| |
VSantivirus No. 1629 Año 8, miércoles 22 de diciembre de 2004
Perl/Santy.A. Infecta sitios construidos con PhPBB
http://www.vsantivirus.com/santy-a.htm
Nombre: Perl/Santy.A
Nombre NOD32: Perl/Santy.A
Tipo: Gusano de PHP
Alias: Santy, Net-Worm.Perl.Santy.a, Perl.Santy, Perl/Santy.Worm, PERL/Santy.worm, PHP/Santy.worm, WORM_SANTY.A, Perl/Santy-A,
Perl.Sanity, PHP/Santy.A.worm
Fecha: 21/dic/04
Plataforma: Unix, Linux, Windows
Tamaño: 4,246 bytes
Este gusano se propaga utilizando una vulnerabilidad en PhPBB, un conocido paquete PhP de código abierto, ampliamente utilizado para la creación de foros y sitios Web.
Son vulnerables todas las versiones PhPBB anteriores a la 2.0.11.
El gusano está escrito en Perl, y tiene un tamaño de 4 a 5 Kb.
Al ejecutarse, hace una búsqueda avanzada con varios
parámetros, del siguiente archivo en Google, con lo que obtiene una lista de sitios que ejecutan versiones de PhPBB vulnerables:
"viewtopic.php"
El archivo "viewtopic.php" está relacionado con la vulnerabilidad explotada.
NOTA (22/12/04 - 04:55 -0200) Google
comienza a bloquear las solicitudes que realiza el gusano para encontrar sitios vulnerables, lo que
puede detener su mecanismo de propagación hacia nuevos servidores.
Luego, el gusano envía una solicitud a todos los sitios encontrados, la cuál contiene el exploit para esta vulnerabilidad.
Cuando el servidor bajo ataque procesa esta solicitud, se ejecuta el exploit y el gusano penetra en el sitio y toma el control. Este proceso es luego repetido en cada servidor infectado.
El gusano busca archivos con las siguientes extensiones en todos los directorios del sitio infectado:
.asp
.htm
.jsp
.php
.phtm
.shtm
Los archivos encontrados son sobrescritos con el siguiente texto:
This site is defaced!!!
NeverEverNoSanity WebWorm generation
X.
|
Donde "X" representa un dígito que va aumentando en cada servidor infectado.
El nombre de la página también es "This site is defaced!!!".
Una búsqueda del texto "NeverEverNoSanity WebWorm generation" en un buscador como MSN Search
(http://beta.search.msn.com/), muestra una gran cantidad de sitios que han sido modificados al momento de esta descripción (21/12/04, 20:40 -0200), lo que indica la magnitud de la infección.
El gusano no posee ninguna otra carga destructiva, ni otra forma de propagación, y solo afecta a los sitios que se ejecutan con la versión de PhPBB vulnerable.
Los usuarios que visiten estos sitios, no sufren ninguna clase de daño en sus computadoras.
Los servidores de los sitios afectados, pueden sufrir una perdida de rendimiento.
Los administradores de los sitios vulnerables, deben descargar e instalar del siguiente enlace, la versión 2.0.11 de PhPBB, que no es afectada por el exploit que utiliza este gusano:
http://www.phpbb.com/downloads.php
Las páginas sobrescritas deben ser recuperadas desde un respaldo limpio.
Actualizaciones:
22/12/04 - 04:55 -0200 (Descripción "viewtopic.php")
22/12/04 - 04:55 -0200 (Google bloquea búsqueda del gusano)
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
