Атака червя LOVESAN в ГТ

[Baphometh]

Это лог Kaspersky Anti Hacker

28.06.2008 12:59:31 Ваш компьютер был атакован с адреса vpn2-227.52.Voronezh.golden.ru. Используемая атака - Lovesan. Атака была успешно отражена.
28.06.2008 13:17:41 Ваш компьютер был атакован с адреса vpn2-229.215.Samara.golden.ru. Используемая атака - Lovesan. Атака была успешно отражена.
28.06.2008 13:54:32 Ваш компьютер был атакован с адреса vpn1-228.82.Samara.golden.ru. Используемая атака - Lovesan. Атака была успешно отражена.
28.06.2008 14:21:04 Ваш компьютер был атакован с адреса 212.244.5.75. Используемая атака - Lovesan. Атака была успешно отражена.
28.06.2008 15:26:39 Ваш компьютер был атакован с адреса 212.43.27.115. Используемая атака - Lovesan. Атака была успешно отражена.
28.06.2008 15:29:00 Ваш компьютер был атакован с адреса vpn2-229.228.Samara.golden.ru. Используемая атака - Lovesan. Атака была успешно отражена.

Это голдентелекомовские адреса, будьте внимательны!

что это:

Вирус-червь. Распространяется по глобальным сетям, используя для своего размножения уязвимость в службе DCOM RPC Microsoft Windows. Ее описание приведено в Microsoft Security Bulletin MS03-026.

Червь написан на языке C, с использованием компилятора LCC. Имеет размер 6КB, упакован UPX. Размножается в виде файла с именем "msblast.exe".

Содержит текстовые строки:

I just want to say LOVE YOU SAN!!
billy gates why do you make this possible ? Stop making money and fix your software!!

Признаками заражения компьютера являются:

* Наличие файла "msblast.exe" в системном (system32) каталоге Windows.
* Сообщение об ошибке (RPC service failing) приводящее к перезагрузке системы.

Размножение

При запуске червь регистрирует себя в ключе автозапуска:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run
windows auto update="msblast.exe"

Червь сканирует IP-адреса, начинающиеся с "base address" и пытается соединиться с 20 IP-адресами для инфицирования уязвимых компьютеров.

После этого червь "спит" в течение 1,8 секунды, а затем снова сканирует 20 IP-адресов и повторяет этот процесс в бесконечном цикле. Например, если "base address" является 20.40.50.0, червь будет сканировать следующие адреса:

20.40.50.0
20.40.50.1
20.40.50.2
...
20.40.50.19
----------- пауза 1.8 секунды
20.40.50.20
...
20.40.50.39
----------- пауза 1.8 секунды
...
...
20.40.51.0
20.40.51.1
...
20.41.0.0
20.41.0.1
и так далее.

Червь выбирает один из двух методов сканирования IP-адресов:

1. В 3 случаях из 5 червь выбирает случайный "base address" (A.B.C.D), где D равен 0, а A, B, C случайно выбраны из диапазона 1-255. Таким образом "base address" находится в диапазоне [1-255].[1-255].[1-255].0.

2. В 2 случаях из 5 червь сканирует подсеть.

Он определяет адрес локального компьютера (A.B.C.D), устанавливает D в ноль и выбирает значение C. Если C - больше чем 20, то червь выбирает случайное число от 1 до 20. Если C меньше или равно 20, червь не изменяет его.

Например, если инфицированная машина имеет IP-адрес "207.46.134.191", то червь будет сканировать адреса с 207.46.[115-134].0. Если IP-адрес - "207.46.14.1", то червь будет сканировать адреса, начиная с 207.46.14.0.

Используя уязвимость в Microsoft Windows 2000/XP, отправляет на 135 порт выбранного IP-адреса команды эксплойта DCOM RPC и запускает на удаленной машине командную оболочку "cmd.exe" на TCP порту 4444.

После этого червь, при помощи команды tftp get, через 69 порт загружает себя на удаленную машину в системный каталог Windows и запускает на исполнение.

Прочее

После заражения инфицированная машина выводит сообщение об ошибке RPC service failing, после чего может попытаться перезагрузиться.

C 16 августа 2003 года червь запускает процедуры DDoS атаки на сервер windowsupdate.com, пытаясь таким образом затруднить или прервать его работу.

[NikIv]

А в службу поддержки не сообщили про это?

[Baphometh]

Сообщение от NikIv

А в службу поддержки не сообщили про это?

нет., а нужно?

были детектированы атаки из нескольких городов

в основном Самара, Калининград, ну и Воронеж, началось сегодня утром

[NikIv]

Сообщение от Baphometh

нет., а нужно?

Думаю да , провайдер должен локализовать и устранить проблему.