Net-Worm.Win32.BlueCode

Ana sınıf: VirWare

Virüsler ve solucanlar, bilgisayarlarda veya bilgisayar ağları aracılığıyla kullanıcının kendi kendine farkında olmadan kendini kopyalayan kötü amaçlı programlardır; Bu tür kötü amaçlı programların sonraki her kopyası kendi kendini kopyalayabilmektedir. Ağlar yoluyla yayılan ya da uzaktaki makinelere “sahibi” (örn. Backdoors) tarafından komut verildiğinde ya da kendi kendine çoğaltılamayan birden çok kopya oluşturan programlar Virüsten ve Solucanlar alt sınıfının parçası değildir. Bir programın Virüsler ve Solucanlar alt sınıfı içinde ayrı bir davranış olarak sınıflandırılıp sınıflandırılmadığını belirlemek için kullanılan temel özellik, programın nasıl yayıldığıdır (yani, kötü amaçlı programın kendi kopyalarını yerel veya ağ kaynakları aracılığıyla nasıl yaydığı). Bilinen pek çok solucan yayılır. e-posta eki olarak gönderilen dosyalar, bir web veya FTP kaynağına bağlantı yoluyla, bir ICQ veya IRC mesajında ​​gönderilen bir bağlantı yoluyla, P2P dosya paylaşım ağları vb. yoluyla gönderilir. Bazı solucanlar, ağ paketleri olarak yayılır; Bunlar doğrudan bilgisayar belleğine nüfuz eder ve solucan kodu daha sonra aktif hale gelir. Solucanlar, uzaktaki bilgisayarlara girmek ve kendi kopyalarını başlatmak için aşağıdaki teknikleri kullanırlar: sosyal mühendislik (örneğin, kullanıcının ekli bir dosyayı açmasını öneren bir e-posta iletisi), ağ yapılandırma hatalarını (tam olarak erişilebilen bir diske kopyalama gibi) ve istismar etme işletim sistemindeki boşluklar ve uygulama güvenliği. Virüsler, bir bilgisayara bulaşmak için kullanılan yönteme göre bölünebilir: dosya virüsleri önyükleme sektörü virüsleri makro virüsleri komut dosyaları virüsleri Bu alt sınıftaki herhangi bir program ek Truva işlevlerine sahip olabilir. Ayrıca, birçok solucanın kopyaları ağlar üzerinden dağıtmak için birden fazla yöntem kullandığı da not edilmelidir. Algılanan nesneleri çoklu işlevlerle sınıflandırma kuralları, bu tür solucanları sınıflandırmak için kullanılmalıdır.

Sınıf: Net-Worm

Net-Worms bilgisayar ağları yoluyla yayılır. Bu tür solucanın ayırt edici özelliği, yayılmak için kullanıcı eylemi gerektirmemesidir. Bu tür solucan genellikle ağdaki bilgisayarlarda çalışan yazılımlardaki kritik güvenlik açıklarını arar. Ağdaki bilgisayarları enfekte etmek için, solucan özel hazırlanmış bir ağ paketi (istismar olarak adlandırılır) gönderir ve bunun sonucunda solucan kodu (veya solucan kodunun bir kısmı) kurbanın bilgisayarına nüfuz eder ve aktive olur. Bazen ağ paketi, ana solucan modülünü içeren bir dosyayı indirip çalıştıracak olan solucan kodunun yalnızca bir kısmını içerir. Bazı ağ solucanları, yayılmak için eş zamanlı olarak birkaç istismar kullanır, böylece kurbanların bulunduğu hızı arttırır.

Platform: Win32

Win32, 32-bit uygulamaların yürütülmesini destekleyen Windows NT tabanlı işletim sistemlerinde (Windows XP, Windows 7, vb.) Bir API'dir. Dünyanın en yaygın programlama platformlarından biri.

Açıklama

Teknik detaylar

Bu, İnternet Bilgi Sunucularını (ISS) etkileyerek Web sitelerini hedefleyen bir İnternet solucanıdır. Solucan, EXE dosyasını göndererek ve çalıştırarak bir Web sitesinden diğerine yayılma yöntemini uygular.

