Добавлено: Чт авг 14, 2003 2:19 pm
Не много не в тот подфорум, но важно, чтобы это узнало как можно больше людей
Worm.Win32.Lovesan
Червь написан на языке C, с использованием компилятора LCC. Имеет размер 6КB, упакован UPX. Размножается в виде файла с именем "msblast.exe".
Содержит текстовые строки:
I just want to say LOVE YOU SAN!!
billy gates why do you make this possible ? Stop making money and fix your software!!
Признаками заражения компьютера являются:
Наличие файла "msblast.exe" в системном (system32) каталоге Windows.
Сообщение об ошибке (RPC service failing) приводящее к перезагрузке системы.
Размножение
При запуске червь регистрирует себя в ключе автозапуска:
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
windows auto update="msblast.exe"
Червь сканирует IP-адреса, начинающиеся с "base address" и пытается соединиться с 20 IP-адресами для инфицирования уязвимых компьютеров.
После этого червь "спит" в течение 1,8 секунды, а затем снова сканирует 20 IP-адресов и повторяет этот процесс в бесконечном цикле. Например, если "base address" является 20.40.50.0, червь будет сканировать следующие адреса:
20.40.50.0
20.40.50.1
20.40.50.2
...
20.40.50.19
----------- пауза 1.8 секунды
20.40.50.20
...
20.40.50.39
----------- пауза 1.8 секунды
...
...
20.40.51.0
20.40.51.1
...
20.41.0.0
20.41.0.1
и так далее.
Червь выбирает один из двух методов сканирования IP-адресов:
В 3 случаях из 5 червь выбирает случайный "base address" (A.B.C.D), где D равен 0, а A, B, C случайно выбраны из диапазона 1-255. Таким образом "base address" находится в диапазоне [1-255].[1-255].[1-255].0.
В 2 случаях из 5 червь сканирует подсеть.
Он определяет адрес локального компьютера (A.B.C.D), устанавливает D в ноль и выбирает значение C. Если C - больше чем 20, то червь выбирает случайное число от 1 до 20. Если C меньше или равно 20, червь не изменяет его.
Например, если инфицированная машина имеет IP-адрес "207.46.134.191", то червь будет сканировать адреса с 207.46.[115-134].0. Если IP-адрес - "207.46.14.1", то червь будет сканировать адреса, начиная с 207.46.14.0.
Используя уязвимость в Microsoft Windows 2000/XP, отправляет на 135 порт выбранного IP-адреса команды эксплойта DCOM RPC и запускает на удаленной машине командную оболочку "cmd.exe" на TCP порту 4444.
После этого червь, при помощи команды tftp get, через 69 порт загружает себя на удаленную машину в системный каталог Windows и запускает на исполнение.
С http://www.viruslist.com/
Червь сканирует сеть и заражает все найденые незащищенные компы, т. е. даже если вы просто находитесь в сети, не заходя ни на какие сайты, не получая почту вас могут заразить.
16 числа обещают DoS атаку на микрософт.(если по Русски, то все копии червя 16 зафлудят сервер микрософта, и он (возможно)упадет ).
Короче, после каждого входа в инет ищите у себя на винте файл msblast.exe, если найдете удаляйте, если не сможите - грузитесь под Досом и удаляйте msblast.exe от туда.
А еще поставьте фаирволл
Можете отключить прот 69: TFTP - этот протокол является упрощенным аналогом FTP протокола.
И вообще, сделайте себе загрузочную дискету, поставьте себе Нортон(Волков) командер и помните, что если вылезет сообщение об ошибке RPC service failing и комп перезагрузится - вы заражены.
Worm.Win32.Lovesan
Червь написан на языке C, с использованием компилятора LCC. Имеет размер 6КB, упакован UPX. Размножается в виде файла с именем "msblast.exe".
Содержит текстовые строки:
I just want to say LOVE YOU SAN!!
billy gates why do you make this possible ? Stop making money and fix your software!!
Признаками заражения компьютера являются:
Наличие файла "msblast.exe" в системном (system32) каталоге Windows.
Сообщение об ошибке (RPC service failing) приводящее к перезагрузке системы.
Размножение
При запуске червь регистрирует себя в ключе автозапуска:
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
windows auto update="msblast.exe"
Червь сканирует IP-адреса, начинающиеся с "base address" и пытается соединиться с 20 IP-адресами для инфицирования уязвимых компьютеров.
После этого червь "спит" в течение 1,8 секунды, а затем снова сканирует 20 IP-адресов и повторяет этот процесс в бесконечном цикле. Например, если "base address" является 20.40.50.0, червь будет сканировать следующие адреса:
20.40.50.0
20.40.50.1
20.40.50.2
...
20.40.50.19
----------- пауза 1.8 секунды
20.40.50.20
...
20.40.50.39
----------- пауза 1.8 секунды
...
...
20.40.51.0
20.40.51.1
...
20.41.0.0
20.41.0.1
и так далее.
Червь выбирает один из двух методов сканирования IP-адресов:
В 3 случаях из 5 червь выбирает случайный "base address" (A.B.C.D), где D равен 0, а A, B, C случайно выбраны из диапазона 1-255. Таким образом "base address" находится в диапазоне [1-255].[1-255].[1-255].0.
В 2 случаях из 5 червь сканирует подсеть.
Он определяет адрес локального компьютера (A.B.C.D), устанавливает D в ноль и выбирает значение C. Если C - больше чем 20, то червь выбирает случайное число от 1 до 20. Если C меньше или равно 20, червь не изменяет его.
Например, если инфицированная машина имеет IP-адрес "207.46.134.191", то червь будет сканировать адреса с 207.46.[115-134].0. Если IP-адрес - "207.46.14.1", то червь будет сканировать адреса, начиная с 207.46.14.0.
Используя уязвимость в Microsoft Windows 2000/XP, отправляет на 135 порт выбранного IP-адреса команды эксплойта DCOM RPC и запускает на удаленной машине командную оболочку "cmd.exe" на TCP порту 4444.
После этого червь, при помощи команды tftp get, через 69 порт загружает себя на удаленную машину в системный каталог Windows и запускает на исполнение.
С http://www.viruslist.com/
Червь сканирует сеть и заражает все найденые незащищенные компы, т. е. даже если вы просто находитесь в сети, не заходя ни на какие сайты, не получая почту вас могут заразить.
16 числа обещают DoS атаку на микрософт.(если по Русски, то все копии червя 16 зафлудят сервер микрософта, и он (возможно)упадет ).
Короче, после каждого входа в инет ищите у себя на винте файл msblast.exe, если найдете удаляйте, если не сможите - грузитесь под Досом и удаляйте msblast.exe от туда.
А еще поставьте фаирволл
Можете отключить прот 69: TFTP - этот протокол является упрощенным аналогом FTP протокола.
И вообще, сделайте себе загрузочную дискету, поставьте себе Нортон(Волков) командер и помните, что если вылезет сообщение об ошибке RPC service failing и комп перезагрузится - вы заражены.