..
Click anywhere to stop
Click anywhere to stop
CE SERVICE PEUT CONTENIR DES TRADUCTIONS GÉNÉRÉES PAR GOOGLE. GOOGLE DÉCLINE TOUTE GARANTIE, EXPLICITE OU IMPLICITE, Y COMPRIS LES GARANTIES D'EXACTITUDE, DE FIABILITÉ, AINSI QUE TOUTE GARANTIE IMPLICITE DE COMMERCIALISATION ET D'ADAPTATION À DES FINS PARTICULIÈRES ET À L'ABSENCE DE CONTREFAÇONS.
Le site internet de Kaspersky Lab a été traduit pour votre commodité en utilisant un logiciel de traduction générée par Google. Des efforts raisonnables ont été faits pour fournir une traduction exacte. Cependant, aucune traduction automatique n'est parfaite et l'objectif n'est pas de remplacer le travail des traducteurs. Le site internet de Kaspersky Lab fournit ces traductions comme un service pour ses utilisateurs, et elles ont été publiées "telles quelles". Aucune garantie, explicite ou implicite, n'est faite au sujet de l'exactitude, de fiabilité ou de conformité de ces traductions faites de l'anglais vers une autre langue. Certains contenus (images, vidéos, Flash, etc.) peuvent ne pas être traduits correctement à cause des limites du logiciel de traduction.
Date de la détection | 01/17/2008 |
Classe | Net-Worm |
Plateforme | Win32 |
Description |
Lovesan est un ver Internet qui exploite la vulnérabilité DCOM RPC dans Microsoft Windows décrite dans MS Security Bulletin MS03-026 . Lovesan est écrit en C en utilisant le compilateur LCC. Le ver est un fichier Windows PE EXE d'environ 6 Ko (compressé via UPX – 11 Ko lorsqu'il est décompressé). Lovesan télécharge et tente d'exécuter un fichier nommé msblast.exe. Le texte est le suivant:
Les symptômes de l'infection:
Comment le ver se propage Lovesan s'enregistre dans la clé d'exécution automatique lorsque le système redémarre et se lance à chaque redémarrage de l'ordinateur à l'avenir: HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunWindows auto update = "msblast.exe" Le ver analyse alors les adresses IP, essayant de se connecter à 20 adresses IP aléatoires et d'infecter toutes les machines vulnérables. Lovesan dort pendant 1,8 secondes et balaye les 20 adresses IP suivantes. Lovesan analyse les adresses IP en suivant l'un des modèles ci-dessous:
Le ver envoie une demande de dépassement de tampon aux machines vulnérables via le port TCP 135. La machine nouvellement infectée lance alors le shell de commande sur le port TCP 4444. Lovesan exécute le thread qui ouvre la connexion sur le port 4444 et attend la requête FTP 'get' de la machine victime. Le ver force alors la machine victime à envoyer la requête 'FTP get'. Ainsi, la machine victime télécharge le ver de la machine infectée et l'exécute. La machine victime est maintenant également infectée. les autres informations Une fois qu'un ordinateur est infecté, le système envoie un message d'erreur sur l'échec du service RPC et peut redémarrer la machine. À compter du 16 août 2003, Lovesan lancera des attaques DDoS sur le serveur Windowsupdate.com. |
Lien vers l'original |
|
Découvrez les statistiques de la propagation des menaces dans votre région |