Net-Worm.Win32.Nimda

Ana sınıf: VirWare

Virüsler ve solucanlar, bilgisayarlarda veya bilgisayar ağları aracılığıyla kullanıcının kendi kendine farkında olmadan kendini kopyalayan kötü amaçlı programlardır; Bu tür kötü amaçlı programların sonraki her kopyası kendi kendini kopyalayabilmektedir. Ağlar yoluyla yayılan ya da uzaktaki makinelere “sahibi” (örn. Backdoors) tarafından komut verildiğinde ya da kendi kendine çoğaltılamayan birden çok kopya oluşturan programlar Virüsten ve Solucanlar alt sınıfının parçası değildir. Bir programın Virüsler ve Solucanlar alt sınıfı içinde ayrı bir davranış olarak sınıflandırılıp sınıflandırılmadığını belirlemek için kullanılan temel özellik, programın nasıl yayıldığıdır (yani, kötü amaçlı programın kendi kopyalarını yerel veya ağ kaynakları aracılığıyla nasıl yaydığı). Bilinen pek çok solucan yayılır. e-posta eki olarak gönderilen dosyalar, bir web veya FTP kaynağına bağlantı yoluyla, bir ICQ veya IRC mesajında ​​gönderilen bir bağlantı yoluyla, P2P dosya paylaşım ağları vb. yoluyla gönderilir. Bazı solucanlar, ağ paketleri olarak yayılır; Bunlar doğrudan bilgisayar belleğine nüfuz eder ve solucan kodu daha sonra aktif hale gelir. Solucanlar, uzaktaki bilgisayarlara girmek ve kendi kopyalarını başlatmak için aşağıdaki teknikleri kullanırlar: sosyal mühendislik (örneğin, kullanıcının ekli bir dosyayı açmasını öneren bir e-posta iletisi), ağ yapılandırma hatalarını (tam olarak erişilebilen bir diske kopyalama gibi) ve istismar etme işletim sistemindeki boşluklar ve uygulama güvenliği. Virüsler, bir bilgisayara bulaşmak için kullanılan yönteme göre bölünebilir: dosya virüsleri önyükleme sektörü virüsleri makro virüsleri komut dosyaları virüsleri Bu alt sınıftaki herhangi bir program ek Truva işlevlerine sahip olabilir. Ayrıca, birçok solucanın kopyaları ağlar üzerinden dağıtmak için birden fazla yöntem kullandığı da not edilmelidir. Algılanan nesneleri çoklu işlevlerle sınıflandırma kuralları, bu tür solucanları sınıflandırmak için kullanılmalıdır.

Sınıf: Net-Worm

Net-Worms bilgisayar ağları yoluyla yayılır. Bu tür solucanın ayırt edici özelliği, yayılmak için kullanıcı eylemi gerektirmemesidir. Bu tür solucan genellikle ağdaki bilgisayarlarda çalışan yazılımlardaki kritik güvenlik açıklarını arar. Ağdaki bilgisayarları enfekte etmek için, solucan özel hazırlanmış bir ağ paketi (istismar olarak adlandırılır) gönderir ve bunun sonucunda solucan kodu (veya solucan kodunun bir kısmı) kurbanın bilgisayarına nüfuz eder ve aktive olur. Bazen ağ paketi, ana solucan modülünü içeren bir dosyayı indirip çalıştıracak olan solucan kodunun yalnızca bir kısmını içerir. Bazı ağ solucanları, yayılmak için eş zamanlı olarak birkaç istismar kullanır, böylece kurbanların bulunduğu hızı arttırır.

Platform: Win32

Win32, 32-bit uygulamaların yürütülmesini destekleyen Windows NT tabanlı işletim sistemlerinde (Windows XP, Windows 7, vb.) Bir API'dir. Dünyanın en yaygın programlama platformlarından biri.

Açıklama

Teknik detaylar

Bu, Internet üzerinden virüslü e-postalara eklenmiş bir virüs solucanıdır ve kendisini yerel bir ağ üzerinden paylaşılan dizinlere kopyalar ve ayrıca savunmasız IIS makinelerine (Web siteleri) saldırır. Solucan kendisi yaklaşık 57Kb uzunluğunda bir Windows PE EXE dosyası ve Microsoft C ++ ile yazılmıştır.

