Net-Worm.Win32.BlueCode

Classe pour les parents: VirWare

Les virus et les vers sont des programmes malveillants qui s'auto-répliquent sur des ordinateurs ou via des réseaux informatiques sans que l'utilisateur en soit conscient; chaque copie ultérieure de tels programmes malveillants est également capable de s'autoreproduire. Les programmes malveillants qui se propagent via des réseaux ou infectent des machines distantes lorsque le "propriétaire" (par exemple Backdoors) ou les programmes qui créent plusieurs copies qui ne peuvent pas s'auto-répliquer ne font pas partie de la sous-classe Virus and Worms. La caractéristique principale utilisée pour déterminer si un programme est classé comme un comportement distinct dans la sous-classe Virus and Worms est la manière dont le programme se propage (c'est-à-dire comment le programme malveillant répand des copies de lui-même via des ressources locales ou réseau). en tant que fichiers envoyés en pièces jointes, via un lien vers une ressource Web ou FTP, via un lien envoyé dans un message ICQ ou IRC, via des réseaux de partage de fichiers P2P, etc. Certains vers se propagent sous la forme de paquets réseau; ceux-ci pénètrent directement dans la mémoire de l'ordinateur et le code du ver est alors activé. Worms utilise les techniques suivantes pour pénétrer des ordinateurs distants et lancer des copies d'eux-mêmes: ingénierie sociale (par exemple, un message électronique suggérant que l'utilisateur ouvre un fichier joint), exploitation des erreurs de configuration réseau (par exemple copie sur disque entièrement accessible) failles dans la sécurité du système d'exploitation et des applications. Les virus peuvent être divisés en fonction de la méthode utilisée pour infecter un ordinateur: virus de fichiers virus du secteur de démarrage virus de script virus de virus Tous les programmes de cette sous-classe peuvent avoir des fonctions de Troie supplémentaires. Il convient également de noter que de nombreux vers utilisent plus d'une méthode pour diffuser des copies via des réseaux. Les règles de classification des objets détectés avec des fonctions multiples doivent être utilisées pour classer ces types de vers.

Classe: Net-Worm

Net-Worms se propagent via des réseaux informatiques. La caractéristique distinctive de ce type de ver est qu'il ne nécessite pas d'action de l'utilisateur pour se propager. Ce type de ver recherche généralement les vulnérabilités critiques des logiciels s'exécutant sur les ordinateurs en réseau. Afin d'infecter les ordinateurs sur le réseau, le ver envoie un paquet réseau spécialement conçu (appelé exploit) et par conséquent le code du ver (ou une partie du code du ver) pénètre dans l'ordinateur de la victime et l'active. Parfois, le paquet réseau contient uniquement la partie du code de ver qui va télécharger et exécuter un fichier contenant le module de ver principal. Certains vers de réseau utilisent simultanément plusieurs exploits pour se propager, augmentant ainsi la vitesse à laquelle ils trouvent des victimes.

Plus d'informations

Plateforme: Win32

Win32 est une API sur les systèmes d'exploitation Windows NT (Windows XP, Windows 7, etc.) qui prend en charge l'exécution des applications 32 bits. L'une des plateformes de programmation les plus répandues au monde.

Description

Détails techniques

Il s'agit d'un ver Internet qui cible les sites Web en infectant les serveurs d'informations Internet (ISS). Le ver perpétue cette méthode de propagation d'un site Web à un autre en envoyant et en exécutant son fichier EXE.

Le nom des fichiers du ver est consistant - SVCHOST.EXE et HTTPEXT.DLL. Le fichier EXE est une application Win32 (fichier PE EXE) d'environ 29 Ko, et il est écrit dans Microsoft C ++. Il y avait aussi une variante compressée découverte, qui a une taille d'environ 14K. Le fichier DLL a une taille d'environ 47 Ko et il est écrit dans Microsoft C ++.

Notez que le ver utilise des noms de fichiers EXE Win32 standard. SVCHOST.EXE et HTTPEXT.DLL peuvent être trouvés dans les installations Win2000 standard dans le sous-dossier SYSTEM32.

Le ver infecte uniquement les machines installées avec le package IIS et le contenu du site Web. L'application de ver, lorsqu'elle est exécutée sur une telle machine, localise et infecte les sites Web distants (machines distantes avec package IIS installé): elle les saisit et, en utilisant un exploit Web Directory Traversal, envoie sa copie et génère cette copie. Par conséquent, le ver infecte tous les serveurs Web malveillants accessibles depuis une machine infectée, et d'autres serveurs infectés propagent la copie du ver, etc.

Le ver a une routine de charge utile qui, de 10h00 à 11h00 heure mondiale, effectue une attaque DoS (Deny of Service) sur le serveur Web http://www.nsfocus.com.

Installation

Le ver crée ses copies (EXE et DLL) à la racine de C: drive - C: SVCHOST.EXE et C: HTTPEXT.DLL. Ce fichier EXE est ensuite enregistré dans la clé d'exécution automatique du Registre:

HKLMSoftwareMicrosoftWindowsCurrentVersionRun
Gestionnaire de domaine = C: svchost.exe

Le ver crée ensuite et échange un fichier script C: D.VBS, puis recherche l'application INETINFO.EXE et l'interrompt si elle est active. Le programme de script VBS recherche également le service d'indexation, la requête d'indexation et le mappage d'imprimante et les supprime.

En conséquence, le ver désactive les failles de sécurité qui peuvent être utilisées (ou utilisées) par d'autres vers pour infecter la machine et / ou les pirates informatiques pour contourner les protections de sécurité Web.

Diffusion

Pour se propager plus loin, le ver exécute 100 threads qui analysent les adresses IP sélectionnées au hasard et les attaquent.

Dans 50% des cas, les machines attaquées sont dans le même réseau, et les adresses IP attaquées sont "aa.bb. ??. ??", où "aa.bb" fait partie de l'adresse IP de la machine infectée, et "??" sont aléatoires.

Dans l'autre 50% des cas, les adresses attaquées sont très aléatoires.

Pour attaquer une machine victime, le ver utilise l'exploit Web Directory Traversal trois fois:

1. il essaie de déterminer le répertoire IIS sur une machine distante,
2. envoie ensuite une requête à l'ordinateur distant pour télécharger le composant DLL du virus (fichier HTTPEXT.DLL) à partir du fichier infecté,
3. la dernière requête est de copier ce fichier DLL dans le répertoire C: root.

Pour télécharger un fichier DLL sur une machine victime, le ver utilise une commande "tftp" et active le serveur TFTP temporaire sur une machine infectée (en cours) pour traiter une commande "get data" depuis la machine victime (distante).

Lorsqu'un fichier DLL est téléchargé sur la machine victime, il est activé par un tour. Ainsi, la copie du ver démarre sur un serveur distant, puis elle abandonne et exécute le composant EXE qui propage alors le virus futhrer.

En savoir plus

Découvrez les statistiques de la propagation des vulnérabilités dans votre région statistics.securelist.com