DIESER SERVICE KANN ÜBERSETZUNGEN VON GOOGLE ENTHALTEN. GOOGLE ÜBERNIMMT KEINERLEI VERANTWORTUNG FÜR DIE ÜBERSETZUNGEN. DARUNTER FÄLLT JEGLICHE VERANTWORTUNG IN BEZUG AUF RICHTIGKEIT UND ZUVERLÄSSIGKEIT SOWIE JEGLICHE STILLSCHWEIGENDEN GEWÄHRLEISTUNGEN DER MARKTGÄNGIGKEIT, NICHT-VERLETZUNG VON RECHTEN DRITTER ODER DER EIGNUNG FÜR EINEN BESTIMMTEN ZWECK.

Die Website von Kaspersky Lab wurde für Ihre Bequemlichkeit mithilfe einer Übersetzungssoftware von Google Translate übersetzt. Es wurden angemessene Bemühungen für die Bereitstellung einer akkuraten Übersetzung unternommen. Bitte beachten Sie, dass automatisierte Übersetzungen nicht perfekt sind und menschliche Übersetzer in keinem Fall ersetzen sollen. Übersetzungen werden den Nutzern der Kaspersky-Lab-Website als Service und "wie sie sind" zur Verfügung gestellt. Die Richtigkeit, Zuverlässigkeit oder Korrektheit jeglicher Übersetzungen aus dem Englischen in eine andere Sprache wird weder ausdrücklich noch stillschweigend garantiert. Einige Inhalte (z. B. Bilder, Videos, Flash, usw.) können aufgrund der Einschränkungen der Übersetzungssoftware möglicherweise nicht inhaltsgetreu übersetzt werden.

Net-Worm.Win32.Lovesan

Erkennungsdatum 01/17/2008
Kategorie Net-Worm
Plattform Win32
Beschreibung

Lovesan ist ein Internet-Wurm, der die DCOM-RPC-Schwachstelle in Microsoft Windows ausnutzt, die im MS Security Bulletin MS03-026 beschrieben wird .

Lovesan wird in C mit dem LCC-Compiler geschrieben. Der Wurm ist eine Windows PE EXE-Datei mit etwa 6 KB (komprimiert über UPX – 11 KB bei Dekomprimierung).

Lovesan lädt herunter und versucht, eine Datei namens msblast.exe auszuführen.

Der Text ist wie folgt:

Ich möchte nur sagen, liebe dich SAN!
billy gates warum machst du das möglich? Hör auf Geld zu machen und repariere deine Software !!

Symptome der Infektion:

  • MSBLAST.Exe im Windows system32-Ordner.
  • Fehlermeldung: Fehler beim RPC-Dienst Dies führt zum Neustart des Systems.

Wie sich der Wurm ausbreitet

Lovesan registriert sich selbst im Autorun-Schlüssel, wenn das System bei jedem Neustart des Computers neu gestartet und gestartet wird:

 HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun



Windows automatische Aktualisierung = "msblast.exe" 

Der Wurm scannt dann IP-Adressen und versucht, sich mit 20 zufälligen IP-Adressen zu verbinden und anfällige Computer zu infizieren. Lovesan schläft 1,8 Sekunden und scannt die nächsten 20 IP-Adressen.

Lovesan scannt IP-Adressen nach einem der folgenden Muster:

  1. In 3 von 5 Fällen wählt Lovesan zufällige Basis-IP-Adressen (ABCD) aus, wobei D gleich 0 ist, während A, B und C Zufallszahlen zwischen 0 und 255 sind.
  2. In den verbleibenden 2 von 5 Fällen durchsucht Lovesan das Subnetz und erhält die lokale IP-Adresse des infizierten Rechners, entnimmt die Werte A und B und setzt D auf 0. Dann extrahiert der Wurm den C-Wert.

    Wenn C kleiner oder gleich 20 ist, ändert Lovesan C nicht. Wenn also die lokale IP-Adresse 207.46.14.1 ist, scannt der Wurm IP-Adressen ab 207.46.14.0

    Wenn C größer als 20 ist, wählt Lovesan einen zufälligen Wert zwischen C und C-19. Wenn die IP-Adresse des infizierten Computers 207.46.134.191 ist, scannt der Wurm die IP-Adressen 207.46. {115-134} .0

Der Wurm sendet eine Pufferüberlaufanforderung über den TCP-Port 135 an anfällige Maschinen. Die neu infizierte Maschine initiiert dann die Befehlsshell am TCP-Port 4444.

Lovesan führt den Thread aus, der die Verbindung an Port 4444 öffnet und wartet auf eine FTP-Anfrage vom Opfercomputer. Der Wurm zwingt dann die Opfermaschine, die "FTP-Get" -Anfrage zu senden. So lädt der Opferrechner den Wurm vom infizierten Rechner herunter und führt ihn aus. Die Opfermaschine ist jetzt ebenfalls infiziert.

Andere Informationen

Sobald ein Computer infiziert ist, sendet das System eine Fehlermeldung über den Ausfall des RPC-Dienstes und startet möglicherweise den Computer neu.

Ab dem 16. August 2003 wird Lovesan DDoS-Angriffe auf den Windowsupdate.com-Server starten.


Link zum Original