Virüs bulaşmış bir mesajdan çalıştırmak için, solucan bir güvenlik ihlalinden yararlanır. Solucan kendini sisteme yükler ve bir yayılma rutini ve yükünü çalıştırır.

Solucan aşağıdaki "telif hakkı" metin dizesini içerir:

Konsept Virüs (CV) V.5, Telif Hakkı (C) 2001 RPChina

yükleme

Yüklerken, solucan kendini kopyalar:

Windows dizinine MMC.EXE adıyla

Windows sistem dizinine RICHED20.DLL (ve özgün Windows RICHED20.DLL dosyasının üzerine yazar) ve LOAD.EXE adıyla.

Sonuncusu, daha sonra bir SYSTEM.INI dosyasındaki otomatik çalıştırma bölümünde kaydedilir:

[önyükleme] shell = explorer.exe load.exe -dontrunold

Solucan aynı zamanda kendisini rasgele MEP * .TMP ve MA * .TMP.EXE isimleriyle geçici bir dizine kopyalar.

mep01A2.TMP
mep1A0.TMP.exe
mepE002.TMP.exe
mepE003.TMP.exe
mepE004.TMP

EXE dosyaları Gizli ve Sistem özniteliklerinin yanı sıra bir LOAD.EXE dosyasına sahiptir (yukarıya bakın).

Solucan, yayılma ve yük taşıma rutinlerini çalıştırır. Windows sürümüne bağlı olarak, solucan EXLORER.EXE işlemini etkiler ve bir EXPLORER arka planı (iş parçacığı) olarak rutinlerini çalıştırabilir.

E-posta ile yayılıyor

Virüs bulaşmış mesajlar göndermek için, solucan SMTP protokolünü kullanarak bir ana makineye bağlanır ve kopyalarını kurban adreslerine gönderir.

Kurbanın e-posta adreslerini elde etmek için, solucan iki yol kullanır:

1. * .HTM ve * .HTML dosyalarını tarar ve e-posta benzeri dizeleri arar

2. MAPI kullanarak MS Exchange e-posta kutularına bağlanır ve buradan e-posta adresleri alır.

Virüs bulaşan mesajlar HTML biçimindedir ve şunları içerir:

Konu: boş veya rastgele
Gövde: boş
Eklenti: README.EXE

Konular, bir klasörden rastgele seçilen bir dosyanın adından seçilir:

HKCUSoftwareMicrosoftWindowsCurrentVersionExplorerShell FoldersPersonal

genellikle bu "Belgelerim" veya C: sürücüsündeki rastgele seçilen bir dosyadır.

Virüs bulaşmış mesajlardan yayılmak için, solucan bir "IFRAME" hilesi kullanır; açıklanan güvenlik açığı:

Microsoft Güvenlik Bülteni (MS01-020): Yanlış MIME Üstbilgisi, E-posta Ekini Çalıştırmak için IE'ye Neden Olabilir http://www.microsoft.com/technet/security/bulletin/MS01-020.asp

Yama indirin:

http://www.microsoft.com/windows/ie/downloads/critical/q290108/default.asp

Bu güvenlik açığına ne sebep olur?

Bir HTML postası, MIME türü hatalı olarak birkaç alışılmadık türde biri olarak verilmiş bir yürütülebilir ek içeriyorsa, IE'deki bir kusur ekin bir uyarı iletişim penceresi görüntülenmeden yürütülmesine neden olur.

Yama ne yapar?

Düzeltme eki, MIME türlerini ve IE'deki ilişkili eylemlerini düzelterek bu güvenlik açığını ortadan kaldırır. Bu, e-postaların otomatik olarak çalıştırılabilir eklentileri başlatmasını önleme etkisine sahiptir.

Yerel ağ üzerinden yayılıyor

Solucan yerel ve paylaşımlı (eşlenmiş) uzaktan sürücüleri üç farklı şekilde tarar ve oradaki tüm erişilebilir dizinleri enfekte eder.

