Az online betörő minket figyel

A féreg paraméterei

Felfedezésének ideje: 2005. január 7.
Utolsó frissítés ideje: 2005. január 8.
Veszélyeztetett rendszerek: Windows 9x/Me/NT/2k/XP/2k3
Nem érintett rendszerek: Windows 3.x, Microsoft IIS, Macintosh, UNIX, Linux, OS/2
Mérete: 83.968 byte
Fertőzések száma: 0-49
Földrajzi elterjedtsége: alacsony
Terjedés megakadályozása: könnyű
Eltávolítása: könnyű

Aktiválódása esetén lezajló események

– felmásolja a System könyvtárba magát wuaucrlt.exe néven
– hozzáadja a *windows update=wuaucrlt.exe bejegyzést az alábbi Registry kulcsokhoz:
. HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run
. HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/RunServices
. HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/policies/Run
. HKEY_CURRENT_USER/SOFTWARE/Microsoft/Windows/CurrentVersion/RunServices
. HKEY_LOCAL_MACHINE/System/CurrentControlSet/Services
. HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion/policies/Run
– létrehozza a következő service-t:
név: *windows update
elérési útvonal: [System könyvtár elérési útvonala]/wuaucrlt.exe
– hátsó ajtót nyit a rendszeren a 3515-ös TCP porton keresztül az alábbi két hosthoz (és ott IRC-csatornákhoz) való kapcsolódással: x.x1secure.com, ssl.tichrondius.com
– a féreg ezt követően alkotójától érkező parancsokra (file-ok letöltése és futtatása, process-ek indítása, leállítása, listázása, különböző támadások [ACK, SYN, UDP, ICMP DOS] indítása stb.) várakozik; ezek között akár képes a rendszerhez csatlakoztatott videokamera képét is folyamatosan monitorozni, azaz videofolyamot küldeni a felhasználó környezetéről
– felméri, hogy a megtámadott számítógép operációs rendszere ki van-e téve a következő sebezhetőségeknek; ha igen, azokat meg is próbálja kihasználni:
• DCOM RPC vulnerability
• Microsoft Windows Local Security Authority Service Remote Buffer Overflow
• Microsoft Windows SSL Library Denial of Service Vulnerability
– véletlenszerűen generált IP-címek révén próbál meg terjedni; ezen címekhez tartozó PC-k hálózati megosztásaiba másolja fel magát, ha megteheti; ehhez egy előre elkészített, igen hosszú lista elemeit próbálgatja végig, jelszó gyanánt