Solucan dosyalarının adı consistant - SVCHOST.EXE ve HTTPEXT.DLL. EXE dosyası, yaklaşık 29 K uzunluğunda bir Win32 uygulaması (PE EXE dosyası) ve Microsoft C ++ ile yazılmıştır. Ayrıca yaklaşık 14K boyutunda bulunan sıkıştırılmış bir varyant da vardı. DLL dosyası, yaklaşık 47 K boyutundadır ve Microsoft C ++ ile yazılmıştır.

Solucan, standart Win32 EXE dosya isimlerini kullandığını unutmayın. SVCHOST.EXE ve HTTPEXT.DLL SYSTEM32 alt klasöründe standart Win2000 yüklemelerinde bulunabilir.

Solucan yalnızca IIS paketi ve Web sitesi içeriği ile yüklü makineleri bozar. Solucan uygulaması, bu tür bir makinede çalıştırıldığında, uzak Web sitelerini (yüklü IIS paketine sahip uzak makineler) bulur ve bunları etkiler: bunları girer ve bir Web Dizini Traversal istismarını kullanarak, kopyasını oraya gönderir ve bu kopyayı ortaya çıkarır. Sonuç olarak, solucan, virüs bulaşmış bir makineden erişilebilen tüm devredilemez Web sunucularına bulaşır ve diğer virüslü sunucular solucan kopyasını daha fazla yayır ve böyle devam eder.

Solucan, saat 10:00 ile 11:00 arasında dünya çapında bir http://www.nsfocus.com Web sunucusunda bir DoS saldırısı (Hizmet Reddetmesi) gerçekleştiren bir yük rutinine sahiptir.

yükleme

Solucan kopyalarını (EXE ve DLL) C: sürücüsünün C: SVCHOST.EXE ve C: HTTPEXT.DLL kökünde oluşturur. Bu EXE dosyası daha sonra Kayıt Defteri otomatik çalıştırma anahtarına kaydedilir:

HKLMSoftwareMicrosoftWindowsCurrentVersionRun
Etki Alanı Yöneticisi = C: svchost.exe

Solucan daha sonra bir C: D.VBS komut dosyasını oluşturur ve değiştirir, sonra INETINFO.EXE uygulamasını arar ve etkinse sonlandırır. VBS komut dosyası programı ayrıca Dizin Oluşturma Hizmeti, Dizin Oluşturma Sorgulama ve yazıcı eşlemesini arar ve bunları kaldırır.

Sonuç olarak, solucan, makinenin ve / veya bilgisayar korsanlarının Web-güvenlik korumalarından kurtulmak için diğer solucanlar tarafından kullanılabilecek (veya kullanılmış olan) güvenlik ihlallerini devre dışı bırakır.

Yayma

Daha fazla yayılmak için, solucan rastgele seçilmiş IP adreslerini tarayan ve bunları saldırıya uğratan 100 iş parçacığı çalıştırır.

Vakaların% 50'sinde, saldırıya uğrayan makineler aynı ağdadır ve saldırıya uğrayan IP adresleri "aa.bb. ??." Dir, burada "aa.bb" virüs bulaşmış makine IP adresinin bir parçasıdır ve "??" Rastgele

Vakaların diğer% 50'sinde, saldırılan adresler çok rasgele.

Bir kurbanın makinesine saldırmak için, solucan Web Directory Traversal'i üç kez kullanır:

1. uzak bir makinede IIS dizinini belirlemeye çalışır,
2. sonra virüs bulaşmış olandan virüsün (HTTPEXT.DLL dosyası) DLL bileşenini indirmek için uzak makineye bir istek gönderir,
3. Son istek, bu DLL dosyasını C: kök dizinine kopyalamaktır.

Bir kurban makinesine bir DLL dosyası yüklemek için, solucan bir "tftp" komutunu kullanır ve kurban (uzaktaki) makineden bir "veri al" komutunu işlemek için etkilenen (geçerli) bir makinedeki geçici TFTP sunucusunu etkinleştirir.

Bir DLL dosyası kurbanın makinesine yüklendiğinde, bir numara tarafından aktive edilir. Böylece, solucan kopyası uzak bir sunucuda başlar, daha sonra virüs futhrer'ını yayınlayan EXE bileşenini çalıştırır ve çalıştırır.

Daha fazlasını okuyun

Bölgenizde yayılan güvenlik açıklarının istatistiklerini öğrenin statistics.securelist.com