Sebezhetőségek garmadáján keresztül terjedő féreg

A féreg paraméterei

Felfedezésének ideje: 2005. február 5.
Utolsó frissítés ideje: 2005. február 6.
Veszélyeztetett rendszerek: Windows 9x/Me/NT/2k/XP/2k3
Nem érintett rendszerek: Windows 3.x, Microsoft IIS, Macintosh, UNIX, Linux, OS/2
Mérete: 299.520 byte
Fertőzések száma: 0-49
Földrajzi elterjedtsége: alacsony
Terjedés megakadályozása: könnyű
Eltávolítása: könnyű

Aktiválódása esetén lezajló események

– létrehozza önmaga másolatát a System mappában, MlCROSOFT.EXE néven
– létrehozza a következő Registry bejegyzéseket annak érdekében, hogy minden rendszerinduláskor betöltődjön a memóriába:
. HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/˝MlCROSOFT FEnR˝=˝MlCROSOFT.EXE˝
. HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/RunServices/˝MlCROSOFT FEnR˝=˝MlCROSOFT.EXE˝
– a féreg hátsó kaput nyitó komponense egy távoli IRC-szerverhez kísérel meg csatlakozni a 6667-es TCP porton át, majd alkotójától érkező parancsokra várakozik, mint például:
. állományok letöltése és futtatása
. hálózat felmérése
. process-ek indítása, leállítása, kilistázása
. port átirányítás kezdeményezése
. FTP szerver indítása stb.
– megnyit két, véletlenszerűen választott TCP portot; az egyiken terjeszteni igyekszik magát, a másikon pedig FTP szervert futtat
– a hosts mappába számos website címét rögzíti a local loopback IP-címével, így téve elérhetetlenné webböngészőből azokat az oldalakat
– megkísérel más számítógépeket megfertőzni azáltal, hogy végignézi a célpont rendszert, vajon megtalálható-e rajta a következő sebezhetőség valamelyike:
. Microsoft Windows DCOM RPC Interface Buffer Overrun Vulnerability
. Microsoft Windows Local Security Authority Service Remote Buffer Overflow
. WebDav Vulnerability
. UPnP NOTIFY Buffer Overflow Vulnerability
. Workstation Service Buffer Overrun Vulnerability
– két előre elkészített listából próbálgat végig számos felhasználónév-jelszó kombinációt annak érdekében, hogy MSSQL szerverekre be tudjon jutni
– megkísérel a Beagle és a Mydoom férgek különböző variánsai által kinyitott számítógépekre bejutni
– leállítja a behatolásvédelmi szoftverek futó process-eit
– HTTP get kérelmek elküldésével felméri a kiszolgáltatott rendszer Internet-hozzáférésnek adatátviteli sebességét
– számítógépes játékok CD-kulcsait igyekszik megszerezni