BU SERVİS, GOOGLE TARAFINDAN SAĞLANAN ÇEVİRİLER İÇEREBİLİR. GOOGLE, HERHANGİ BİR GARANTİ, GÜVENİLİRLİK VE TİCARİ ELVERİŞLİLİK, BELİRLİ BİR AMACA UYGUNLUK VE İHLAL ETMEME GARANTİLERİ DAHİL OLMAK ÜZERE AÇIK VEYA ZIMNİ GARANTİLER DE DAHİL OLMAK ÜZERE, AÇIK VEYA ZIMNİ TÜM GARANTİLERİ REDDEDER.

Kaspersky Lab web sitesi, Google Çeviri tarafından desteklenen çeviri yazılımı kullanılarak size kolaylık sağlamak amacıyla tercüme edilmiştir. Doğru bir çeviri sağlamak için makul çabalar sarf edilmiştir, ancak otomatik çeviri mükemmel değildir ve insan çevirmenlerinin yerini alması amaçlanmamıştır. Çeviriler, Kaspersky Lab web sitesinin kullanıcılarına bir hizmet olarak sunulur ve "olduğu gibi" sağlanır. İngilizce'den başka bir dile çevrilmiş herhangi bir çevirinin doğruluğu, güvenilirliği veya doğruluğu konusunda açık ya da zımni hiçbir garanti verilmemektedir. Çeviri yazılımı sınırlamaları nedeniyle bazı içerikler (görüntüler, videolar, Flash vb. Gibi) doğru bir şekilde çevrilemeyebilir.

Net-Worm.Win32.BlueCode

Sınıf Net-Worm
Platform Win32
Açıklama

Teknik detaylar

Bu, İnternet Bilgi Sunucularını (ISS) etkileyerek Web sitelerini hedefleyen bir İnternet solucanıdır. Solucan, EXE dosyasını göndererek ve çalıştırarak bir Web sitesinden diğerine yayılma yöntemini uygular.

Solucan dosyalarının adı consistant – SVCHOST.EXE ve HTTPEXT.DLL. EXE dosyası, yaklaşık 29 K uzunluğunda bir Win32 uygulaması (PE EXE dosyası) ve Microsoft C ++ ile yazılmıştır. Ayrıca yaklaşık 14K boyutunda bulunan sıkıştırılmış bir varyant da vardı. DLL dosyası, yaklaşık 47 K boyutundadır ve Microsoft C ++ ile yazılmıştır.

Solucan, standart Win32 EXE dosya isimlerini kullandığını unutmayın. SVCHOST.EXE ve HTTPEXT.DLL SYSTEM32 alt klasöründe standart Win2000 yüklemelerinde bulunabilir.

Solucan yalnızca IIS paketi ve Web sitesi içeriği ile yüklü makineleri bozar. Solucan uygulaması, bu tür bir makinede çalıştırıldığında, uzak Web sitelerini (yüklü IIS paketine sahip uzak makineler) bulur ve bunları etkiler: bunları girer ve bir Web Dizini Traversal istismarını kullanarak, kopyasını oraya gönderir ve bu kopyayı ortaya çıkarır. Sonuç olarak, solucan, virüs bulaşmış bir makineden erişilebilen tüm devredilemez Web sunucularına bulaşır ve diğer virüslü sunucular solucan kopyasını daha fazla yayır ve böyle devam eder.

Solucan, saat 10:00 ile 11:00 arasında dünya çapında bir http://www.nsfocus.com Web sunucusunda bir DoS saldırısı (Hizmet Reddetmesi) gerçekleştiren bir yük rutinine sahiptir.

yükleme

Solucan kopyalarını (EXE ve DLL) C: sürücüsünün C: SVCHOST.EXE ve C: HTTPEXT.DLL kökünde oluşturur. Bu EXE dosyası daha sonra Kayıt Defteri otomatik çalıştırma anahtarına kaydedilir:

HKLMSoftwareMicrosoftWindowsCurrentVersionRun
Etki Alanı Yöneticisi = C: svchost.exe

Solucan daha sonra bir C: D.VBS komut dosyasını oluşturur ve değiştirir, sonra INETINFO.EXE uygulamasını arar ve etkinse sonlandırır. VBS komut dosyası programı ayrıca Dizin Oluşturma Hizmeti, Dizin Oluşturma Sorgulama ve yazıcı eşlemesini arar ve bunları kaldırır.

Sonuç olarak, solucan, makinenin ve / veya bilgisayar korsanlarının Web-güvenlik korumalarından kurtulmak için diğer solucanlar tarafından kullanılabilecek (veya kullanılmış olan) güvenlik ihlallerini devre dışı bırakır.

Yayma

Daha fazla yayılmak için, solucan rastgele seçilmiş IP adreslerini tarayan ve bunları saldırıya uğratan 100 iş parçacığı çalıştırır.

Vakaların% 50'sinde, saldırıya uğrayan makineler aynı ağdadır ve saldırıya uğrayan IP adresleri "aa.bb. ??." Dir, burada "aa.bb" virüs bulaşmış makine IP adresinin bir parçasıdır ve "??" Rastgele

Vakaların diğer% 50'sinde, saldırılan adresler çok rasgele.

Bir kurbanın makinesine saldırmak için, solucan Web Directory Traversal'i üç kez kullanır:

  1. uzak bir makinede IIS dizinini belirlemeye çalışır,
  2. sonra virüs bulaşmış olandan virüsün (HTTPEXT.DLL dosyası) DLL bileşenini indirmek için uzak makineye bir istek gönderir,
  3. Son istek, bu DLL dosyasını C: kök dizinine kopyalamaktır.

Bir kurban makinesine bir DLL dosyası yüklemek için, solucan bir "tftp" komutunu kullanır ve kurban (uzaktaki) makineden bir "veri al" komutunu işlemek için etkilenen (geçerli) bir makinedeki geçici TFTP sunucusunu etkinleştirir.

Bir DLL dosyası kurbanın makinesine yüklendiğinde, bir numara tarafından aktive edilir. Böylece, solucan kopyası uzak bir sunucuda başlar, daha sonra virüs futhrer'ını yayınlayan EXE bileşenini çalıştırır ve çalıştırır.


Orijinaline link