Net-Worm.Win32.Lovesan

Lovesanは、 MS Security Bulletin MS03-026で説明されているMicrosoft WindowsのDCOM RPC脆弱性を悪用するインターネットワームです。

Lovesanは、LCCコンパイラを使用してC言語で書かれています。このワームは、約6KBのWindows PE EXEファイル（圧縮解除時にUPX-11KBで圧縮されます）です。

Lovesanはmsblast.exeという名前のファイルをダウンロードして実行しようとします。

テキストは次のとおりです。

私はちょうどあなたがSANを愛して言ってみたい！
ビリーのゲートなぜこれを可能にするのですか？お金を稼ぐのを止め、あなたのソフトウェアを修正してください

感染症の症状：

• MSBLAST.ExeはWindowsのsystem32フォルダにあります。
• エラーメッセージ：RPCサービスが失敗しました。これにより、システムがリブートします。

ワームの広がり方

Lovesanは、システムが再起動し、将来コンピュータが再起動するたびに自動的に起動するときに、自身を自動実行キーに登録します。

 HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun



windows auto update = "msblast.exe" 

その後、ワームはIPアドレスをスキャンし、20のランダムなIPアドレスに接続し、脆弱なマシンに感染させようとします。 Lovesanは1.8秒間スリープし、次の20のIPアドレスをスキャンします。

Lovesanは以下のいずれかのパターンに従ってIPアドレスをスキャンします。

1. 5つのケースのうち3つで、LovesanはDが0に等しいランダムベースIPアドレス（ABCD）を選択し、A、BおよびCは0と255の間の乱数です。
2. 残りの5件のうち2件では、Lovesanはサブネットをスキャンし、感染マシンのローカルIPアドレスを取得し、そこから値AとBを抽出し、Dに0を設定します。

   Cが20以下の場合、LovesanはCを変更しません。したがって、ローカルIPアドレスが207.46.14.1の場合、ワームは207.46.14.0から始まるIPアドレスをスキャンします

   Cが20より大きい場合、LovesanはCとC-19の間のランダムな値を選択します。したがって、感染マシンのIPアドレスが207.46.134.191であれば、ワームはIPアドレス207.46。{115-134} .0をスキャンします

ワームは、TCPポート135経由で脆弱なマシンにバッファオーバーラン要求を送信します。新しく感染したマシンはTCPポート4444でコマンドシェルを開始します。

Lovesanは、ポート4444で接続を開くスレッドを実行し、犠牲PCからFTPの「取得」要求を待ちます。ワームは、被害者マシンに「FTP get」要求を送信させます。こうして、犠牲PCは感染マシンからワームをダウンロードして実行します。被害者マシンは現在も感染しています。

その他の情報

コンピュータが感染すると、システムはRPCサービスの失敗に関するエラーメッセージを送信し、マシンを再起動することがあります。

2003年8月16日現在、LovesanはWindowsupdate.comサーバーでDDoS攻撃を開始します。