|
Controlado desde el
19/10/97 por NedStat
Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro
visitante número desde
el 12 de agosto de 1996
| JS/SQLspida. Nuevo gusano afecta el rendimiento de SQL | ||
|---|---|---|
VSantivirus No. 684 - Año 6 - Miércoles 22 de mayo de 2002 JS/SQLspida. Nuevo gusano afecta el rendimiento de SQL http://www.vsantivirus.com/sqlspida.htm Nombre: JS/SQLSpida Tipo: Gusano de Internet Alias: JS/SQLSpida.b.worm, BAT_SQLSPIDA.B,JS.Spida.B,JScript/SQLSpida.Worm,SQL Spida, JS_SQLSpida.B, Hacktool.IPStealer, SQLSnake, SQLSpida, MS SQL Worm Variantes: JS/SQLSpida.A, JS/SQLSpida.B Plataformas: Windows 32-bit, Microsoft SQL Server Fuentes: NAI, Symantec, Trend, CA Este gusano busca e infecta servidores SQL de Microsoft. Examina las respuestas a solicitudes al puerto 1433 (usado por el servidor SQL por defecto), para detectar aquellos servidores vulnerables que usan una contraseña en blanco en la cuenta del administrador del sistema (SA). Esta configuración debería cambiarse luego que se instala esta aplicación, pero son muchos los administradores de sistemas que ignoran esta mínima precaución de seguridad, por lo que existen innumerables sistemas vulnerables. El acceso a un sistema sin contraseñas, deja habilitado el uso de varios procedimientos extendidos de los servidores SQL, uno de los cuáles (XP_CMDSHELL), permite la ejecución de código en modo DOS, y es usado por el gusano para ejecutarse y propagarse. Cuando se ejecuta, el gusano copia los siguientes archivos en el disco duro de la máquina infectada:
Este es el escaneador de puertos (TCP 1433), y es usado por el gusano para buscar otros servidores SQL vulnerables.
Archivo en JavaScript usado por el gusano para ejecutar comandos en la computadora remota (en modo línea de comandos a través del procedimiento XP_CMDSHELL).
Utilidad que se ejecuta en modo línea de comandos, encargada del envío de un e-mail con información perteneciente al sistema infectado (direcciones IP, contraseñas, etc.), a la casilla de correo del autor del virus (hoy bloqueada por saturamiento).
Este código javascript ejecuta los códigos y comandos
SQLDIR.JS, IPCONFIG /ALL y PWDUMP
Copia el archivo "%SystemRoot%\System32\Regedt32.exe" a la siguiente ubicación:
Borra el archivo "%SystemRoot%\System32\Msver241.srq"
Este .BAT activa la cuenta de usuario
GUEST, y le pone una clave de cuatro caracteres seleccionados al azar. Luego agrega esta cuenta al grupo del Administrador y Administrador del dominio. También examina la presencia del archivo
\SYSTEM32\CSCRIPT.EXE.
Después de la copia de estos archivos, cambia la contraseña de administración remota del SQL por una de cuatro caracteres al azar. Finalmente, ejecuta el archivo SQLPROCESS.JS en la computadora remota.
Este script es usado por el gusano para coleccionar información del servidor SQL
Este archivo es usado para disparar la ejecución remota del gusano.
Es un contador de tiempo usado por el gusano.
Lo usa el gusano (y lo copia a las máquinas infectadas), pero no parece realizar ninguna acción maliciosa.
Es usado por el gusano para intentar el robo de las contraseñas de la máquina infectada.
5. Borrar el usuario GUEST de los grupos administrador y administrador de dominio. Para ello, teclee y ejecute los siguientes comandos:
6. Quitar TIMER.DLL de la memoria, Para ello, teclee lo siguiente desde la línea de comandos:
7. Eliminar los archivos creados por el gusano en la computadora infectada. Para ello teclee la siguiente secuencia de comandos (Enter al final de cada línea). Cambie la variable %SYSTEM% por el directorio correspondiente a su sistema, por ejemplo C:\WinNT\System32 para Windows 2000 y NT, y C:\Windows\System para sistemas Windows 9x. Ejemplo: "C:\WinNT\System32\drivers\ser" o "C:\Windows\System\drivers\ser"):
Relacionados: |
||
