Classe pour les parents: VirWare
Les virus et les vers sont des programmes malveillants qui s'auto-répliquent sur des ordinateurs ou via des réseaux informatiques sans que l'utilisateur en soit conscient; chaque copie ultérieure de tels programmes malveillants est également capable de s'autoreproduire. Les programmes malveillants qui se propagent via des réseaux ou infectent des machines distantes lorsque le "propriétaire" (par exemple Backdoors) ou les programmes qui créent plusieurs copies qui ne peuvent pas s'auto-répliquer ne font pas partie de la sous-classe Virus and Worms. La caractéristique principale utilisée pour déterminer si un programme est classé comme un comportement distinct dans la sous-classe Virus and Worms est la manière dont le programme se propage (c'est-à-dire comment le programme malveillant répand des copies de lui-même via des ressources locales ou réseau). en tant que fichiers envoyés en pièces jointes, via un lien vers une ressource Web ou FTP, via un lien envoyé dans un message ICQ ou IRC, via des réseaux de partage de fichiers P2P, etc. Certains vers se propagent sous la forme de paquets réseau; ceux-ci pénètrent directement dans la mémoire de l'ordinateur et le code du ver est alors activé. Worms utilise les techniques suivantes pour pénétrer des ordinateurs distants et lancer des copies d'eux-mêmes: ingénierie sociale (par exemple, un message électronique suggérant que l'utilisateur ouvre un fichier joint), exploitation des erreurs de configuration réseau (par exemple copie sur disque entièrement accessible) failles dans la sécurité du système d'exploitation et des applications. Les virus peuvent être divisés en fonction de la méthode utilisée pour infecter un ordinateur: virus de fichiers virus du secteur de démarrage virus de script virus de virus Tous les programmes de cette sous-classe peuvent avoir des fonctions de Troie supplémentaires. Il convient également de noter que de nombreux vers utilisent plus d'une méthode pour diffuser des copies via des réseaux. Les règles de classification des objets détectés avec des fonctions multiples doivent être utilisées pour classer ces types de vers.Classe: Net-Worm
Net-Worms se propagent via des réseaux informatiques. La caractéristique distinctive de ce type de ver est qu'il ne nécessite pas d'action de l'utilisateur pour se propager. Ce type de ver recherche généralement les vulnérabilités critiques des logiciels s'exécutant sur les ordinateurs en réseau. Afin d'infecter les ordinateurs sur le réseau, le ver envoie un paquet réseau spécialement conçu (appelé exploit) et par conséquent le code du ver (ou une partie du code du ver) pénètre dans l'ordinateur de la victime et l'active. Parfois, le paquet réseau contient uniquement la partie du code de ver qui va télécharger et exécuter un fichier contenant le module de ver principal. Certains vers de réseau utilisent simultanément plusieurs exploits pour se propager, augmentant ainsi la vitesse à laquelle ils trouvent des victimes.Plus d'informations
Plateforme: Win32
Win32 est une API sur les systèmes d'exploitation Windows NT (Windows XP, Windows 7, etc.) qui prend en charge l'exécution des applications 32 bits. L'une des plateformes de programmation les plus répandues au monde.Description
Détails techniques
Ce ver sans fichier, également connu sous le nom de BlackIce et Blackworm, infecte les ordinateurs qui utilisent les produits ISS vulnérables suivants:
RealSecure Network 7.0, XPU 22.11 et avant RealSecure Server Sensor 7.0 XPU 22.11 et avant RealSecure Server Sensor 6.5 pour Windows SR 3.10 et avant Proventia A Série XPU 22.11 et avant Proventia G Series XPU 22.11 et avant Proventia M Series XPU 1.9 et avant RealSecure Desktop 7.0 ebl et avant RealSecure Desktop 3.6 ecf et avant RealSecure Guard 3.6 ecf et avant RealSecure Sentry 3.6 ecf et avant BlackICE Agent for Server 3.6 ecf et avant BlackICE PC Protection 3.6 ccf et avant BlackICE Server Protection 3.6 ccf et avant
Il envoie son propre code d'ordinateur en ordinateur et lance le code en exploitant une faille dans la programmation des produits ISS.
Le ver est extrêmement petit et varie de 768 octets à 1148 octets (ce dernier est le plus grand spécimen détecté jusqu'à présent), la taille du ver pouvant être inférieure aux valeurs données.
Le ver n'existe qu'en mémoire et ne se copie pas sur le disque. Il tente d'écraser une partie de la bibliothèque vulnérable iss-pam1.dll dans les produits ISS avec ses propres données.
Lorsqu'il est activé sur l'ordinateur infecté, le ver génère une adresse IP aléatoire et envoie son propre code, ainsi que l'exploit pour la vulnérabilité mentionnée ci-dessus, à cette adresse. Il utilise UPD 4000 comme port source.
Lors de la réception d'un tel paquet de données, tout ordinateur distant sur lequel sont installés des produits ISS vulnérables le traitera comme un paquet ICQ entrant et tentera de le traiter en conséquence.
Le résultat de cette erreur est que le code exécutable du ver pénètre dans la mémoire de l'ordinateur victime et commence à envoyer des copies de lui-même.
Une fois que le paquet de données a été envoyé à partir de l'adresse IP choisie au hasard, le ver répète le processus de choix d'une adresse et envoie des données 20 000 fois. Il tente ensuite d'écrire les 65 premiers Ko de données de iss-pam1.dll à un secteurs de disque choisis au hasard de l'ordinateur infecté.
Une fois l'opération ci-dessus terminée, le cycle entier est répété.
Le texte ci-dessous peut être vu dans le code du ver:
(^. ^) insérer un message spirituel ici. (^. ^) 32Qhws2 QhsockTS QhsendTS Qhel32hkernT QhounthickChGetTTP
Implémentation d'attaques
Pour mener des attaques, le ver utilise l'une des erreurs dans la programmation des produits ISS. Une description peut être trouvée sur le site du vendeur
Witty exploite la vulnérabilité d'ICQ Parsing dans ISS Products , identifiée pour la première fois en mars 2004.
Des correctifs pour cette faille peuvent être téléchargés depuis le site de l'ISS
Notamment, les méthodes que Witty utilise pour se propager sont presque identiques à celles qu'un autre ver dépourvu de fil, Slammer , utilisait en janvier 2003.
Le ver ne présente aucune menace pour les utilisateurs qui ne disposent pas des produits ISS vulnérables installés sur leurs systèmes.
Le ver ne crée pas de copies de lui-même sur le disque et réside uniquement dans la RAM. Une fois que le système infecté a été redémarré, le ver cesse de fonctionner.
L'analyse de Kasperskys sur les attaques Internet montre qu'au 22 mars 2004, 48 heures après la parution du ver, Witty se classait 13ème parmi tous les vers Internet actuellement actifs (sans les vers de messagerie), avec une modeste estimation de 0,32%.
En savoir plus
Découvrez les statistiques de la propagation des vulnérabilités dans votre région statistics.securelist.com