|
|||||||
|
|
|
 |
|
|
Strumenti |
01-01-2009, 21:09
|
#1 |
|
Senior Member
Iscritto dal: Mar 2006
Messaggi: 22114
|
[NEWS] Conficker si diffonde nelle aziende
1 Gennaio 2009 di Marco Giuliani
Questo periodo di vacanze è uno dei periodi più critici per gli attacchi alla sicurezza delle infrastrutture informatiche, perché il livello di attenzione è solitamente più basso e i tempi di reazione sono molto più estesi. È il caso del Worm.Conficker, che da un mese a questa parte si sta diffondendo nelle reti aziendali e su internet sfruttando principalmente la vulnerabilità pubblicata da Microsoft con il bollettino di sicurezza MS08-067. Una nuova variante è stata isolata a fine anno, interessante perché tenta più vie di diffusione e blocca l’accesso ai siti internet delle società di sicurezza. La dll che viene creata all’interno della directory di sistema, dalle dimensioni di 157.816 bytes e dal nome casuale, è compressa con UPX e con un packer proprietario, utilizzato per offuscare il codice. Infatti, decompresso il primo livello di compressione, ci si trova davanti a dello spaghetti-code, una serie continua e interminabile di redirezioni di codice, inserite con lo scopo di rallentare tentativi di decompressione del codice malevolo. La libreria di sistema viene configurata con gli attributi di file nascosto, file di sistema e sola lettura. Inoltre vengono modificati diritti di accesso al file, settando le ACL in modo tale che nessuno possa accedervi. Il malware disabilita alcuni servizi di Windows, tra cui Windows Defender, BITS e Windows Update.  Per autoavviarsi, la libreria di sistema crea una voce all’interno del registro di sistema, alla chiave: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\{NOME CASUALE} con valore %SystemRoot%\system32\svchost.exe -k netsvcs e come parametro ServiceDll il percorso alla dll infetta. Facendo ciò, il malware ha modo di avviarsi tra i servizi di sistema, iniettato all’interno del processo svchost.exe. Modifica le impostazioni di Windows in modo da velocizzare la diffusione di sé stesso all’interno di lan aziendali. Per far ciò modifica il parametro autotuning attraverso il comando: Codice:
netsh interface tcp set global autotuning=disabled Carica un driver per patchare in memoria il driver tcpip.sys e sbloccare il limite delle connessioni che Microsoft ha inserito in Windows XP SP2. Crea inoltre la seguente chiave di registro: Codice:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run [VALORE CASUALE] = “rundll32 [NOME DLL INFETTA],{stringa casuale}”
Codice:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\explorer\Advanced\Folder\Hidden\SHOWALL [CheckedValue] = “0″ Le ACL delle chiavi di registro create per autoeseguire l’infezione vengono modificate in modo tale da renderne più difficile l’accesso e la rimozione. Il worm, modifica il firewall di Windows, aprendo una porta TCP casuale e mettendosi poi in ascolto come server HTTP. Il server verrà utilizzato per diffondere l’infezione via lan. Per bloccare l’accesso ai siti web dedicati alla sicurezza informatica il worm intercetta e blocca le richieste DNS contenenti una delle seguenti stringhe: Codice:
cert. sans. bit9. vet. avg. avp. ca. nai. windowsupdate wilderssecurity threatexpert castlecops spamhaus cpsecure arcabit emsisoft sunbelt securecomputing rising prevx pctools norman k7computing ikarus hauri hacksoft gdata fortinet ewido clamav comodo quickheal avira avast esafe ahnlab centralcommand drweb grisoft eset nod32 f-prot jotti kaspersky f-secure computerassociates networkassociates etrust panda sophos trendmicro mcafee norton symantec microsoft defender rootkit malware spyware virus  Una volta fatto ciò, il worm inizia la routine di replicazione. Per fare ciò, tenta di diffondersi attraverso la lan sfruttando attacchi dizionario e un exploit per la falla MS08-067, già sistemata da Microsoft con gli aggiornamenti di Windows. Per l’attacco dizionario, il worm cerca tutti i PC in rete con condivisione ADMIN$ e tenta l’accesso utilizzando una delle seguenti password: Codice:
