親クラス: VirWare
ウイルスおよびワームは、コンピュータ上またはコンピュータネットワーク上で自己複製する悪意のあるプログラムであり、ユーザーは認識しません。そのような悪意のあるプログラムの後続のコピーも自己複製することができます。 「所有者」（例：Backdoors）または自己複製が不可能な複数のコピーを作成するプログラムによって、ネットワーク経由で感染したり、リモートマシンに感染したりする悪質なプログラムは、ウイルスおよびワームのサブクラスには含まれません。プログラムがViruses and Wormsサブクラス内の別個の動作として分類されるかどうかを判断するために使用される主要な特性は、プログラムがどのように伝搬するか（すなわち、悪意のあるプログラムがローカルまたはネットワークリソースを介してどのように自身のコピーを広げるか）電子メール添付ファイルとして送信されたファイルとして、WebまたはFTPリソースへのリンク経由で、ICQまたはIRCメッセージで送信されたリンク経由で、P2Pファイル共有ネットワークなどを介して送信されます。これらは直接コンピュータのメモリに侵入し、ワームコードが有効になります。ワームは、リモートコンピュータに侵入して自身のコピーを開始するために、ソーシャルエンジニアリング（例えば、ユーザーが添付ファイルを開くことを示唆する電子メールメッセージ）、ネットワーク構成エラー（完全にアクセス可能なディスクへのコピーなど）を利用し、オペレーティングシステムとアプリケーションのセキュリティの抜け穴ウイルスは、コンピュータを感染させる方法に従って分割することができます。ファイルウイルス - ブートセクタウイルス - マクロウイルススクリプトウイルス - このサブクラス内のプログラムは、追加のトロイの木馬機能を持つことができます。また、ネットワークを介してコピーを広めるために、多くのワームが複数の方法を使用していることにも注意してください。これらのタイプのワームを分類するには、検出されたオブジェクトを複数の機能で分類するためのルールを使用する必要があります。クラス: Net-Worm
ネットワームはコンピュータネットワークを介して伝播します。この種のワームの特徴は、普及するためにユーザーの操作を必要としないことです。この種のワームは、通常、ネットワーク上のコンピュータ上で動作するソフトウェアの重大な脆弱性を検索します。ネットワーク上のコンピュータを感染させるために、ワームは特別に細工されたネットワークパケット（悪用と呼ばれます）を送信し、その結果ワームコード（またはワームコードの一部）が被害者のコンピュータに侵入して起動します。ネットワークパケットには、メインワームモジュールを含むファイルをダウンロードして実行するワームコードの部分しか含まれていないことがあります。一部のネットワークワームは、複数の攻撃を同時に使用して感染するため、犠牲者を見つける速度が向上します。プラットフォーム: Linux
Linuxは、LinuxカーネルとGNUツールをベースにしたUNIXベースのオペレーティングシステムファミリです。説明
技術的な詳細
これはLinuxシステムに感染するワームです。このワームは1998年の春に発見されました。リモートシステムにアップロードして短いコードを実行してダウンロードして有効にするLinuxセキュリティ違反（いわゆる "バッファーオーバーラン"違反）を使用することで、主要なワームコンポーネント。
ワームはプログラムパッケージBIND（Berkeley Internet Name Domain）のセキュリティ違反を利用しています.BIND（Berkeley Internet Name Domain）は、多くの一般的なUNIXパッケージに含まれており、インターネットにネームサービスを提供します。
ワーム自体
これは8つのファイルで構成されるマルチコンポーネントワームです。これらのファイルは、スクリプトプログラムと実行可能ファイルです。スクリプトプログラムは、Linuxコマンドシェルによって実行される ".sh"ファイルです。実行可能ファイルは標準のLinux ELF実行ファイルです。
ワームの主なコンポーネントは、ホストとして実行されるスクリプト ".sh"ファイルで、残りのファイル（追加の ".sh"ファイルとELF実行ファイル）を実行して必要な処理を実行します。
コンポーネントのリストは次のようになります。
ADMw0rm Hnamed gimmeIP remotecmd gimmeRAND scanco インクリメンタルテスト
広がる
拡散（リモートLinuxマシンへの感染）は、 "バッファーオーバーラン"攻撃によって行われます。その攻撃は、攻撃対象のマシンに送信される特別なパケットとして実行されます。パケットには、特別に準備されたデータブロックがあります。そのパケットのデータブロックは、そのマシン上のコードとして実行されます。このコードは、感染マシンへの接続を開き、残りのワームコードを取得して起動します。その瞬間にマシンは感染し、さらにワームを広げ始めます。
このワームは、8つのワームコンポーネントが内部にある "ADMw0rm.tgz"という名前の "tgz"アーカイブ（標準UNIXアーカイブ）としてマシンからマシンに転送されます。ワームは、新しいマシンを感染させてそこにパッケージを展開し、メインの "ADMw0rm"ファイルを実行して、他のワームのコンポーネントを起動します。
詳細
ワームは、リモートマシンのIPアドレスを取得するために、利用可能なグローバルネットワーク上で、コンピュータとDNSサーバーがインストールされたIPアドレスをスキャンします。
ワームはリモートシステムを攻撃するために、Linuxデーモンのセキュリティ脆弱性を利用しています。
ワームの "バッファオーバーラン"コードには、リモートマシン上でそのコピーをアップロードして有効にするために、 "root"特権に切り替え、コマンドシェルを実行して次のコマンドを実行する命令が含まれています。
- デーモン "/ usr / sbin / named"を実行します。
- ワーム "tgz"ファイルをダウンロードするディレクトリを作成し、ディレクトリ名は "/tmp/.w0rm0r"
- ホストマシン（ワームが拡散しているマシン）からワーム "tgz"ファイルをダウンロードする "ftp"（standart Linuxプログラム）を実行します。
- すべてのワームコンポーネントを "tgz"アーカイブから解凍する
- ワームの起動コンポーネントを実行する： "ADMw0rm"ファイル
その他
ワームには複数のペイロードとその他の感染していないルーチンがあります。
まず、ルートディレクトリからすべての "index.html"ファイル（Webサーバーがページを開始）をローカルマシンから検索し、テキストを含む独自の "index.html"ファイルに置き換えます。
ADM Inet w0rmはここにあります！
ワームは "/etc/hosts.deny"ファイルを削除します。このファイルには、このシステムにアクセスすることが拒否されたホスト（アドレスやInet名）のリストが含まれています（いわゆるTCPラッパーが使用されている場合）。結果として、制限されたマシンのいずれかが影響を受けるシステムにアクセスできます。
新しいシステムが感染すると、ワームは電子メールアドレス「admsmb@hotmail.com」に「通知」メッセージを送信します。
も参照してください
お住まいの地域に広がる脆弱性の統計をご覧ください statistics.securelist.com