Enfekte ederken, solucan iki farklı şekilde kullanır:

1. Bu rasgele seçilmiş isimleri ile .EML (zamanın% 95'i) veya .NWS (% 5) dosyaları oluşturur. Sonuç olarak, bu EML ve NWS dosyaları virüslü bir makinede (ve yerel ağda) her yerde bulunur ve bunların binlerce olabilir. Bu dosyalar solucanın kopyasını e-posta formunda içerir.

E-posta formu, solucanın kopyasını bir MIME zarfında ve yukarıda açıklandığı gibi bir IFRAME numarası ile birlikte bir HTML e-postadır. Açıldıktan sonra, bu mesaj hemen savunmasız bir makineye bulaşır.

2. Solucan, dosya adı + uzantı kombinasyonları arar:

* VARSAYILAN *, * DİZİN *, * ANA *, * README * + .HTML, .HTM, .ASP

(* NAME *, dosya adında bir alt dize olabileceği anlamına gelir)

Böyle bir dosyanın bulunması durumunda, solucan kendisini e-posta formunda README.EML adıyla kopyalar ve bir kurbanın HTM / ASP dosyasına HTML / ASP'yi açarken README.EML dosyasını açan bir JavaScript programını ekler. Dosya açılır, sonuç olarak solucan aktive edilir.

Sonuç olarak, solucan Web sayfalarına bulaşır ve bu Web sitelerini ziyaret eden makinelere yayılabilir.

IIS saldırısı olarak yayılıyor

Dosyayı bir kurbanın makinesine yüklemek için, solucan bir "tftp" komutunu kullanır ve virüslü (güncel) bir makinede geçici bir TFTP sunucusunu, kurbanın (uzaktaki) makineden "veri al" komutunu tam olarak aynı şekilde işlemek için etkinleştirir. {"BlueCode": IISWorm_BlueCode} IIS solucanı olarak.

Bir kurbanın makinesine yüklenen dosyanın adı ADMIN.DLL.

Bu yükler

Yük yükü rutininde "Misafir" kullanıcısı Yönetici Kullanıcı Grubuna eklenir (sonuç olarak bir "Misafir" kullanıcısı virüslü bir makineye tam erişime sahiptir).

Solucan ayrıca paylaşım için tüm yerel sürücüleri açar.

"Nimda" solucanının çeşitli çeşitleri vardır.

Hepsi orijinaline çok kapalı ve çoğu orijinal solucanın "yamalı" versiyonudur - solucan gövdesindeki metin dizgileri diğer dizelerle değiştirilir).

Nimda.b

Bu bir PCShrink Win32 PE EXE dosyaları kompresör tarafından sıkıştırılmış, ancak orijinal "Nimda" solucudur. Teller:

README.EXE, README.EML

ile değiştirilir:

PUTA !! SCR, PUTA! EML

Nimda.c

Bu bir UPX kompresör tarafından sıkıştırılmış olmasına rağmen orijinal "Nimda" solucanıdır.

Nimda.d

Solucanın bu çeşidi, 2001 yılının Ekim ayı sonunda internete postalandı. Sıkıştırılmış halde (PECompact kompresör) yayıldı ve bu form 27K büyüklüğündeydi.

Orijinal solucandan tek fark, aşağıdaki metinle birlikte bu sürümde yer alan "telif hakkı" metin dizeleridir:

HoloCaust Virüs.! Stephan Fernandez.Spain tarafından V.5.2

Nimda.e

Bu bir yeniden derlenmiş "Nimda" varyantıdır ve biraz sabit ve / veya optimize edilmiş birkaç küçük rutin vardır. Bu varyant Ekim 2001 sonunda vahşi bulundu.

Orijinal solucan versiyonundan görünen farklar şunlardır:

Ekli dosya adı:
SAMPLE.EXE (README.EXE yerine)

DLL dosyaları şunlardır:
HTTPODBC.DLL ve COOL.DLL (ADMIN.DLL yerine)

"Telif hakkı" metni şu şekilde değiştirilir:
Konsept Virüs (CV) V.6, Telif Hakkı (C) 2001, (Bu CV, No Nimda.)

Daha fazlasını okuyun

Bölgenizde yayılan güvenlik açıklarının istatistiklerini öğrenin statistics.securelist.com