本サービスには一部、Googleの支援により翻訳されたコンテンツが含まれます。Googleは、明示または黙示を問わず、市場性、特定目的への適合性、ならびに非侵害の黙示的保証を含む、翻訳の精度、信頼性、正確性に関連するあらゆる点において保証しません。

Kaspersky Labの本Webサイトは、便宜上、Google Translateを搭載した翻訳ソフトウェアを利用して翻訳されています。正確な翻訳となるよう合理的な努力を払ってはおりますが、自動翻訳の正確性は完全ではなく、翻訳者(人間)による翻訳に代わるものとして意図されているものでもありません。翻訳はKaspersky Labの本Webサイトをご利用の皆様の利便性を図るためのものであり、「翻訳結果をそのまま」ご提供するものです。英語からその他言語への翻訳における精度、信頼性、正確性に関しては、明示または黙示を問わず、いかなる保証もなされません。翻訳ソフトウェアのため、コンテンツの一部(画像、動画、フラッシュ等)は正しく翻訳されない場合があります。

Net-Worm.Win32.Lovesan

検出日 01/17/2008
クラス Net-Worm
プラットフォーム Win32
説明

Lovesanは、 MS Security Bulletin MS03-026で説明されているMicrosoft WindowsのDCOM RPC脆弱性を悪用するインターネットワームです。

Lovesanは、LCCコンパイラを使用してC言語で書かれています。このワームは、約6KBのWindows PE EXEファイル(圧縮解除時にUPX-11KBで圧縮されます)です。

Lovesanはmsblast.exeという名前のファイルをダウンロードして実行しようとします。

テキストは次のとおりです。

私はちょうどあなたがSANを愛して言ってみたい!
ビリーのゲートなぜこれを可能にするのですか?お金を稼ぐのを止め、あなたのソフトウェアを修正してください

感染症の症状:

  • MSBLAST.ExeはWindowsのsystem32フォルダにあります。
  • エラーメッセージ:RPCサービスが失敗しました。これにより、システムがリブートします。

ワームの広がり方

Lovesanは、システムが再起動し、将来コンピュータが再起動するたびに自動的に起動するときに、自身を自動実行キーに登録します。

 HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun



windows auto update = "msblast.exe" 

その後、ワームはIPアドレスをスキャンし、20のランダムなIPアドレスに接続し、脆弱なマシンに感染させようとします。 Lovesanは1.8秒間スリープし、次の20のIPアドレスをスキャンします。

Lovesanは以下のいずれかのパターンに従ってIPアドレスをスキャンします。

  1. 5つのケースのうち3つで、LovesanはDが0に等しいランダムベースIPアドレス(ABCD)を選択し、A、BおよびCは0と255の間の乱数です。
  2. 残りの5件のうち2件では、Lovesanはサブネットをスキャンし、感染マシンのローカルIPアドレスを取得し、そこから値AとBを抽出し、Dに0を設定します。

    Cが20以下の場合、LovesanはCを変更しません。したがって、ローカルIPアドレスが207.46.14.1の場合、ワームは207.46.14.0から始まるIPアドレスをスキャンします

    Cが20より大きい場合、LovesanはCとC-19の間のランダムな値を選択します。したがって、感染マシンのIPアドレスが207.46.134.191であれば、ワームはIPアドレス207.46。{115-134} .0をスキャンします

ワームは、TCPポート135経由で脆弱なマシンにバッファオーバーラン要求を送信します。新しく感染したマシンはTCPポート4444でコマンドシェルを開始します。

Lovesanは、ポート4444で接続を開くスレッドを実行し、犠牲PCからFTPの「取得」要求を待ちます。ワームは、被害者マシンに「FTP get」要求を送信させます。こうして、犠牲PCは感染マシンからワームをダウンロードして実行します。被害者マシンは現在も感染しています。

その他の情報

コンピュータが感染すると、システムはRPCサービスの失敗に関するエラーメッセージを送信し、マシンを再起動することがあります。

2003年8月16日現在、LovesanはWindowsupdate.comサーバーでDDoS攻撃を開始します。


オリジナルへのリンク