CE SERVICE PEUT CONTENIR DES TRADUCTIONS GÉNÉRÉES PAR GOOGLE. GOOGLE DÉCLINE TOUTE GARANTIE, EXPLICITE OU IMPLICITE, Y COMPRIS LES GARANTIES D'EXACTITUDE, DE FIABILITÉ, AINSI QUE TOUTE GARANTIE IMPLICITE DE COMMERCIALISATION ET D'ADAPTATION À DES FINS PARTICULIÈRES ET À L'ABSENCE DE CONTREFAÇONS.

Le site internet de Kaspersky Lab a été traduit pour votre commodité en utilisant un logiciel de traduction générée par Google. Des efforts raisonnables ont été faits pour fournir une traduction exacte. Cependant, aucune traduction automatique n'est parfaite et l'objectif n'est pas de remplacer le travail des traducteurs. Le site internet de Kaspersky Lab fournit ces traductions comme un service pour ses utilisateurs, et elles ont été publiées "telles quelles". Aucune garantie, explicite ou implicite, n'est faite au sujet de l'exactitude, de fiabilité ou de conformité de ces traductions faites de l'anglais vers une autre langue. Certains contenus (images, vidéos, Flash, etc.) peuvent ne pas être traduits correctement à cause des limites du logiciel de traduction.

Net-Worm.Win32.Lovesan

Date de la détection 01/17/2008
Classe Net-Worm
Plateforme Win32
Description

Lovesan est un ver Internet qui exploite la vulnérabilité DCOM RPC dans Microsoft Windows décrite dans MS Security Bulletin MS03-026 .

Lovesan est écrit en C en utilisant le compilateur LCC. Le ver est un fichier Windows PE EXE d'environ 6 Ko (compressé via UPX – 11 Ko lorsqu'il est décompressé).

Lovesan télécharge et tente d'exécuter un fichier nommé msblast.exe.

Le texte est le suivant:

Je veux juste dire AIMEZ-VOUS SAN !!
Billy Gates Pourquoi est-ce que vous rendez cela possible? Arrête de gagner de l'argent et corrige ton logiciel !!

Les symptômes de l'infection:

  • MSBLAST.Exe dans le dossier Windows system32.
  • Message d'erreur: Échec du service RPC. Cela provoque le redémarrage du système.

Comment le ver se propage

Lovesan s'enregistre dans la clé d'exécution automatique lorsque le système redémarre et se lance à chaque redémarrage de l'ordinateur à l'avenir:

 HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun



Windows auto update = "msblast.exe" 

Le ver analyse alors les adresses IP, essayant de se connecter à 20 adresses IP aléatoires et d'infecter toutes les machines vulnérables. Lovesan dort pendant 1,8 secondes et balaye les 20 adresses IP suivantes.

Lovesan analyse les adresses IP en suivant l'un des modèles ci-dessous:

  1. Dans 3 cas sur 5, Lovesan sélectionne des adresses IP de base aléatoires (ABCD) où D est égal à 0, tandis que A, B et C sont des nombres aléatoires compris entre 0 et 255.
  2. Dans les 2 cas restants sur 5, Lovesan analyse le sous-réseau et obtient l'adresse IP locale de la machine infectée, en extrait les valeurs A et B et définit D sur 0. Ensuite, le ver extrait la valeur C.

    Si C est inférieur ou égal à 20, alors Lovesan ne modifie pas C. Ainsi, si l'adresse IP locale est 207.46.14.1, le ver va balayer les adresses IP à partir de 207.46.14.0

    Si C est supérieur à 20, Lovesan sélectionne une valeur aléatoire entre C et C-19. Ainsi, si l'adresse IP de la machine infectée est 207.46.134.191, le ver va scanner les adresses IP 207.46. {115-134} .0

Le ver envoie une demande de dépassement de tampon aux machines vulnérables via le port TCP 135. La machine nouvellement infectée lance alors le shell de commande sur le port TCP 4444.

Lovesan exécute le thread qui ouvre la connexion sur le port 4444 et attend la requête FTP 'get' de la machine victime. Le ver force alors la machine victime à envoyer la requête 'FTP get'. Ainsi, la machine victime télécharge le ver de la machine infectée et l'exécute. La machine victime est maintenant également infectée.

les autres informations

Une fois qu'un ordinateur est infecté, le système envoie un message d'erreur sur l'échec du service RPC et peut redémarrer la machine.

À compter du 16 août 2003, Lovesan lancera des attaques DDoS sur le serveur Windowsupdate.com.


Lien vers l'original