Hauptgruppierung: VirWare
Viren und Würmer sind bösartige Programme, die sich auf Computern oder in Computernetzwerken replizieren, ohne dass der Benutzer dies bemerkt. Jede nachfolgende Kopie solcher Schadprogramme kann sich auch selbst replizieren.Schädliche Programme, die sich über Netzwerke ausbreiten oder entfernte Maschinen infizieren, wenn dies vom "Eigentümer" (z. B. Hintertüren) verlangt wird, oder Programme, die mehrere Kopien erstellen, die sich nicht selbst replizieren können, gehören nicht zur Unterklasse Viren und Würmer.
Das Hauptmerkmal, das verwendet wird, um zu bestimmen, ob ein Programm als separates Verhalten innerhalb der Unterklasse Viren und Würmer klassifiziert ist, ist, wie sich das Programm verbreitet (dh wie das bösartige Programm Kopien von sich über lokale oder Netzwerkressourcen verbreitet).
Die meisten bekannten Würmer verteilen sich als Dateien, die als E-Mail-Anhänge gesendet werden, über einen Link zu einer Web- oder FTP-Ressource, über einen Link in einer ICQ- oder IRC-Nachricht, über P2P-Filesharing-Netzwerke usw.
Einige Würmer verbreiten sich als Netzwerkpakete; diese dringen direkt in den Computerspeicher ein und der Wurmcode wird dann aktiviert.
Würmer verwenden die folgenden Techniken, um entfernte Computer zu durchdringen und Kopien von sich selbst zu starten: Social Engineering (z. B. eine E-Mail-Nachricht, die darauf hinweist, dass der Benutzer eine angehängte Datei öffnet), Ausnutzen von Netzwerkkonfigurationsfehlern (z. B. Kopieren auf eine voll zugängliche Festplatte) Lücken in der Betriebssystem- und Anwendungssicherheit.
Viren können nach der Methode aufgeteilt werden, die zum Infizieren eines Computers verwendet wird:
Dateiviren
Boot-Sektor-Viren
Makroviren
Skriptviren
Jedes Programm in dieser Unterklasse kann zusätzliche Trojanerfunktionen haben.
Es sollte auch beachtet werden, dass viele Würmer mehr als eine Methode verwenden, um Kopien über Netzwerke zu verbreiten. Die Regeln zum Klassifizieren erkannter Objekte mit mehreren Funktionen sollten verwendet werden, um diese Arten von Würmern zu klassifizieren.
Kategorie: Net-Worm
Net-Worms propagieren über Computernetze. Das Unterscheidungsmerkmal dieser Art von Wurm ist, dass keine Benutzeraktion erforderlich ist, um sich zu verbreiten.Diese Art von Wurm sucht normalerweise nach kritischen Schwachstellen in Software, die auf Computern im Netzwerk ausgeführt wird. Um die Computer im Netzwerk zu infizieren, sendet der Wurm ein speziell gestaltetes Netzwerkpaket (ein Exploit genannt) und als Folge dringt der Wurmcode (oder ein Teil des Wurmcodes) in den Opfercomputer ein und aktiviert ihn. Manchmal enthält das Netzwerkpaket nur den Teil des Wurmcodes, der eine Datei mit dem Hauptwurmmodul herunterlädt und ausführt. Einige Netzwerkwürmer verwenden mehrere Exploits gleichzeitig, um sich zu verbreiten und erhöhen so die Geschwindigkeit, mit der sie Opfer finden.
