ESTE SERVIÇO PODE CONTER TRADUÇÕES FEITAS PELO GOOGLE. O GOOGLE SE ISENTA DE TODAS AS GARANTIAS RELACIONADAS ÀS TRADUÇÕES, EXPRESSAS OU IMPLÍCITAS, INCLUINDO QUALQUER RESPONSABILIDADE EM RELAÇÃO À PRECISÃO, CONFIABILIDADE E QUALQUER DEVER IMPLÍCITO SOBRE SUA COMERCIALIZAÇÃO, ADEQUAÇÃO PARA UM FIM ESPECÍFICO E NÃO-VIOLAÇÃO.

Para sua conveniência, o site da Kaspersky Lab foi traduzido com a utilização do software de tradução Google Tradutor. Foram realizados esforços razoáveis para o oferecimento de uma tradução precisa; entretanto, as traduções automatizadas não são perfeitas e tampouco pretendem substituir a tradução qualificada de especialistas. Essas traduções são fornecidas como um serviço para os usuários do site da Kaspersky Lab e são exibidas "como estão". Não há nenhuma garantia de qualquer tipo, seja expressa ou implícita, sobre a precisão, confiabilidade, ou exatidão de quaisquer traduções feitas do inglês para qualquer outro idioma. Alguns conteúdos (como imagens, vídeos, Flash, etc.) podem não estar corretamente traduzidos devido às limitações do programa de tradução.

Net-Worm.Win32.Witty

Classe Net-Worm
Plataforma Win32
Descrição

Detalhes técnicos

Esse worm sem arquivo, também conhecido como BlackIce e Blackworm, infecta computadores que usam os seguintes produtos ISS vulneráveis:

 RealSecure Network 7.0, XPU 22.11 e antes
 RealSecure Server Sensor 7.0 XPU 22.11 e antes 
 RealSecure Server Sensor 6.5 para Windows SR 3.10 e antes 
 Proventia A Series XPU 22.11 e antes
 Proventia G Series XPU 22.11 e antes
 Proventia M Series XPU 1.9 e antes
 RealSecure Desktop 7.0 ebl e antes
 RealSecure Desktop 3.6 ecf e antes
 RealSecure Guard 3.6 ecf e antes 
 RealSecure Sentry 3.6 ecf e antes 
 BlackICE Agent for Server 3.6 ecf e antes
 BlackICE PC Protection 3.6 ccf e antes
 BlackICE Server Protection 3.6 ccf e antes 

Ele envia seu próprio código de computador para computador e lança o código, explorando uma falha na programação de produtos ISS.

O worm é extremamente pequeno e varia de 768 bytes a 1148 bytes (o último é o maior espécime detectado até agora. O tamanho do worm pode ser menor do que os valores dados.

O worm existe apenas na memória e não se copia para o disco. Ele tenta sobrescrever parte da biblioteca vulnerável iss-pam1.dll em produtos ISS com seus próprios dados.

Quando ativado no computador infectado, o worm gera um endereço IP aleatório e envia seu próprio código, juntamente com a exploração da vulnerabilidade mencionada acima, para esse endereço. Utiliza o UPD 4000 como porta de origem.

Ao receber tal pacote de dados, qualquer computador remoto que tenha produtos ISS vulneráveis ​​instalados o tratará como um pacote ICQ de entrada e tentará processá-lo de acordo.

O resultado desse erro é que o código executável do worm penetra na memória do computador da vítima e começa a enviar cópias de si mesmo.

Depois que o pacote de dados é enviado do endereço IP escolhido aleatoriamente, o worm repete o processo de escolher um endereço e enviar dados 20.000 vezes. Em seguida, ele tenta gravar os primeiros 65 KB de dados do iss-pam1.dll em um setor de disco escolhido aleatoriamente no computador infectado.

Uma vez que a operação acima tenha sido completada, todo o ciclo é repetido.

O texto mostrado abaixo pode ser visto no código do worm:

 (^. ^) insira uma mensagem espirituosa aqui. (^. ^) 
 32Qhws2
 QhsockTS
 QhsendTS
 Qhel32hkernT
 QhounthickChGetTTP 

Implementação de ataques

Para realizar ataques, o worm usa um dos erros na programação de produtos ISS. Uma descrição pode ser encontrada no site do fornecedor

Witty explora a vulnerabilidade na Análise de ICQ em Produtos da ISS , que foi identificada pela primeira vez em março de 2004.

Patches para esta falha podem ser baixados do site do ISS

Notavelmente, os métodos que a Witty usa para se propagar são quase idênticos àqueles que outro worm sem filtro, o Slammer , usou em janeiro de 2003.

O worm não apresenta qualquer ameaça aos usuários que não possuem os produtos ISS vulneráveis ​​instalados em seus sistemas.

O worm não cria cópias de si mesmo no disco e reside apenas na RAM. Uma vez que o sistema infectado foi reiniciado, o worm deixa de funcionar.

A análise de ataques da Internet feita pela Kaspersky mostra que, em 22 de março de 2004, 48 horas após o surgimento do worm, a Witty ficou em 13º lugar entre todos os worms da Internet (excluindo worms de e-mail), com uma modesta classificação de 0,32%.


Link para o original