Net-Worm/Kido — различия между версиями

Версия 20:16, 6 ноября 2016

Немного истории.

Известный под разными именами (Kido, Conficker, Downadup, Win32.HLLW.Autorunner.5555, Win32.HLLW.Shadow.based) и во множестве вариациях, Kido был обнаружен впервые ещё осенью прошлого года, почти сразу после того, как обнародовали информацию об уязвимости MS08-67 в операционных системах семейства MS Windows. Помимо атаки на «дырявый» сервис, червь умеет инфицировать сетевые диски (подбирая при необходимости пароль) и съёмные накопители («флэшки»): на них Kido оставляет файл autorun.inf, автоматически запускаемый при открытии диска или даже простом подключении «флэшки» - конечно, если пользователь не отключил функцию автозапуска. Попав на компьютер, червь отключает некоторые системные службы, чтобы предотвратить его обнаружение и удаление, с той же целью блокирует доступ к внушительному ряду антивирусных сайтов и спокойно занимается лавинным размножением. Благодаря изощренной механике Kido заразил к настоящему моменту более девяти миллионов машин за один только январь 2009 года и продолжает злобствовать. Данная вредоносная программа по мнению F-Secure создана для формирования бот-сетей с целью извлечения из нее прибыли или пакетной продажи.

Симптомы

• невозможно зайти на сайт большинства антивирусных компаний, например, avira, drweb, eset, nod32, f-secure, panda, kaspersky и т.д.;
• невозможно активировать антивирусные программы при соединении с сервером;
• невозможно обновить антивирусные базы антивирусов при соединении с сервером;
• невозможно зайти на сайт microsoft.com;
• невозможно включение отображения скрытых папок в Documents and Settings;
• отключена служба восстановления системы;
• в локальной сети настает непомерный объем сетевого трафика.

Действие

Сетевой червь, распространяется через локальную сеть или при помощи съемных носителей информации. Программа является динамической библиотекой Windows (PE DLL-файл). Упакован при помощи UPX.

При заражении компьютера червь запускает HTTP сервер на случайном TCP порту, который затем используется для загрузки исполняемого файла червя на другие компьютеры.

Червь получает список IP адресов компьютеров, находящихся в сетевом окружении зараженной машины и производит на них атаку, использующую уязвимость переполнения буфера MS08-067 в сервисе «Сервер». Для этого червь отсылает удаленной машине специальным образом сформированный RPC-запрос, который вызывает переполнение буфера при вызове функции wcscpy_s в библиотеке netapi32.dll, в результате чего запускается специальный код-загрузчик, который скачивает с зараженной машины исполняемый файл червя и запускает его. После чего происходит инсталляция червя на атакуемой машине.

При запуске червь создаёт свою копию в директории %SYSTEM% с произвольным именем. После чего проверяет, какую операционную систему использует заражённый компьютер.

Cоздаёт службу со следующими характеристиками:

Имя службы: netsvcs

Путь к файлу: %SYSTEM%\svchost.exe -k netsvcs

Создаёт следующий ключ реестра, обеспечивая себе автозапуск при следующей загрузке:

HKLM\SYSTEM\CurrentControlSet\Services\netsvcs\Parameters\ServiceDll = "%SYSTEM%\<название_файла>.dll"

Червь регистрируется в системе как системная служба, используя комбинации из следующих слов:

Boot

Center

Config

Driver

Helper

Image

Installer

Manager

Microsoft

Monitor

Network

Security

Server

Shell

Support

System

Task

Time

Universal

Update

Отключает следующие службы:

• Windows Security Center Service (wscsvc)
• Windows Automatic Update Service (wuauserv)
• Background Intelligent Transfer Service (BITS)
• Windows Defender Service (WinDefend)
• Windows Error Reporting Service (ERSvc)
• Windows Error Reporting Service (WerSvc)
• Windows Firewall

