Worm.Blaster.b

2008-02-23 09:22:35来源：互联网阅读 ()

病毒名称: Worm.Blaster.b 类别：蠕虫病毒病毒资料：破坏方法：

该病毒运行后,建立一个名为“BILLY”的互斥量,将自己复制到window目录下。并在注册表加入自己的键值以达到自动运行的目的.

病毒以20秒为间隔，检测网络是否连接。当网络可用时,该病毒自己监听端口69,模拟出一个TFTP服务器。并用启动一个攻击传播线程,不断的随机生成攻击地址，尝试利用DCOM RPC漏洞进行传播（端口：135）。当被攻击系统存在漏洞时，将执行病毒的shell代码，该段代码自身被做简单加密处理，它将运行一个远程shell（CMD.EXE 端口4444）,远程shell将利用tftp从攻击这方下载病毒体到％system％目录执行。

如果当前日期是16号－31号或当前月份大于8，病毒就会对“windowsupdate.com”进行拒绝服务攻击。

病毒本内有一段文本信息：

I just want to say LOVE YOU SAN!!billy gates why do you make this possible ?
Stop making money and fix your software!!

附加说明：

RPC漏洞：

漏洞主要发生在RPC服务为DCOM服务提供__RemoteGetClassObject接口上，当传送一个特定包导致解析一个结构的指针参数为NULL的时候， __RemotoGetClassObject 未对此结构指针参数有有效性检查,导致缓冲区溢出。

病毒危害：

遭此病毒攻击之后，许多基于RPC的应用无法使用，如使用网络与拨号连接拨号，配置本地连接等，一些基于RPC，DCOM的服务与应用将无法正常运行，由于RPC服务是MS WINDOWS中一个重要的服务，他开放的135端口同时用于DCOM的认证，epmapper管道用于RPC端点的影射，并默认为系统信任，如果一个攻击者能够以低权限在被攻击机器上运行一个程序，在RPC服务崩溃以后，就可以通过劫持epmapper管道和135端口的方法来提升权限或获得DCOM客户端认证的信息，此病毒就是利用这个原理来进行传播。

此病毒能够感染的系统

Microsoft Windows NT 4.0
Microsoft windows 2000
Microsoft Windows XP
Microsoft Windows server 2003
病毒的清除法：使用光华反病毒软件，彻底删除。病毒演示：病毒FAQ： Windows下的PE病毒。
发现日期： 2003-8-15

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有