مرکز آموزش

شرح و بررسي W32/Blaster-A

نامهاي مستعار :

W32/Lovsan.worm , W32.Blaster.worm , WORM_MSBLAST.A , win32.Poza , Worm/Lovsan.A 

نوع : 

win32 worm
W32/Blaster-A كرمي است كه از طريق اينترنت و با استفاده از خطاي آسيب پذيري DCOM موجود در سرويس Remote Procedure Call- RPC سيستم عاملهاي ويندوز براي اولين بار توسط كمپاني مايكروسافت در اواسط ماه جولاي 2003 فاش و منتشر مي شود . لازم به ذكر است اين كرم برخلاف اغلب كرمهاي ديگر از طريق ايميل گسترش نمي يابد .
سيستم عاملهايي كه در معرض هجوم اين كرم مي باشند بشرح زير هستند :
Windows NT 4.0 
Windows NT 4.0 Terminal Services Edition 
Windows 2000 
Windows XP
Windows Server 2003 
در نسخه هاي ويندوز xp که به اين كرم آلوده می شوند ، بطور متوالي سرويس RPC متوقف میشود و پيغامي مبني بر خاموش شدن سيستم ظاهر میشود “ System ShutDown" و بعد از حدود يك دقيقه سيستم حاوي ويندوز ، XP دوباره راه اندازی مي شود .
ويندوزهاي 95 ، 98 ، ME كه از سرويس RPC استفاده نمي كنند از اين بابت در خطر حمله ی این کرم نيستند .
در مسير يافتن سيستمهاي آسيب پذير ، كرم سيستم راه دور (كامپيوتر آسيب پذير) را وادار به دريافت فايلي از طريق پروتكل دريافت فايل TFTP با عنوان msblast.exe ويا penis32.exe مي نمايد .
اين فايل در شاخه ويندوز كپي مي شود .
همچنين دستور زير را در رجيستري ويندوز اضافه مي كند :
HKLM/Software/microsoft/windows/currentVersion/Run/windows auto update = "msblast.exe"
و نيز رشته كاراكتر زير در كدهاي اين ويروس ديده شده كه البته واضح نيست :
I Just want to say LOVE YOU SAN!! Billy Gates why do you make this possible ?
Stop making money and fix your software .

نحوه مقابله و پاکسازی:

Blaster از طريق شبكه اينترنت سایت ها را جستجو كرده و سيستمهايي كه داراي خطاي آسيب پذيري سرويس محافظتي DCOM RPC هستند را يافته و به درون آنها نفوذ مي كند .

در همین زمینه