Обращается к следующим сайтам для получения внешнего IP-адреса зараженного компьютера (Рекомендуется настроить на сетевом брандмауэре (он же фаерволл) правило мониторинга обращения к ним):

http://www.getmyip.org

http://getmyip.co.uk

http://www.whatsmyipaddress.com

http://www.whatismyip.org

http://checkip.dyndns.org

Еще известные действия:

• Создает на съемных носителях (иногда на сетевых дисках общего пользования) файл autorun.inf и файл RECYCLED\{SID<....>}\RANDOM_NAME.vmx
• В системе червь хранится в виде dll-файла со случайным именем, состоящим из латинских букв, например c:\windows\system32\zorizr.dll
• Прописывает себя в сервисах - так же со случайным именем, состоящим из латинских букв, например knqdgsm.

Противодействие (оптимальное решение)

Шаг 1. Отключить компьютер (или сеть компьютеров) от локальной сети.

Шаг 2. Скачать скрипт отключения автозагрузки со сменных носителей - Скачать | Зеркало 1 | Зеркало 2 | Зеркало 3 | Зеркало 4 | Зеркало 5 | Зеркало 6. Запустить файл, получить подтверждение отключения автозагрузки.

Шаг 3. Заблокировать доступ к TCP-портам: 445 и 139 с помощью сетевого экрана (он же фаерволл, он же брандмауер). Блокировать TCP-порты 445 и 139 необходимо только на время лечения. Как только будет пролечена вся сеть, можно разблокировать эти порты.

Шаг 4. Скачать утилиту от "Лаборатории Касперского" KidoKiller (актуальная версия: 3.4.14) - Скачать | Зеркало 1 | Зеркало 2 | Зеркало 3 | Зеркало 4 | Зеркало 5 | Зеркало 6. Распаковать архив и запустить утилиту. Если утилита не запускается - переименовать файл в 111.ехе и повторить попытку.

Если у вас продукт Лаборатории Касперского - отключите в Антивирусе Касперского компонент Файловый Антивирус на время работы утилиты.

Если у вас установлен Agnitum Outpost Firewall или Agnitum Outpost Security Suite, то по окончании работы утилиты обязательно перезагрузите компьютер.

Шаг 5. Просканировать систему антивирусным портативным сканнером и\или дополнительными утилитами - анти-троянами, анти-шпионами. Подробнее вы можете прочитать тут.

Шаг 6. Скачать и установить следующие обновления для ОС Windows:

MS08-067 (http://www.microsoft.com/technet/security/bulletin/ms08-067.mspx);

MS08-068 (http://www.microsoft.com/technet/security/bulletin/ms08-068.mspx);

MS09-001 (http://www.microsoft.com/technet/security/bulletin/ms09-001.mspx)

Шаг 7. Установить актуальную версию антивирусного продукта, обновить антивирусные базы, настроить продукт на максимальную защиту и провести полное сканирование компьютера и сменных носителей.

Если эти шаги Вам не помогли - обратитесь в техническую поддержку разработчика Вашего антивирусного продукта или установите актуальную операционную систему (Windows XP SP3, Windows Vista SP2, Windows 7), не забыв скачать и установить все обновления для нее.

Заключение

Важно понимать то, что это базовая информация о вирусе. За это время вышло несколько модификаций этого вируса.
И тем не менее, чтобы не заражать свой ПК этим красавчиком, рекомендуется следующее:

1) Всегда пользоваться КАЧЕСТВЕННЫМ антивирусом последней версии с актуальными антивирусными базами и
максимальными параметрами защиты.

2) Использовать актуальную операционную систему Windows с последними обновлениями.

3) Отключать в системе автозапуск со сменных носителей (смотреть Шаг 2).

4) Проверять регулярно свои сменные носители на наличие вирусов и ВСЕГДА проверять сменные носители
своих знакомых\родственников, которые приносят свои флешки для вашего компьютера.

Dracula87