// Hi there, Golubev! =======================================(loading...)
GM> Hарод, кто чё-нить знает про сабж? SecurityFocus Mailing List только и
GM> трезвонит о нём. Я поздно начал читать, и в результате ничего не понял.
GM> Понял лишь то, что он заражает машины, путём атак с последующим взломом
GM> на 80 порт машин...Кто чё знает, пишите, интересная тема...
Запущеный в Пятницу 13-го =) by Chineese
Атакует Internet Information Servers (IIS) через 80-й порт
использует атаку на переполнение стека в default.ida
GET /default.ida?NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN%u9090%u6858%ucbd3%u78
01%u9090%u685%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u9090%u81
90%u00c3%u000%u8b00%u531b%u53ff%u0078%u0000%u00=a HTTP/1.0
После вторжения в систему запускает 100 потоков (99 из них идут на
атаку 99-ти рандомных ip-адресов, информация о зараженных нигде? не
записывается, и поэтому могут быть попытки перезаражения), 100-й
поток определяет, не является ли система English (US) Windows
NT/2000 system, и если это она, дефейсит сайт сообщением:
"Welcome to http://www.worm.com !, Hacked By Chinese!"
Это сообщение "висит" на сайте 10 часов, потом исчезает и больше не
появляется.
- Если это не English (US) Windows NT/2000 system, то 100-й поток
используется для атаки на рандомный ip.
- Каждый раз червь смотрит наличие файла c:\notworm , и если
файл присутствует, червь останавливается.
- "Code Red" червь определяет время зараженного компьютера,
и если оно находится в промежутке от 20:00 UTC and 23:59 UTC,
то 100-й поток используется для атаки на www.whitehouse.gov.
Он посылает в порт 80 www.whitehouse.gov 100k мусора. (DоS атака).
Если до 20:00 UTC, 100-й поток - атака на рандомный ip.
. . fixed by 01 10 11 00 01 10 10 01 01 11 00 11 . . -=ELECtR0NiC PuNkS=-
--- Brains Debuger v386|(x) lis //cpc|lis_cpc@mail.ru|ICQ:81357437|(c)Copyright
* Origin: -Unfucking Believeable- (2:4623/35.5) |