VIRUS ALERT - W32/Nimda@MM

0
anonim
Hızla yayıldığı belirtilen bu ' worm ' hem e-mail attachment ile ( readme.exe ) hem de Microsft IIS serverda 15 Mayıs 2001'de bulunan bir güvenlik açığını ( PWS Escaped Characters Decoding Command Execution Vulnerability ) kullanarak yayılabilmektedir. Ayrıca, Internet Explorer 5.0 veya 5.5 kullanılarak web ( http ) üzerinden mailboxlara ( hotmail, yahoo, vs..) erişim söz konusu olduğunda, yine bir başka güvenlik açığını kullanarak bu mesaj okunduğunda ve hatta sadece önizleme penceresinde görüntülendiğinde dahi sisteme bulaşabilmektedir.
Sundance`den not: Oldukça zararlı bir virus/worm olduğundan dolayı bu haberi biran önce çözümüyle birlikte girmek istedim. Şu an için çözümü türkçeye çevirebilecek zamanım yok, en kısa zamanda Türkçesini de yayınlayacağız.
Infection vectors;
- -----------------
a) Email as an attachment of MIME audio/x-wav type.
b) By browsing an infected webserver with Javascript execution
enabled and using a version of IE vulnerable to the exploits
discussed in MS01-020 (e.g. IE 5.0 or IE 5.01 without SP2).
c) Machine to machine in the form of IIS attacks (primarily
attempting to exploit vulnerabilities created by the effects of Code
Red II, but also vulnerabilities previously patched by MS00-078)
d) Highlighting either a .eml or .nws in Explorer with Active Desktop
enabled (W2K/ME/W98 by default) then the THUMBVW.DLL will execute the
file and attempt to download the README.EXE referenced in it
(depending on your IE version and zone settings).
e) Mapped drives. Any infected machine which has mapped network
drives will likely infect all of the files on the mapped drive and
its subdirectories

To prevent yourself from being infected;

a) Ensure all IE versions have applied MS01-027 (or are IE 5.01SP2 or
above)

b) Disable Active Scripting in IE

c) Ensure all IIS installations have applied MS01-044 (or at the very
least MS01-033)

d) Use the CALCS program to modify the permissions on TFTP.EXE to
remove all use;

CALCS %systemroot%/system32/tftp.exe /D Everyone
CALCS %systemroot%/system32/tftp.exe /D System

Do the same for CMD.EXE
(note, this could be tried with THUMBVM.DLL as well, haven't tried
this myself yet)

e) Ensure that TFTP is not permitted out through your network gateway
(note that newly infected machines may try and TFTP *internally* from
some other infected machine you have on your network)

f) Modify or remove;

HKEY_CLASSES_ROOT.eml
HKEY_CLASSES_ROOT.nws

Cleansing information;
- ---------------------

Nimda is viral, so while you can remove various files that it drops
it probably will not be cleaned completely by manual means. This
means you will have to use your AntiVirus vendor's product to
completely cleans.

a) Load.exe dropped as hidden/system file (probably in %systemroot%)
b) Riched20.dll dropped with today's date as hidden/system file.
c) Readme.exe dropped in every directory
d) Admin.dll dropped in /scripts and/or root directories (not the
_vti_bin directories of FrontPage)
e) .eml and .nws files dropped in every directory
f) Possibly modified your default home page in web dirs.
g) Infected numerous files (if not all files) with the 56kb
executable.
h) Reports of people having files lumped together into .eml files

Check with your AV Vendor regularly for updates to the cleansing
programs. I would appreciate any reports from AV Vendors as to how
complete they feel their cleaners currently are. I will do an update
later tonight based on responses.

Cheers,
Russ - Surgeon General of TruSecure Corporation/NTBugtraq Editor

İlgili Yazılar

Güvenlik Semineri ve Capture The Flag Yarışması

sundance

3-4 Mart günlerinde Bilgi Üniversitesi'nde düzenlenecek Free Days kapsamında, Fazlamesai üyelerinden Emre Sağlam, Kıvılcım Hindistan ve EnderUnix'den Huzeyfe Önal'ın katılacağı bir seminer ve ardından da iki ayrı güne yayılmış güvenlik workshopları düzenlenecek.

Bunlara ek olarak da etkinlik süresince ödüllü bir "Capture The Flag" yarışmamız olacak. Web zayıflıkları, GNU/Linux işletim sistemi ve wireless konularındaki zayıflıkları olan sistemimize bakalım kim en kısa sürede ulaşacak.

Türkiye'de Elektronik İmza Sonunda Başlıyor

anonim

Türkiye'de ıslak imza ile aynı hukuki sonuçları doğuracak elektronik imza (e-imza) dağıtımı başlıyor.

Türkiye'de e-devlet uygulamalarının gelişmesini sağlayacak olan elektronik imzada (e-imza) geri sayım başladı. Sektörde faaliyet göstermek üzere Telekomünikasyon Kurumu’na başvuran 3 firmadan biri olan Türktrust, istenilen şartları karşılayarak kurumdan yetki belgesi aldı.

Kaynak: http://www.hurriyetim.com.tr

Alcatel DSL Modemlerde Güvenlik Sorunları

parsifal

Eğer Alcatel DSL modeminiz varsa şunu bilin ki herhangi bir internet kullanıcısı modeminizin ayarlarını ve şifrenizi değiştirebilir, bilgilerinizi çalabilir veya zevk için modeminizi bozabilir.

Bunu keşfeden ise Tsutomu Shimomura. Shimomura 1994 yılında Kevin Mitnick'in izini bulmuştu. Mitnick ise ABD'nin aranan en ünlü internet hackerlarından biri idi. Sayısız bilgisayar sistemine girip şifrelerden tutun gizli program kodlarına kadar pek çok bilgiyi ele geçirmişti.

M$ Word´deki Açık Makroları Uyarı Olmadan Çalıştırıyor

Challenger

Olympos.org' da yer alan bu habere göre M$ Word' deki bir açık sayesinde, makro virüsleri, Word size bir uyarı vermeden otomatik olarak çalışabiliyor.

"Açık sayesinde bir saldırganın kötü amaçlı bir doküman hazırlayarak macro güvenlik modelini aşması mümkün oluyor. Eğer doküman açılırsa, ayarlı olan macro güvenlik ayarı ne olursa olsun ekli olan makro otomatik olarak çalışıyor. Kötü amaçlı makro dosya ekleme, değiştirme, silme, bir web sitesi ile haberleşme ve disk sürücüyü formatlama gibi kullanıcının yetkisi olduğu tüm işlemleri gerçekleştirebiliyor."

Not: Eh be Micros~1 kelime işlemciyi bile baş belası haline getirdin ya! Helal olsun!

Full Disclosure: Güvenlik Çarkının Değişmez Dişlisi

anonim

Bilgisayar sistemleri varolduğundan beri insanlığa hizmet etmiştir. Gelişimin şimdikine oranla daha hızlı olduğu ve standartların oluşturulmaya başladığı yıllarda bilgiye ulaşmak şimdiki kadar kolay değildi. Varoluş ve standartlaşma süreçlerindeki rekabet, yazılım ve donanım firmalarının ürünlerinin teknik spesifikasyonlarını gizlemesine yol açıyordu. Bu bilgilerin gizlenmesi ise sektörün yol almasını yavaşlattığı gibi önemli bir olgu olan 'Bilgiye ulaşmanın hiç kimse tarafından engellenmemesi gerektiği' prensibine de ters düşüyordu.