|
|
W32Blaster: les utilisateurs de PC sous Windows confrontés à une épidemie de reboot
Par Ludovic Blin,
secuobs.com
Le 14/08/2003
Résumé : Un ver utilisant la faille rpc/dcom découverte le mois dernier s'est répandu sur le réseau. Il entraine peu de dégats, mais provoque de nombreux reboot intempestifs. - Lire l'article
Rarement, le temps entre la découverte d'une vulnérabilité et l'apparition d'un ver ou virus l'utilisant n'aura été aussi court. Depuis dimanche soir, un ver utilisant la faille RPC/DCOM dans les système Windows NT/2000/XP, découverte le mois dernier, se répand de par le monde. Celui-ci, dénommé MSBlast, utilise un des exploits diffusé précedement qui ouvre un accès shell sur le port 4444. Il transmet ensuite via tftp le fichier msblast.exe (qu'il place dans %systemroot%\system32). Ce dernier se charge de rechercher de nouveaux hôtes à contaminer, dont les adresses IP peuvent être dans le réseau local ou non. Il ajoute aussi une clé dans la base de registre lui permettant d'etre executé à chaque redémarrage de la machine (SOFTWARE\Microsoft\Windows\CurrentVersion\Run\windows auto update). Enfin, il est programmé pour déclencher une attaque SYN flood sur Windows Update à partir du 16 aout, jusqu'en décembre. Ce ver est heureusement peu dangereux pour le pc de l'utilisateur, à part que lors de sa propagation, il puisse faire planter de nombreuses machines puisque lorsqu'il se trompe de cible (choisie au hasard), entre windows xp et windows 2000, cela provoque un reboot. De même, en cas d'exploitation réussie, il est probable que la rupture de connection provoque aussi un reboot. Le ver s'est répandu assez vite, malgré les mesures de protection prises par les administrateurs de nombreux FAI et opérateurs, qui ont assez vite bloqué - certains dès dimanche - les ports 135-139, 445, 597 et 4444. Mais il est probable que ce filtrage ne soit mis en place que pour en temps limité. De nombreuses analyses de ce code ont été publiées, dont celles de la société américaine EEye. Pour éradiquer W32Blaster, il faut effacer la clé évoquée précedemment dans la base de registre, le fichier msblast.exe, et appliquer le patch de Microsoft. Sans oublier d'activer le firewall, qui devient vraiment indispensable maintenant. http://www.eeye.com/html/Research/Advisories/AL20030811.html http://www.microsoft.com/technet/security/bulletin/MS03-026.asp
- Article suivant : Un exploit Remote Root pour Cisco IOS
- Article précédent : Sun fait équipe avec Symantec dans la détection d'intrusion
- Article suivant dans la catégorie Failles : Un exploit Remote Root pour Cisco IOS
- Article précédent dans la catégorie Failles : Les vulnérabilités RPC exploitables en UDP broadcast
| Mini-Tagwall des articles publiés sur SecuObs : | | | | sécurité, exploit, windows, attaque, outil, microsoft, réseau, audit, metasploit, vulnérabilité, système, virus, internet, usbsploit, données, source, linux, protocol, présentation, scanne, réseaux, scanner, bluetooth, conférence, reverse, shell, meterpreter, vista, rootkit, détection, mobile, security, malicieux, engineering, téléphone, paquet, trames, https, noyau, utilisant, intel, wishmaster, google, sysun, libre |
| Mini-Tagwall de l'annuaire video : | | | | curit, security, biomet, metasploit, biometric, cking, password, windows, botnet, defcon, tutorial, crypt, xploit, exploit, lockpicking, linux, attack, wireshark, vmware, rootkit, conference, network, shmoocon, backtrack, virus, conficker, elcom, etter, elcomsoft, server, meterpreter, openvpn, ettercap, openbs, iphone, shell, openbsd, iptables, securitytube, deepsec, source, office, systm, openssh, radio |
| Mini-Tagwall des articles de la revue de presse : | | | | security, microsoft, windows, hacker, attack, network, vulnerability, google, exploit, malware, internet, remote, iphone, server, inject, patch, apple, twitter, mobile, virus, ebook, facebook, vulnérabilité, crypt, source, linux, password, intel, research, virtual, phish, access, tutorial, trojan, social, privacy, firefox, adobe, overflow, office, cisco, conficker, botnet, pirate, sécurité |
| Mini-Tagwall des Tweets de la revue Twitter : | | | | security, linux, botnet, attack, metasploit, cisco, defcon, phish, exploit, google, inject, server, firewall, network, twitter, vmware, windows, microsoft, compliance, vulnerability, python, engineering, source, kernel, crypt, social, overflow, nessus, crack, hacker, virus, iphone, patch, virtual, javascript, malware, conficker, pentest, research, email, password, adobe, apache, proxy, backtrack |
|
|
|
|
|