Mehr Informationen
Plattform: Win32
Win32 ist eine API auf Windows NT-basierten Betriebssystemen (Windows XP, Windows 7 usw.), die die Ausführung von 32-Bit-Anwendungen unterstützt. Eine der am weitesten verbreiteten Programmierplattformen der Welt.Beschreibung
Technische Details
Dieser dateilose Wurm, auch bekannt als BlackIce und Blackworm, infiziert Computer, die die folgenden anfälligen ISS-Produkte verwenden:
RealSecure Network 7.0, XPU 22.11 und früher RealSecure Server Sensor 7.0 XPU 22.11 und früher RealSecure Server Sensor 6.5 für Windows SR 3.10 und vorher Proventia A Serie XPU 22.11 und früher Proventia G Serie XPU 22.11 und früher Proventia M Serie XPU 1.9 und vorher RealSecure Desktop 7.0 Ebl und vorher RealSecure Desktop 3.6 ecf und vorher RealSecure Guard 3.6 ecf und vorher RealSecure Sentry 3.6 ecf und vorher BlackICE Agent für Server 3.6 ecf und vorher BlackICE PC Protection 3,6 ccf und vorher BlackICE Server Protection 3.6 und vorher
Es sendet seinen eigenen Code von Computer zu Computer und startet den Code, indem er einen Fehler bei der Programmierung von ISS-Produkten ausnutzt.
Der Wurm ist extrem klein und variiert von 768 Bytes bis 1148 Bytes (Letzteres ist das größte bisher nachgewiesene Exemplar. Die Größe des Wurms kann kleiner sein als die angegebenen Werte.
Der Wurm existiert nur im Speicher und kopiert sich nicht auf die Festplatte. Es versucht, einen Teil der anfälligen Bibliothek iss-pam1.dll in ISS-Produkten mit eigenen Daten zu überschreiben.
Wenn der Wurm auf dem infizierten Computer aktiviert wird, generiert er eine zufällige IP-Adresse und sendet seinen eigenen Code zusammen mit dem Exploit für die oben erwähnte Sicherheitslücke an diese Adresse. Es verwendet UPD 4000 als Quellport.
Wenn ein solches Datenpaket empfangen wird, behandelt jeder Remote-Computer, auf dem anfällige ISS-Produkte installiert sind, dieses als ein eingehendes ICQ-Paket und versucht, es entsprechend zu verarbeiten.
Das Ergebnis dieses Fehlers ist, dass der ausführbare Code des Wurms in den Speicher des Opfer-Computers eindringt und beginnt, Kopien von sich selbst zu senden.
Sobald das Datenpaket von der zufällig ausgewählten IP-Adresse gesendet wurde, wiederholt der Wurm den Prozess der Auswahl einer Adresse und des Sendens von Daten 20.000 Mal. Es versucht dann, die ersten 65 KB Daten von iss-pam1.dll in einen zufällig ausgewählten Festplattensektor des infizierten Computers zu schreiben.
Sobald der obige Vorgang abgeschlossen ist, wird der gesamte Zyklus wiederholt.
Der folgende Text ist im Code des Wurms zu sehen:
(^. ^) hier witzige Nachricht einfügen. (^. ^) 32Qhws2 QhsockTS QhsendTS Qhel32hkernT QhounhickChGetTTP
Implementierung von Angriffen
Um Angriffe durchzuführen, nutzt der Wurm einen der Fehler bei der Programmierung von ISS-Produkten. Eine Beschreibung finden Sie auf der Herstellerseite
Witty nutzt die Schwachstelle in ICQ Parsing in ISS Products , die erstmals im März 2004 identifiziert wurde.
Patches für diesen Fehler können von der ISS-Site heruntergeladen werden
Bemerkenswerterweise sind die Methoden, die Witty verwendet, um sich zu verbreiten, fast identisch mit denen, die ein anderer dateiloser Wurm, Slammer , im Januar 2003 benutzte.
Der Wurm stellt keine Bedrohung für Benutzer dar, die keine anfälligen ISS-Produkte auf ihren Systemen installiert haben.
Der Wurm erstellt keine Kopien von sich selbst auf der Festplatte und ist nur im Arbeitsspeicher resident. Sobald das infizierte System neu gestartet wurde, hört der Wurm auf zu arbeiten.
Kasperskys Analyse von Internetangriffen zeigt, dass Witty am 22. März 2004, 48 Stunden nach dem ersten Auftreten des Wurms, unter allen derzeit aktiven Internetwürmern (ohne E-Mail-Würmer) den 13. Platz belegte, mit einer bescheidenen Bewertung von 0,32%.
Mehr erfahren
Informieren Sie sich über die Statistiken der in Ihrer Region verbreiteten Sicherheitslücken statistics.securelist.com