|
Controlado desde el
19/10/97 por NedStat
Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro
visitante número desde
el 12 de agosto de 1996
| Virus: W32/Cblade.Worm. Descripción del gusano de SQL | ||
|---|---|---|
VSantivirus No. 508 - Año 6 - Miércoles 28 noviembre de 2001 Nombre: W32/Cblade.Worm Tipo: Gusano de Internet Alias: SQL Worm, Cblade, Voyager Alpha Force, Ninja Trojan, W32.Cblade.Worm, W32/Cblade.word, Worm_CBlad.A, WORM_CBLAD.A, CBLAD.A Tamaño: 389,181 Bytes Fecha: 22/nov/01 Este gusano, que permanece residente en memoria, utiliza una debilidad en los servidores SQL 7 de Microsoft, que permiten al instalarse, dejar un password vacío para la cuenta del administrador ("sa"). El gusano examina Internet en búsqueda de otros servidores SQL escuchando por el puerto TCP 1433. Cuando encuentra un sistema vulnerable, envía un paquete conteniendo los comandos para ejecutar un procedimiento XP_CMDSHELL. Esto es usado para ejecutar comandos directamente en el entorno DOS dentro del servidor SQL. Utilizando desde DOS el comando FTP, el gusano se conecta a un sitio (philamuseum.netreach.net) en 207.29.192.160 (ya ha sido dado de baja), logeandose con el nombre de usuario "ftp" y la contraseña "foo.com". También utiliza el comando get del FTP para descargar el archivo DNSSERVICE.EXE, al que luego ejecuta. DNSSERVICE.EXE queda residente en memoria como un proceso del tipo servicio, no visible en el administrador de tareas (en Windows 9x/ME). Luego, el gusano crea una entrada en el registro del sistema, lo que le permite ejecutarse en cada reinicio de Windows:
La principal y más peligrosa característica del gusano, es su capacidad de realizar ataques distribuidos de negación de servicio (D.D.o.S por su siglas en inglés), o sea, ataques coordinados desde varias máquinas a un mismo blanco. Para ello, hace que el servidor SQL infectado, se conecte a un servidor IRC para recibir las instrucciones del atacante.
En forma aleatoria, el gusano selecciona uno de esos servidores de IRC y se conectará a él por el
puerto 6669. Utiliza para ello nombres de usuario (nicks) seleccionados al azar.
4. Pinche en la carpeta "Run", y en el panel de la derecha busque una entrada cuyo nombre sea
"Taskreg", y contenga el nombre y camino completo del gusano tal como se detectó en el punto 1. |
||
