Net-Worm.Win32.Witty

Détails techniques

Ce ver sans fichier, également connu sous le nom de BlackIce et Blackworm, infecte les ordinateurs qui utilisent les produits ISS vulnérables suivants:

 RealSecure Network 7.0, XPU 22.11 et avant
 RealSecure Server Sensor 7.0 XPU 22.11 et avant 
 RealSecure Server Sensor 6.5 pour Windows SR 3.10 et avant 
 Proventia A Série XPU 22.11 et avant
 Proventia G Series XPU 22.11 et avant
 Proventia M Series XPU 1.9 et avant
 RealSecure Desktop 7.0 ebl et avant
 RealSecure Desktop 3.6 ecf et avant
 RealSecure Guard 3.6 ecf et avant 
 RealSecure Sentry 3.6 ecf et avant 
 BlackICE Agent for Server 3.6 ecf et avant
 BlackICE PC Protection 3.6 ccf et avant
 BlackICE Server Protection 3.6 ccf et avant 

Il envoie son propre code d'ordinateur en ordinateur et lance le code en exploitant une faille dans la programmation des produits ISS.

Le ver est extrêmement petit et varie de 768 octets à 1148 octets (ce dernier est le plus grand spécimen détecté jusqu'à présent), la taille du ver pouvant être inférieure aux valeurs données.

Le ver n'existe qu'en mémoire et ne se copie pas sur le disque. Il tente d'écraser une partie de la bibliothèque vulnérable iss-pam1.dll dans les produits ISS avec ses propres données.

Lorsqu'il est activé sur l'ordinateur infecté, le ver génère une adresse IP aléatoire et envoie son propre code, ainsi que l'exploit pour la vulnérabilité mentionnée ci-dessus, à cette adresse. Il utilise UPD 4000 comme port source.

Lors de la réception d'un tel paquet de données, tout ordinateur distant sur lequel sont installés des produits ISS vulnérables le traitera comme un paquet ICQ entrant et tentera de le traiter en conséquence.

Le résultat de cette erreur est que le code exécutable du ver pénètre dans la mémoire de l'ordinateur victime et commence à envoyer des copies de lui-même.

Une fois que le paquet de données a été envoyé à partir de l'adresse IP choisie au hasard, le ver répète le processus de choix d'une adresse et envoie des données 20 000 fois. Il tente ensuite d'écrire les 65 premiers Ko de données de iss-pam1.dll à un secteurs de disque choisis au hasard de l'ordinateur infecté.

Une fois l'opération ci-dessus terminée, le cycle entier est répété.

Le texte ci-dessous peut être vu dans le code du ver:

 (^. ^) insérer un message spirituel ici. (^. ^) 
 32Qhws2
 QhsockTS
 QhsendTS
 Qhel32hkernT
 QhounthickChGetTTP 

Implémentation d'attaques

Pour mener des attaques, le ver utilise l'une des erreurs dans la programmation des produits ISS. Une description peut être trouvée sur le site du vendeur

Witty exploite la vulnérabilité d'ICQ Parsing dans ISS Products , identifiée pour la première fois en mars 2004.

Des correctifs pour cette faille peuvent être téléchargés depuis le site de l'ISS

Notamment, les méthodes que Witty utilise pour se propager sont presque identiques à celles qu'un autre ver dépourvu de fil, Slammer , utilisait en janvier 2003.

Le ver ne présente aucune menace pour les utilisateurs qui ne disposent pas des produits ISS vulnérables installés sur leurs systèmes.

Le ver ne crée pas de copies de lui-même sur le disque et réside uniquement dans la RAM. Une fois que le système infecté a été redémarré, le ver cesse de fonctionner.

L'analyse de Kasperskys sur les attaques Internet montre qu'au 22 mars 2004, 48 heures après la parution du ver, Witty se classait 13ème parmi tous les vers Internet actuellement actifs (sans les vers de messagerie), avec une modeste estimation de 0,32%.