关于MSDTC蠕虫= 事件的通报

CCERT，郑辉

zhenghui@ccert.edu.cn

一、概述

2005年12月9日22时，CCERT发现利用微软<= span lang=3DEN-US>MS05-051漏洞= 进行传播的蠕虫，蠕= 4411;随机生成B类地址进&#= 34892;扫描，扫描攻击端Ö= 75;为1025/TCP，攻= 击成功后植入后门程= 4207;，记录用户击键信ত= 7;，同时远程控制被感&= #26579;计算机。通过追踪#= 266;察到，蠕虫释放者在= ;蠕虫感染达到一定数&#= 37327;后，删除了原始下ů= 33;位置的蠕虫样本，从= 而控制蠕虫扩散的规= 7169;。

CCERT<= /span>的观测结果与<= span class=3DSpellE>DShield的监测结果一致（参见图一，http://www.dshield.org/）

图一、1025端口的流量趋势=

2005年12月16日10时，CCERT收到APCERT<= span style=3D'font-family:SimSun;mso-ascii-font-family:"Times New Roman";mso-han= si-font-family: "Times New Roman"'>邮件，通知发现= 蠕虫变种（F-Secure公司= 命名为Dasher.B），为原蠕虫的ਟ= 3;良版本。

二、蠕虫分析

1、蠕虫工作流程：=

a) 计算= 机被攻击后，将从61.138.10.55下载= 3个程序：x.exe，<= span lang=3DEN-US>y.exe，<= span lang=3DEN-US>z.exe并执= 行；

b) x.exe运行后，将在<= span lang=3DEN-US>%system%目录= 下生成可执行文件remote.exe，同= 时修改注册表，以便= 4320;机后此文件可被执ඡ= 2;；remote.exe为一= IRC bot程序，连入killed.3322.org的<= span lang=3DEN-US>#Phantom频道= ；

c) y.exe运行后，将在<= span lang=3DEN-US>Program Files目录= 下生成CUZZSDFY系列= 文件；为键盘记录程= 4207;；

d) z.exe运行后，释放<= span lang=3DEN-US>sqltob.exe，<= span lang=3DEN-US>sqlscan.exe，<= span lang=3DEN-US>sqlrep.exe和<= span lang=3DEN-US>sqlexp.exe四个= 程序；其中sqlbot.exe生成= 随机B类地址并&#= 20889;入sqlscan.bat，然后sqlscan.bat启动sqlscan.exe 扫描= 指定B类地址的1025端口= ；存在此端口的IP信息由sqlrep.exe过滤= 处理后， sqlexp.exe对其= 进行缓冲区溢出攻击= 5292;攻击成功后，被感੡= 9;计算机重复a；

e) sqlbot.exe也会修改注册表= ，使其可在开机后运= 4892;；

2、相关信息：

a) 蠕虫= 原始版本传播下载地= 2336;：61.138.10.55

inetnum: 61.138.0.0= - 61.138.63.255

netname: CNCGROUP-H= L

country: CN<= /p>

descr: CNCGROUP Heilongjian= g province network

b) 蠕虫= 新版本传播下载地址= 5306;159.226.153.2

inetnum: 159.226.0.= 0 - 159.226.255.255

netname: NCFC

descr: imported inetnum object for CNCCAS

c) 蠕虫= 指令下发地址：222.240.219.143

inetnum: 222.240.12= 8.0 - 222.240.255.255

netname: CHINANET-H= N-CS

country: CN<= /p>

descr: CHINANET-HN Changsha node network

descr: hunan Telecom

d) 蠕虫= IRC控制= 中心：killed.3322.org，<= span lang=3DEN-US>SmallPhantom.meibu.com

Name:<= span style=3D'mso-spacerun:yes'> killed.3322.org=

Addres= s: 192.168.0.255

Name:<= span style=3D'mso-spacerun:yes'> SmallPhantom.meibu.com=

Addres= s: 192.168.220.1

三、控制措施建议

1、在网络边界暂时= 封禁如下端口：

a) 1025/TCP

b) 1026/TCP

2、通知用户尽快升= 级系统补丁：

a)&n= bsp; http://www.microsoft.com/= technet/security/bulletin/MS05-051.mspx

b) http://www.microsoft.com/= technet/security/bulletin/MS05-039.mspx

四、参考信息

[1] = 2005 年十月病毒二十= 大排行榜，http://www.ithome.com.tw/plog/index.php?op=3DViewArticle&a= rticleId=3D488&blogId=3D28

[2] = CPRO 资传网--傀儡虫组 = 455;犯罪未来趋势及对= 策, http://cpro.com.tw/channel/ecorp/content/index.php?news_id= =3D9326

[3] = 新木= 马盯上Skype VoIP面临= 危险, http://www.enet.com.cn/article/2005/1019/A20051019463672.sht= ml

[4] = Microsoft MSDTC COM+远程代码执行漏= 洞(MS05-051), http://www.nsfocus.net/index.php?act=3Dsec_bug&do=3Dview&bug_id=3D8= 128

[5] = 安天CERT, Email-Worm.Win32.Fanbot.d 分析, http://www.antiy.com/security/report/20051129.htm

[6] = SOPHOS, W32/Fanbot, http://www.sophos.com/search/search-results/?search=3Dfanbot&search_typ= e=3Dsite_search&action=3Dsearch&submit.x=3D43&submit.y=3D10

[7] = Microsoft, Vulnerabilitie= s in MSDTC and COM+ Could Allow Remote Code Execution, http://www.microsoft.com/= technet/security/bulletin/MS05-051.mspx

[8] = Microsoft, Vulnerability = in Plug and Play Could Allow Remote Code Execution and Elevation of Privilege, http://www.microsoft.com/technet/security/bulletin/MS05-039.mspx

[9] = F-Secure Worm Information= Pages : Dasher.B, http://www.f-secure.com/v-descs/das= her_b.shtml

关于MSDTC蠕虫= 事件的通报

一、 概述

二、 蠕虫分析

三、 控制措施建议

四、 参考信息

一、概述

二、蠕虫分析

三、控制措施建议

四、参考信息