DIESER SERVICE KANN ÜBERSETZUNGEN VON GOOGLE ENTHALTEN. GOOGLE ÜBERNIMMT KEINERLEI VERANTWORTUNG FÜR DIE ÜBERSETZUNGEN. DARUNTER FÄLLT JEGLICHE VERANTWORTUNG IN BEZUG AUF RICHTIGKEIT UND ZUVERLÄSSIGKEIT SOWIE JEGLICHE STILLSCHWEIGENDEN GEWÄHRLEISTUNGEN DER MARKTGÄNGIGKEIT, NICHT-VERLETZUNG VON RECHTEN DRITTER ODER DER EIGNUNG FÜR EINEN BESTIMMTEN ZWECK.
Die Website von Kaspersky Lab wurde für Ihre Bequemlichkeit mithilfe einer Übersetzungssoftware von Google Translate übersetzt. Es wurden angemessene Bemühungen für die Bereitstellung einer akkuraten Übersetzung unternommen. Bitte beachten Sie, dass automatisierte Übersetzungen nicht perfekt sind und menschliche Übersetzer in keinem Fall ersetzen sollen. Übersetzungen werden den Nutzern der Kaspersky-Lab-Website als Service und "wie sie sind" zur Verfügung gestellt. Die Richtigkeit, Zuverlässigkeit oder Korrektheit jeglicher Übersetzungen aus dem Englischen in eine andere Sprache wird weder ausdrücklich noch stillschweigend garantiert. Einige Inhalte (z. B. Bilder, Videos, Flash, usw.) können aufgrund der Einschränkungen der Übersetzungssoftware möglicherweise nicht inhaltsgetreu übersetzt werden.
Erkennungsdatum | 01/17/2008 |
Kategorie | Net-Worm |
Plattform | Win32 |
Beschreibung |
Lovesan ist ein Internet-Wurm, der die DCOM-RPC-Schwachstelle in Microsoft Windows ausnutzt, die im MS Security Bulletin MS03-026 beschrieben wird . Lovesan wird in C mit dem LCC-Compiler geschrieben. Der Wurm ist eine Windows PE EXE-Datei mit etwa 6 KB (komprimiert über UPX – 11 KB bei Dekomprimierung). Lovesan lädt herunter und versucht, eine Datei namens msblast.exe auszuführen. Der Text ist wie folgt:
Symptome der Infektion:
Wie sich der Wurm ausbreitet Lovesan registriert sich selbst im Autorun-Schlüssel, wenn das System bei jedem Neustart des Computers neu gestartet und gestartet wird: HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun Windows automatische Aktualisierung = "msblast.exe" Der Wurm scannt dann IP-Adressen und versucht, sich mit 20 zufälligen IP-Adressen zu verbinden und anfällige Computer zu infizieren. Lovesan schläft 1,8 Sekunden und scannt die nächsten 20 IP-Adressen. Lovesan scannt IP-Adressen nach einem der folgenden Muster:
Der Wurm sendet eine Pufferüberlaufanforderung über den TCP-Port 135 an anfällige Maschinen. Die neu infizierte Maschine initiiert dann die Befehlsshell am TCP-Port 4444. Lovesan führt den Thread aus, der die Verbindung an Port 4444 öffnet und wartet auf eine FTP-Anfrage vom Opfercomputer. Der Wurm zwingt dann die Opfermaschine, die "FTP-Get" -Anfrage zu senden. So lädt der Opferrechner den Wurm vom infizierten Rechner herunter und führt ihn aus. Die Opfermaschine ist jetzt ebenfalls infiziert. Andere Informationen Sobald ein Computer infiziert ist, sendet das System eine Fehlermeldung über den Ausfall des RPC-Dienstes und startet möglicherweise den Computer neu. Ab dem 16. August 2003 wird Lovesan DDoS-Angriffe auf den Windowsupdate.com-Server starten. |
Link zum Original |
|
Informieren Sie sich über die Statistiken der in Ihrer Region verbreiteten Bedrohungen |