CE SERVICE PEUT CONTENIR DES TRADUCTIONS GÉNÉRÉES PAR GOOGLE. GOOGLE DÉCLINE TOUTE GARANTIE, EXPLICITE OU IMPLICITE, Y COMPRIS LES GARANTIES D'EXACTITUDE, DE FIABILITÉ, AINSI QUE TOUTE GARANTIE IMPLICITE DE COMMERCIALISATION ET D'ADAPTATION À DES FINS PARTICULIÈRES ET À L'ABSENCE DE CONTREFAÇONS.

Le site internet de Kaspersky Lab a été traduit pour votre commodité en utilisant un logiciel de traduction générée par Google. Des efforts raisonnables ont été faits pour fournir une traduction exacte. Cependant, aucune traduction automatique n'est parfaite et l'objectif n'est pas de remplacer le travail des traducteurs. Le site internet de Kaspersky Lab fournit ces traductions comme un service pour ses utilisateurs, et elles ont été publiées "telles quelles". Aucune garantie, explicite ou implicite, n'est faite au sujet de l'exactitude, de fiabilité ou de conformité de ces traductions faites de l'anglais vers une autre langue. Certains contenus (images, vidéos, Flash, etc.) peuvent ne pas être traduits correctement à cause des limites du logiciel de traduction.

Net-Worm.Win32.BlueCode

Classe Net-Worm
Plateforme Win32
Description

Détails techniques

Il s'agit d'un ver Internet qui cible les sites Web en infectant les serveurs d'informations Internet (ISS). Le ver perpétue cette méthode de propagation d'un site Web à un autre en envoyant et en exécutant son fichier EXE.

Le nom des fichiers du ver est consistant – SVCHOST.EXE et HTTPEXT.DLL. Le fichier EXE est une application Win32 (fichier PE EXE) d'environ 29 Ko, et il est écrit dans Microsoft C ++. Il y avait aussi une variante compressée découverte, qui a une taille d'environ 14K. Le fichier DLL a une taille d'environ 47 Ko et il est écrit dans Microsoft C ++.

Notez que le ver utilise des noms de fichiers EXE Win32 standard. SVCHOST.EXE et HTTPEXT.DLL peuvent être trouvés dans les installations Win2000 standard dans le sous-dossier SYSTEM32.

Le ver infecte uniquement les machines installées avec le package IIS et le contenu du site Web. L'application de ver, lorsqu'elle est exécutée sur une telle machine, localise et infecte les sites Web distants (machines distantes avec package IIS installé): elle les saisit et, en utilisant un exploit Web Directory Traversal, envoie sa copie et génère cette copie. Par conséquent, le ver infecte tous les serveurs Web malveillants accessibles depuis une machine infectée, et d'autres serveurs infectés propagent la copie du ver, etc.

Le ver a une routine de charge utile qui, de 10h00 à 11h00 heure mondiale, effectue une attaque DoS (Deny of Service) sur le serveur Web http://www.nsfocus.com.

Installation

Le ver crée ses copies (EXE et DLL) à la racine de C: drive – C: SVCHOST.EXE et C: HTTPEXT.DLL. Ce fichier EXE est ensuite enregistré dans la clé d'exécution automatique du Registre:

HKLMSoftwareMicrosoftWindowsCurrentVersionRun
Gestionnaire de domaine = C: svchost.exe

Le ver crée ensuite et échange un fichier script C: D.VBS, puis recherche l'application INETINFO.EXE et l'interrompt si elle est active. Le programme de script VBS recherche également le service d'indexation, la requête d'indexation et le mappage d'imprimante et les supprime.

En conséquence, le ver désactive les failles de sécurité qui peuvent être utilisées (ou utilisées) par d'autres vers pour infecter la machine et / ou les pirates informatiques pour contourner les protections de sécurité Web.

Diffusion

Pour se propager plus loin, le ver exécute 100 threads qui analysent les adresses IP sélectionnées au hasard et les attaquent.

Dans 50% des cas, les machines attaquées sont dans le même réseau, et les adresses IP attaquées sont "aa.bb. ??. ??", où "aa.bb" fait partie de l'adresse IP de la machine infectée, et "??" sont aléatoires.

Dans l'autre 50% des cas, les adresses attaquées sont très aléatoires.

Pour attaquer une machine victime, le ver utilise l'exploit Web Directory Traversal trois fois:

  1. il essaie de déterminer le répertoire IIS sur une machine distante,
  2. envoie ensuite une requête à l'ordinateur distant pour télécharger le composant DLL du virus (fichier HTTPEXT.DLL) à partir du fichier infecté,
  3. la dernière requête est de copier ce fichier DLL dans le répertoire C: root.

Pour télécharger un fichier DLL sur une machine victime, le ver utilise une commande "tftp" et active le serveur TFTP temporaire sur une machine infectée (en cours) pour traiter une commande "get data" depuis la machine victime (distante).

Lorsqu'un fichier DLL est téléchargé sur la machine victime, il est activé par un tour. Ainsi, la copie du ver démarre sur un serveur distant, puis elle abandonne et exécute le composant EXE qui propage alors le virus futhrer.


Lien vers l'original