0 00 000 0000 00000 0000000 00000000 1 11 111 1111 11111 111111 1111111 11111111 2 22 222 2222 22222 222222 2222222 22222222 3 33 333 3333 33333 333333 3333333 33333333 4 44 444 4444 44444 444444 4444444 44444444 5 55 555 5555 55555 555555 5555555 55555555 6 66 666 6666 66666 666666 6666666 66666666 7 77 777 7777 77777 777777 7777777 77777777 8 88 888 8888 88888 888888 8888888 88888888 9 99 999 9999 99999 999999 9999999 99999999 123 123123 12321 123321 1234 12345 123456 1234567 12345678 123456789 1234567890 1234abcd 1234qwer 123abc 123asd 123qwe 1q2w3e 12 21 321 4321 54321 654321 7654321 87654321 987654321 a1b2c3 aaa aaaa aaaaa abc123 academia access account Admin admin admin1 admin12 admin123 adminadmin administrator anything asddsa asdfgh asdsa asdzxc backup boss123 business campus changeme cluster codename codeword coffee computer controller cookie customer database default desktop domain example exchange explorer file files foo foobar foofoo forever freedom fuck games home home123 ihavenopass Internet internet intranet job killer letitbe letmein login Login lotus love123 manager market money monitor mypass mypassword mypc123 nimda nobody nopass nopassword nothing office oracle owner pass pass1 pass12 pass123 passwd password Password password1 password12 password123 private public pw123 q1w2e3 qazwsx qazwsxedc qqq qqqq qqqqq qwe123 qweasd qweasdzxc qweewq qwerty qwewq root root123 rootroot sample secret secure security server shadow share sql student super superuser supervisor system temp temp123 temporary temptemp test test123 testtest unknown web windows work work123 xxx xxxx xxxxx zxccxz zxcvb zxcvbn zxcxz zzz zzzz zzzzz Il worm si diffonde anche attraverso dispositivi removibili, quali pen drive usb. Una volta connesso il dispositivo, il malware crea il file autorun.inf e copia la dll all’interno della cartella RECYCLER. Sia la cartella che il file vengono configurati con attributo di sola lettura. Se la data del sistema è il 1 Gennaio 2009, il worm tenterà di scaricare una versione aggiornata di sé stesso - con possibili nuove funzionalità - da una serie di siti Internet. È dunque importante per tutte le aziende e gli utenti rimasti infetti di controllare i PC e di rimuovere l’infezione. Prevx CSI ed Edge sono in grado di individuare, intercettare e rimuovere l’infezione. Fonte: Pcalsicuro.com
__________________
Questa opera è distribuita secondo le regole di licenza Creative Commons salvo diversa indicazione. Chiunque volesse citare il contenuto di questo post deve necessariamente riportare il link originario. |
|
|
|
02-01-2009, 22:52
|
#2 |
|
Senior Member
Iscritto dal: Mar 2006
Messaggi: 22114
|
__________________
Questa opera è distribuita secondo le regole di licenza Creative Commons salvo diversa indicazione. Chiunque volesse citare il contenuto di questo post deve necessariamente riportare il link originario. |
|
|
|
|
24-01-2009, 09:54
|
#3 |
|
Senior Member
Iscritto dal: Mar 2006
Messaggi: 22114
|
__________________
Questa opera è distribuita secondo le regole di licenza Creative Commons salvo diversa indicazione. Chiunque volesse citare il contenuto di questo post deve necessariamente riportare il link originario. Ultima modifica di c.m.g : 26-01-2009 alle 13:00. |
|
|
|
|
|
| Strumenti | |
|
|
Tutti gli orari sono GMT +1. Ora sono le: 18:34.
