Clase de padre: Malware
Las herramientas maliciosas son programas maliciosos diseñados para crear virus, gusanos o troyanos automáticamente, realizan ataques DoS en servidores remotos, piratean otras computadoras, etc. A diferencia de los virus, gusanos y troyanos, el malware en esta subclase no representa una amenaza directa para la computadora se ejecuta y la carga útil maliciosa del programa solo se entrega por orden directa del usuario.Más información
Clase: Exploit
Los exploits son programas que contienen datos o códigos ejecutables que aprovechan una o más vulnerabilidades en el software que se ejecuta en una computadora local o remota con fines claramente maliciosos. A menudo, los usuarios malintencionados emplean un exploit para penetrar en la computadora de una víctima para luego instalar un código malicioso (por ejemplo, para infectar a todos los visitantes de un sitio web comprometido con un programa malicioso). Además, los exploits son comúnmente utilizados por Net-Worms para hackear una computadora víctima sin que el usuario requiera ninguna acción. Los programas Nuker son notables entre los exploits; dichos programas envían solicitudes especialmente diseñadas a computadoras locales o remotas, lo que hace que el sistema falle.Más información
Plataforma: IIS
No platform descriptionDescripción
Detalles técnicos
Beavuh es un exploit de malware de la llamada vulnerabilidad ".printer" de MS IIS, que Microsoft describe en el "Security Bulletin MS01-23", publicado el 1 de mayo de 2001.
El boletín de seguridad MS01-23 se puede ver en la siguiente ubicación:
www.microsoft.com/technet/security/bulletin/ms01-023.asp
Este programa de explotación ofrece acceso remoto a un shell de comandos de Windows NT simple en la máquina de destino. Se informó recientemente que Beavuh (el 2 de marzo de 2002) fue utilizado en una gran cantidad de intentos de piratería informática.
El programa de explotación tiene los siguientes parámetros:
El código de explotación remota se ejecuta en la máquina de destino si la vulnerabilidad de IIS no se parchó previamente. El código está encriptado por lo que primero procederá a desencriptarse a sí mismo, y luego escaneará la memoria del sistema para la biblioteca de Windows NT ("kernel32.dll"). A partir de allí, adquirirá el 'offset' de la función 'GetProcAddress' y lo usará más para obtener un par de otras direcciones API, tanto desde "kernel32.dll" como desde "wsock32.dll".
A continuación, Beavuh se conecta a la dirección especificada por el atacante, inicia el ejecutable "cmd.exe" y vincula la entrada y la salida del shell de comandos al socket abierto en la máquina de control del atacante.
Recomendaciones
Debido a la prevalencia de este exploit, recomendamos que los administradores del sistema parcheen cualquier servidor IIS vulnerable tan pronto como sea posible. Además, la instalación del filtro KL ISAPI AV proporciona un medio genérico para bloquear exploits de desbordamiento de búfer IIS, incluido este. Para más detalles, verifique:
www.kasperskey.com/support.html?chapter=47
Leer más
Conozca las estadísticas de las vulnerabilidades que se propagan en su región statistics.securelist.com