W32.Blaster.Worm

[Coppermine]

<blockquote id="quote"><font size="1" id="quote"><b id="quote">цитат:</b id="quote"></font id="quote"><table border="0" id="quote"><tr id="quote"><td class="quote" id="quote"><font size="1" id="quote">

А за възпроизвеждането не си прав. Срещал съм възпроизвеждащи се от source файлове, без участието на потребителя.

Възпроизвеждането е свързано с изпълнението на две условия. Отсъствие на отрочето и определен периодичен event от операционната система.

Тук случая не е такъв, няма възпроизвеждане, ами приемане от друга машина [чрез мрежата]



<div align="right">оргинално мнение на Malone</div id="right">

</td id="quote"></tr id="quote"></table id="quote"></blockquote id="quote"><font size="2" id="quote"></font id="quote">



имах друго предвид може би не съм се доуточнил. Ако имаш пропуски в сигурноста (full sharing , anonymous ftp разрешено за запис) може някой по мрежата (най често заразен компютър ) да запише тялото на вируса (говоря по принцип не специално за този) т.е изпълнимия му файл но за да се заразиш трябва да се изпълни това нещо. Преди да се изпъли просто го имаш на хард диска си. Потребителя трябва да пусне вируса той неможе да се самоизпълни. До сега съм виждал 2 начина да се прескочи двойното кликване на файла но в крайна сметка пак потребителя си е виновен.

1.Изпълнимия файл да се запише на подходящо място така че след рестарт операционата система да ги изпълни, но по принцип тези места не са достъпни от мрежата ако сам си ги разрешиш напр. full share на c:, може да тръгне без да се усетиш но тогава просто сам си го търсиш

2.Това което прави този вирус - ако успее да се добави като сървис може да се стартира но пак не сам ами друга заразена машина да го стартира но за да се добави като сървис пак му трябва достъп за писане на системния диск и то до определени места до които по принцип не се пуска.



Изпълнен веднъж вече може да си се копира да се трие и всичко което може да прави с правата на достъп на потребителя с който е изпълнен

[MEPHISTO]

Аз чувам че е излязла нова версия на тоя червей - има ли гаранции, че пача на MS ще ни предпази от нова епидемия ?

[y0y0]

Вируса няма как да се стартира сам както каза Coppermine, трябва ръчно да го подкараш.Зависи с кои аккаунт си се логнал в Уиндоуса, ако си с Администраторските права Шерваш само с Реад права за да не пише по диска ти.

[LinuxLoader]

Според мен след като си тръгва като сервисе би трябвало да няма проблем да си поразмножи вируса тук таме и дори и шаре да си направи ( това могат да го кажат колегите програмисти, това поне е мое лично мнение) а за това как се размножава вирусчето малко по горе някои беше писал линка на ф-прот с доста хубаво инфо за локал как се изпраща



http://www.f-prot.com/virusinfo/desc.../msblastC.html

вижте какво ехе пуска

http://www.f-prot.com/virusinfo/desc.../msblastB.html

ето и другата модификация

[Coppermine]

<blockquote id="quote"><font size="1" id="quote"><b id="quote">цитат:</b id="quote"></font id="quote"><table border="0" id="quote"><tr id="quote"><td class="quote" id="quote"><font size="1" id="quote">Аз чувам че е излязла нова версия на тоя червей - има ли гаранции, че пача на MS ще ни предпази от нова епидемия ?



<div align="right">оргинално мнение на MEPHISTO</div id="right">

</td id="quote"></tr id="quote"></table id="quote"></blockquote id="quote"><font size="2" id="quote"></font id="quote">



никакви гаранции няма [:D] виж кои портове атакува вируса и ги филтрирай и 2000 и ХР имат вградени firewall -и е освен ако не ти трябват за нещо тогава ще трябва да се довериш на microsoft

[Malone]

y0y0 не четеш внимателно.



Във връзка със стартирането, не случайно msblast.exe e в RUN секцията.

Без значение е кой е логнат в момента на заразяването, дали администратор или друг тип потребител.

Ако ти е интересно питай KOKOSH, беше ми пратил един аналогичен експлойт, който ползва Remote Procedure Call Service. Влиза като прасе в царевица [ако нямаш инсталиран горепосочения patch] и можеш да правиш каквото си искаш с атакуваната машина.

Питай него, явно аз съм го изтрил, не мога да го намеря.

[Coppermine]

за да стигне до RUN секцията трябва да се изпълни нещо от потребителя и ако той не е администратор няма да може да стигне до RUN секцията. Просто казвах че неможе както си стоиш и хоп 3-4 работи се записали тук таме по харда от мрежата без нищо да правиш и то осонено в регистрито ..

[klamer]

Има ли нещо общо този вирус с W32.Sobig.@nn?

[some_fuchkin_user]

I da popitam. Nqki znae li kak se chisti virus kogato sa zarazeni servicei-te na win 2000-3

[rub]

i az imah dosta problemi s toia virus ama sa opraih [:D]