Dieser Beitrag ist schon älter. Bitte vergewissern Sie sich, dass die Rahmenbedingungen oder der enthaltene Lösungsvorschlag noch dem aktuellen Stand der Technik entspricht.

Blue Code kämpft gegen Code Red und IIS-Server

Mitglied: Frank

Kaspersky Lab, eine internationale Software-Schmiede im Bereich Datensicherheit, berichtet von einer neuen Malware unter dem Namen ?Blue Code?, die Web-Server unter Microsoft Internet Information Server (IIS)angreift. Momentan hat Kaspersky Lab einige Mitteilungen uber die Verbreitung des genannten Programms in China erhalten.

Genauso wie ?Code Red? infiziert der ?Blue Code? IIS-Server, aber nutzt dabei eine andere Lucke in dieser Plattform, die im Oktober 2000 gefunden wurde: Den Web Directory Traversal. Sein Vordringen findet auf folgende Weise statt: Der Wurm kriegt zunachst den Zugriff auf die Festplatte, lädt dorthin seine Tragerdatei vom fruher infizierten Computer herunter und startet sie.

Die Tragerdatei des Wurms schafft einige Dienstdateien im Wurzelverzeichnis der Festplatte C: SVCHOST.EXE, HTTPEXT.DLL und D.VBS. Die Namen der ersten zwei sind reserviert und gehoren zu den Standard-Programmen von Windows 2000/NT. ?Blue Code? versucht also, seinen Aufenthalt im System zu verstecken.

Die schadliche Datei SVCHOST.EXE wird im Bereich des Auto-Ladens im System-Register von Windows registriert, so dass der Wurm nach jedem Rechner-Booten aktiv wird.

Die D.VBS-Datei tut ihrerseits eine Reihe von Schritten, die aktive Kopien des ?Code Red?-Wurms aus dem Speicher entfernen und einen Schutz gegen diesen Virus erstellen sollen. Unter anderem findet und deaktiviert er die INETINFO.EXE, die einen Zugriff auf WWW-Server gewahrleistet. Au?erdem verandert der ?Blue Code? die HTTP-Anfragen, um die etwaigen Versuche des ?Code Red?, in den Server einzudringen, zu neutralisieren. Der ?Blue Code? raumt also die Computer-Ressourcen fur seine Dateien.

Um sich weiter zu verbreiten, startet der Wurm 100 aktive Prozesse des IP-Adressen-Scannens und versucht, seine Kopie nach dem obenbeschriebenen Schema an die gefundenen entfernten Rechner einzufuhren. Solcher Uberfluss von zusatzlichen Prozessen kann die Funktionalitat des infizierten IIS-Servers wesentlich verringern.

?Blue Code? hat ebenfalls eine peinliche Nebenwirkung: Ab 10 bis an 11 Uhr morgens der Greenwich-Zeit fuhrt er einen DoS (Denial of Service)-Angriff von den infizierten Computern auf den Server http://www.nsfocus.com/.

Die Schutzprozeduren gegen ?Blue Code? sind bereits dem taglichen Update des Kaspersky? Anti-Virus hinzugefugt. Eine nahere Beschreibung des Wurms finden Sie im Kaspersky Viren-Lexikon.

http://www.kaspersky.com
http://www.viruslist.com

Content-Key: 104

Url: https://administrator.de/contentid/104

Ausgedruckt am: 25.07.2021 um 23:07 Uhr

Heiß diskutierte Beiträge
question
RAM-Zugriff auf einem neuen High-Performance Server, teilweise um Welten langsamer als auf einer WorkstationMysticFoxDEVor 1 TagFrageBenchmarks53 Kommentare

Moin Zusammen, mir ist gestern beim Optimieren eines neuen Servers eine Sonderheit aufgefallen, die ich mir so beim besten Willen, momentan absolut nicht erklären kann. ...

question
2U Home-Server Frage zur HardwaremossoxVor 1 TagFrageServer-Hardware13 Kommentare

Hallo zusammen, ich habe in den letzten Jahren auf die Systeme von Synology gesetzt. Im Wesentlichen ging es immer nur um simple CIFS Dienste, nichts ...

question
Firmengelände Glasfaser mehrere GebäudeTonLichtVideoVor 1 TagFrageNetzwerke5 Kommentare

Hallo zusammen, Ist Zustand: Firmengelände mit mehreren großen Hallen die zentral per Glasfaser verbunden werden sollen. Längen zwischen 100 und 400 Metern. Aufgrund der Zukunftssicherheit ...

question
Powershell Ordner löschen die älter als x Tage sind gelöst sascha46Vor 1 TagFrageEntwicklung7 Kommentare

Hallo Ich würde gerne in einem Verzeichnis alle Ordner die älter als X Tage sind löschen. Aber irgendwie bekomme ich das nicht hin. Bisher habe ...

report
Erfahrungsbericht Vodafone - Die endlose VertragsänderunganteNopeVor 12 StundenErfahrungsberichtFlatrates12 Kommentare

Hallo zusammen, natürlich ist es öffentlich bekannt, dass Vodafone nicht gerade der "beste" Anbieter ist. Für mich persönlich ist Vodafone an Inkompetenz nicht zu überbieten ...

question
Seltsame Dateisperrungen beim NASSarekHLVor 1 TagFrageWindows 106 Kommentare

Hallo zusammen, ich gebe mal eine Anfrage aus unserem Gemeindebüro weiter: für einige Vorgänge, wie zum Beispiel das Erstellen des monatlichen Mitteilungsblattes, arbeiten Frau X ...

question
Cisco 2702 Autonomous Mode gelöst interface31Vor 1 TagFrageLAN, WAN, Wireless5 Kommentare

Hi, habe gerade paar 2702 AP im Auto Mode an Netz gehängt. Mir kommt es vor das diese mit ihrer SSID aber nicht sichtbar sind. ...

question
Aruba iAP Airwave aktivinterface31Vor 1 TagFrageLAN, WAN, Wireless9 Kommentare

Hi, habe ein paar Aruba iAP an denen der Airwave Management noch aktiv ist. Sprich nach ein paar Minuten zieht dieser sich die Info vom ...