Code Red 2 (Yepyeni bir worm)

0
conan
Evet yeni code red Agustos 4'te başgösterdi. Yapılan açıklamalara göre bu worm daha agresif ve tamamen baştan yazılmış bir worm. Bulaşma yöntemleri farklı olsa da hedef işletim sistemi aynı. Microsoft Windows 2000. (Bu sefer NT ya da 9X değil. Çünkü kullandıkları bir assembly komutu sadece windows 2000 icin geçerliymiş) Unutmadan, bu versiyon yanında bir de trojan taşıyor ;) Gelelim yeni yaramaz kurtçuğun neler yaptığına, nasıl bulaştığına.

Bulaşma: İlk etapta Code Red 2 (CR2) ilk Code Red'in bulastigi buffer overflow hatası yoluyla bulaşıyor. Bulaştığı sistemin Çince olup olmadığını kontrol ettikten sonra daha önce çalışıp çalışmadığını kontrol ediyor. Sonra ilk çalışmasında "ben çalıştım" diye bir işaret bırakıyor. (Tekrar tekrar bulaşmayi engellemek için) Daha sonrasında eger sistem Çince ise 600 değilse 300 tane bulaşma process`i açıyor. Ayrıca yine sistem Çince ise 2 gün değilse 1 gün uyuyor. sürenin sonunda makinayi reboot ediyor.

Yayılma: Kendi kendine bulaşmamak için sistem IP'sini belirliyor. 64h (hex) milisaniye uyukluyor. Sistem tarihini kontrol ediyor ve eğer sistem yılı 2002`den büyük ve de sistem ayı 10'dan küçük ise doğrudan sistemi reboot ettiriyor. [Yani 2001 yılının 10. ayına kadar çalışacak demek ;) Bu zamana kadar hala farkedilemediysem yuh yani demek sanırım bu :)] Bundan sonra ise asıl bulaşma işlemine başlıyor. Random olarak bir IP seçip oraya kendini kopyalamak üzere atak başlatıyor.

Trojan: Basitçe açıklamak gerekirse CR2 C: altında explorer.exe diye bir trojan yaratıyor ve web scriptlerini öyle düzenliyor ki sitenin adresine /c, /d, /e, .... eklediğinizde (Örnek: http://www.infected.site.com/c ) serverin bütün belleklerini [Hard disk, CDROM, hayır RAM değil... ;)] webden gezme imkanınız oluyor. :)

Web server'ınızda CR2 olup olmadığını c: dizininizin altında explorer.exe dosyasını arayarak anlayabilirsiniz. Ayrıca yine loglarınızda XXXXXXXXXXXXX satırını arattırarak saldırı denemelerini görüp eğlenebilirsiniz (ya da ağlayabilirsiniz ;)

İşte benim server`ıma gelen saldırıların sayısı:

[conan@kingdom conan]$ grep NNNNNNNN /var/log/httpd/* |wc -l
    251
[conan@kingdom conan]$ grep XXXXXXXX /var/log/httpd/* |wc -l
    169
Yani toplam 420! (Şu ana kadar hehe)

Alınacak önlemler code red'e karşı alınacak önlemlerin aynısı. Bana hala sisteminizi yamamadığınızı söylemeyin!! :)

Sweet and secure kalın ;)

Son söz: Bu yazı eeye'in yaptığı incelemenin türkçe versiyonu gibi birşeydir. Orjinal dökümanlar ve de yazdığımdan çok çok daha fazlası bu linkte bulunmaktadır.

Görüşler

0
anonim
hersey iyi de w2k assembly komutu ne demek onu pek cozemedim, bu wormcuk assembly source unu w2k in built-in assembler?? inde assemble etmeye mi kalkiyor calisinca?

0
conan
Sanirim Turkce hatasi yapmisim. Asil analizi aynen copy paste edeyim. Benden daha iyi acikladigi kesin. ;)

>This worm, like the original Code Red worm,
>will only exploit Windows 2000 web servers
>because it overwrites EIP with a jmp that is
>only correct under Windows 2000. Under NT4.0
>etc... that offset is different so, the process
>will simply crash instead of allowing the worm to
>infect the system and spread.
0
anonim
ok konu aciklik kazanmistir, tesekkurler,
0
conan
Saldiri sayim 510'a ulasti. Benim gibi baska log okuyan deli varsa paylasalim hehe.
Görüş belirtmek için giriş yapın...

İlgili Yazılar

İzinsiz Fotoğraf Çeken Gillette Rafları!

anonim

İngiltere'de Gilette raflarının tüketiciden izinsiz fotoğraf çektiği ortaya çıktı. Yani gidiyorsunuz, jilet almak icin rafa elinizi atıyorsunuz. Ürünü alışveriş sepetine attığınız anda gizli bir kamera yüzünüzün fotoğrafını çekiyor! Boykot basladı,

http://www.boycottgillette.com

Microsoft Office Kullanıcıları, Dikkat!

FZ

W97M.Killboot virüsü Master Boot Record'a yazıyor.

Antivirüs firması Symantec, Microsoft Word kullanıcılarını hedefleyen yeni bir virüs konusunda kamuoyunu uyardı.

Söz konusu virüs bilgisayardaki harddisklerin Master Boot Record (MBR) bölümünü bozuyor (ve böylece de bilgisayarın açılmasını engelliyor).

W97M.Killboot olarak isimlendirilen virüs mevcut Word belgesine bulaştığı gibi bu belge kapatılır kapatılmaz Normal.dot isimli şablona da bulaşıyor. Yani kapatılan her belge virüsü taşımaya başlıyor.

ABD, DES`in yerini alacak olan algoritma olarak Rijndael`i seçti...

FZ

Amerika Birleşik Devletleri`ndeki NIST (National Institute of Standards and Technology - Ulusal Standartlar ve Teknoloji Enstitüsü yani bir nevi TSE) ulusal standart güvenlik algoritmasi olarak (AES - American Encryption Standard) iki Belcikali bilgisayar bilimcisi tarafindan gelistirilen Rijndael kod isimli şifreleme algoritmasını seçti.

Mozilla Suite - Firefox - Netscape IDN Host Remote Buffer Overflow Exploit

y0rk

Mozilla suite için nurtopu gibi bir bug daha bulundu. Detay için http://www.frsirt.com/...
Henüz yayınlanmış bir yama yok.

Kılıçla Yaşayan , Kılıçla Ölür... V2.0

Nightwalker

Bu sefer güvenlik ve hacking ile ilgili 2 ayrı siteden haber var.

1.si artık hackerların deneme tahtasına dönüşen defensive thinking.

Dünyaca ünlü hacker Kevin Mitnick’e ait web sitesi (www.defensivethinking.com) yine hacklendi… 23.02.2003 itibariyle zone-h üyeleri tarafından yapılan saldırıda (http://www.zone-h.org/defaced/2003/02/23/www.defensivethinking.com(1)/) Mitnick’in sitesinin bu kez politik amaçlı hack edildiği bildirildi…