Net-Worm.Win32.Lovesan

Lovesan ist ein Internet-Wurm, der die DCOM-RPC-Schwachstelle in Microsoft Windows ausnutzt, die im MS Security Bulletin MS03-026 beschrieben wird .

Lovesan wird in C mit dem LCC-Compiler geschrieben. Der Wurm ist eine Windows PE EXE-Datei mit etwa 6 KB (komprimiert über UPX – 11 KB bei Dekomprimierung).

Lovesan lädt herunter und versucht, eine Datei namens msblast.exe auszuführen.

Der Text ist wie folgt:

Ich möchte nur sagen, liebe dich SAN!
billy gates warum machst du das möglich? Hör auf Geld zu machen und repariere deine Software !!

Symptome der Infektion:

• MSBLAST.Exe im Windows system32-Ordner.
• Fehlermeldung: Fehler beim RPC-Dienst Dies führt zum Neustart des Systems.

Wie sich der Wurm ausbreitet

Lovesan registriert sich selbst im Autorun-Schlüssel, wenn das System bei jedem Neustart des Computers neu gestartet und gestartet wird:

 HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun



Windows automatische Aktualisierung = "msblast.exe" 

Der Wurm scannt dann IP-Adressen und versucht, sich mit 20 zufälligen IP-Adressen zu verbinden und anfällige Computer zu infizieren. Lovesan schläft 1,8 Sekunden und scannt die nächsten 20 IP-Adressen.

Lovesan scannt IP-Adressen nach einem der folgenden Muster:

1. In 3 von 5 Fällen wählt Lovesan zufällige Basis-IP-Adressen (ABCD) aus, wobei D gleich 0 ist, während A, B und C Zufallszahlen zwischen 0 und 255 sind.
2. In den verbleibenden 2 von 5 Fällen durchsucht Lovesan das Subnetz und erhält die lokale IP-Adresse des infizierten Rechners, entnimmt die Werte A und B und setzt D auf 0. Dann extrahiert der Wurm den C-Wert.

   Wenn C kleiner oder gleich 20 ist, ändert Lovesan C nicht. Wenn also die lokale IP-Adresse 207.46.14.1 ist, scannt der Wurm IP-Adressen ab 207.46.14.0

   Wenn C größer als 20 ist, wählt Lovesan einen zufälligen Wert zwischen C und C-19. Wenn die IP-Adresse des infizierten Computers 207.46.134.191 ist, scannt der Wurm die IP-Adressen 207.46. {115-134} .0

Der Wurm sendet eine Pufferüberlaufanforderung über den TCP-Port 135 an anfällige Maschinen. Die neu infizierte Maschine initiiert dann die Befehlsshell am TCP-Port 4444.

Lovesan führt den Thread aus, der die Verbindung an Port 4444 öffnet und wartet auf eine FTP-Anfrage vom Opfercomputer. Der Wurm zwingt dann die Opfermaschine, die "FTP-Get" -Anfrage zu senden. So lädt der Opferrechner den Wurm vom infizierten Rechner herunter und führt ihn aus. Die Opfermaschine ist jetzt ebenfalls infiziert.

Andere Informationen

Sobald ein Computer infiziert ist, sendet das System eine Fehlermeldung über den Ausfall des RPC-Dienstes und startet möglicherweise den Computer neu.

Ab dem 16. August 2003 wird Lovesan DDoS-Angriffe auf den Windowsupdate.com-Server starten.