Skoči na vsebino

SI-CERT 2003-02 / Črv Dloder

Črv Dloder se je pričel širiti v soboto, 8.3.2003, okuži pa lahko sisteme z operacijskim sistemom Windows 2000 ali Windows XP.

Opis

Dloder se širi preko diskov v skupni rabi (Windows Share) na sisteme s šibkim geslom za uporabnika "Administrator". Dloder poskusi prazno geslo, 42 znakov ‘x’ in naslednje vrednosti:

 admin             database          121212            pc
 Admin             abcd              123123            asdf
 password          abc123            1234qwer          secret
 Password          oracle            123abc            qwer
 1                 sybase            007               yxcv
 12                123qwe            alpha             zxcv
 123               server            patrick           home
 1234              computer          pat               xxx
 12345             Internet          administrator     owner
 123456            super             root              login
 1234567           123asd            sex               Login
 12345678          ihavenopass       god               pwd
 123456789         godblessyou       foobar            pass
 654321            enable            a                 love
 54321             xp                aaa               mypc
 111               2002              abc               mypc123
 000000            2003              test              admin123
 00000000          2600              test123           pw123
 11111111          0                 temp              mypass
 88888888          110               temp123           mypass123
 pass              111111            win               pw
 passwd

Če se uspešno priklopi preko porta 445 (Microsoft SMB preko TCP) z enim od zgornjih gesel, na sistem odloži svojo kopijo (običajno INST.EXE) v nekaj zagonskih map in spremeni Windows register tako, da se ob vsakem zagonu računalnika, zažene tudi program DVLDR32.EXE (kopija črva). Črv namesti na računalnik tudi VNC strežnik (datoteke cygwin1.dll, explorer.exe, omnithread_rt.dll in VNCHooks.dll), ki omogoča oddaljeni nadzor nad računalnikom, ter IRC odjemalca (datoteka rundll32.exe), ki se skuša priklopiti na enega od 13 predefiniranih IRC strežnikov.

Ugotavljanje prisotnosti črva

Preko prometa na omrežju

Sistemi z nameščenim črvom pregledujejo druge sisteme na omrežju po portu 445. Upravitelji omrežij ustanov lahko z beleženjem (ali blokado) izhodnega prometa na port 445 na svojem omrežju identificirajo okužene računalnike.

Preko Windows registra

Na samem računalniku poiščimo datoteke, omenjene v zgornjem razdelku. Preverimo vrednosti, navedene v ključu Windows registra (Start->Zaženi/Run, vpišite regedit):

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun

Če ta vsebuje zapise za messnger, je sistem okužen.

Preko zagnanega procesa

Odprite Upravitelja opravil (Task Manager) tako, da pritisnete kombinacijo tipk CTRL+SHIFT+ESC. Izberite zavihek "Procesi" (Processes). Če se na seznamu nahaja Dvldr32.exe, je sistem okužen.

Odstranjevanje črva

Za odstranjevanje lahko uporabite protivirusni program, ali pa črva odstranite ročno:

  • Zaustavite proces Dvldr32.exe preko Upravitelja opravil (Task Manager)
  • Odstranite zapise za messnger iz Windows registra (za zgoraj navedeni ključ)
  • Poiščite in odstranite datoteke, ki so naštete v tem obvestilu.
  • Spremenite geslo za uporabnika "Administrator"

Zaščita

Za preprečevanje okužb s tem ali drugimi črvi, si na računalnik namestite protivirusni program, osebno protipožarno pregrado in namestite vse potrebne popravke za operacijski sistem. Navodila in seznami ustreznih programov se nahajajo v ločenem dokumentu.

Povezave

Preberite tudi

SI-CERT 2020-07 / Zlonamerna koda v potvorjenih sporočilih v imenu NLB

Večje število slovenskih uporabnikov je danes prejelo potvorjeno elektronsko sporočilo, v imenu NLB banke. V priponki se nahaja zlonamerna koda LokiBot
Več

SI-CERT 2020-06 / Kritična ranljivost Windows DNS strežnika

Kritična ranljivost Windows DNS strežnika omogoča zagon poljubne kode na daljavo s pravicami uporabnika Local System Account.
Več

SI-CERT 2020-05 / Lažno sporočilo NIJZ

Na večje število slovenskih elektronskih naslovov je poslano sporočilo z zadevo "Distribucija zaščitne opreme Covid-19 (Ministrstvo za zdravje Slovenija) Junij 2020". Sporočilo vsebuje zip arhiv.
Več