ESTE SERVICIO PUEDE CONTENER TRADUCCIONES DE GOOGLE. GOOGLE NIEGA CUALQUIER RESPONSABILIDAD RELACIONADA CON LAS TRADUCCIONES, EXPRESA O IMPLÍCITA, INCLUYENDO CUALQUIER RESPONSABILIDAD ACERCA DE LA PRECISIÓN, LA CONFIABILIDAD Y CUALQUIER RESPONSABILIDAD IMPLÍCITA DE COMERCIABILIDAD, IDONEIDAD PARA UN PROPÓSITO EN PARTICULAR Y DE NO INFRACCIÓN.

Por su comodidad, se ha traducido el sitio web de Kaspersky Lab utilizando un software de traducción de Google Translate. Se hicieron unos esfuerzos razonables para proporcionar una traducción precisa; no obstante, las traducciones automáticas no son perfectas y no hay ninguna intención de sustituir el trabajo de los traductores. Se proporcionan estas traducciones como un servicio para los usuarios del sitio web de Kaspersky Lab y se han publicado tal "como es". No hay ninguna garantía, expresa o implícita, acerca de la precisión, la confiabilidad o exactitud de cualquier traducción desde el inglés a cualquier otro idioma. La traducción de algunos contenidos (imágenes, videos, Flash, etc) podrían no ser totalmente fiel debido a las limitaciones del software de traducción.

Net-Worm.Win32.Slammer

Clase Net-Worm
Plataforma Win32
Descripción

Detalles técnicos

Helkern (también conocido como Helkern, también conocido como Sapphire) es un gusano de Internet extremadamente pequeño (solo 376 bytes) que afecta a Microsoft SQL Server 2000. Para entrar en máquinas de víctimas, el gusano explota una vulnerabilidad de desbordamiento de búfer (ver a continuación).

Cuando el código del gusano entra en un servidor SQL vulnerable, gana control (mediante el uso de un truco de desbordamiento del búfer), luego asume tres funciones de la API de Win32:

GetTickCount (KERNEL32.DLL)
socket, sendto (WS2_32.DLL)

Luego, el gusano obtiene un contador aleatorio al usar la función GetTickCount y entra en un ciclo de expansión o "desove" sin fin. En el ciclo de propagación, el gusano se envía a direcciones IP aleatorias (según el contador aleatorio) al puerto MS SQL 1434.

El gusano envía paquetes de multidifusión, lo que significa que con un solo comando de "envío" llega a las 255 máquinas en una subred. Como resultado, este gusano se está extendiendo 255 veces más rápido que cualquier otro gusano conocido en este momento.

Debido a que los servidores MS SQL se usan a menudo en la Web, este gusano puede causar un ataque DoS INet global, ya que todos los servidores infectados intentarán conectarse a otras máquinas seleccionadas aleatoriamente en un bucle infinito, lo que provocará un desbordamiento global del tráfico INet.

El gusano solo tiene memoria, y se propaga desde la memoria de una máquina infectada a la memoria de la máquina víctima. El gusano no suelta ningún archivo adicional y no se manifiesta de ninguna manera.

Hay cadenas de texto visibles en el código del gusano (una mezcla de código de gusano y datos):

h.dllhel32hkernQhounthickChGet
Qh32.dhws2_f
etQhsockf
toQhsend

Desbordamiento de búfer

Este exploit overrun exploit tiene el siguiente nombre:
Compromiso remoto no autenticado en MS SQL Server 2000

Los sistemas afectados son:
Microsoft SQL Server 2000, todos los Service Packs

Esta violación de seguridad se encontró en julio de 2002 y luego se corrigió en los parches "MS SQL Server 2000".

Puede leer más sobre esto en las siguientes direcciones:
Boletín de seguridad de Microsoft MS02-039
NGSSoftware Insight Security Research Advisory

El parche para MS SQL Server 2000 está disponible en: http://www.microsoft.com/Downloads/Release.asp?ReleaseID=40602


Enlace al original