde "aa.bb" faz parte do endereço IP da máquina infectada, e "??" são aleatórios.

Nos outros 50% dos casos, os endereços atacados são muito aleatórios.

Para atacar uma máquina vítima, o worm usa a exploração Web Directory Traversal três vezes:

  1. ele tenta determinar o diretório do IIS em uma máquina remota,
  2. em seguida, envia uma solicitação para a máquina remota para baixar o componente DLL do vírus (arquivo HTTPEXT.DLL) do infectado,
  3. a última solicitação é copiar esse arquivo DLL para o diretório raiz C :.

Para fazer upload de um arquivo DLL para uma máquina vítima, o worm usa um comando "tftp" e ativa o servidor TFTP temporário em uma máquina infectada (atual) para processar um comando "get data" da máquina vítima (remota).

Quando um arquivo DLL é enviado para a máquina vítima, ele é ativado por um truque. Assim, a cópia do worm é iniciada em um servidor remoto, depois é descartada e executa o componente EXE que, em seguida, espalha o antivírus.


Link para o original