Net - Worm.Win32.Kido.ih

Ngày phát hiện: 07/01/2009

Chi tiết kĩ thuật

Con worm này lây lan thông qua mạng nội bộ và các thiết bị lưu trữ di động như USB. Nó là một file Window PE DLL. Các thành phần của con worm này có kích thước khác nhau khoảng từ 155KB đến 165KB. Nó được nén lại bằng cách sử dụng UPX.

Cài đặt

Nó sẽ tự động copy file thực thi của nó với một cái tên ngẫu nhiên như sau:

%System%\<rnd>dir.dll
%Program Files%\Internet Explorer\<rnd>.dll
%Program Files%\Movie Maker\<rnd>.dll
%All Users Application Data%\<rnd>.dll
%Temp%\<rnd>.dll
%System%\<rnd>tmp
%Temp%\<rnd>.tmp

Trong đó <rnd> là một chuỗi ngẫu nhiên những kí hiệu.

Để đảm bảo rằng nó sẽ được khởi động trong lần tiếp theo khi hệ thống được khởi động, nó sẽ tạo ra một service hệ thống, service này sẽ khởi động file thực thi của worm này mỗi khi Windows được khởi động. Khóa registry sau sẽ được tạo ra:

[HKLM\SYSTEM\CurrentControlSet\Services\netsvcs]

Worm này cũng thay đổi giá trị của các khóa registry sau:

[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost]
"netsvcs" = "<original value> %System%\<rnd>.dll"

Sự lây lan

Worm này sau đó sẽ khởi động một HTTP server trên một cổng TCP ngẫu nhiên; cổng này sau đó được dùng để tải về file thực thi của con worm này đến các máy tính khác.

Worm này sẽ lấy về địa chỉ IP của các máy tính trong mạng của máy tính bị tiêm nhiễm đầu tiên và tấn công chúng thông qua một lỗi tràn bộ đệm trong dịch vụ Server. Worm này cũng gửi một yêu cầu RPC đặc biệt đến hệ thống ở xa. Điều này gây ra lỗi tràn bộ đệm khi hàm wcscpy_s được gọi trong thư viện netapi32.dll; cái này giúp khởi động đoạn mã để tải về file thực thi của worm đến hệ thống của nạn nhân và khởi động nó. Sau đó worm này sẽ được cài đặt vào hệ thống bị tiêm nhiễm mới.

Để khai thác lỗ hổng được mô tả ở trên, worm này sẽ cố gắng kết nối đến tài khoản Administrator trên hệ thống ở xa. Worm này dùng các password như dưới đây để tìm kiếm password của account này thông qua phương pháp "brute force":

Lây lan thông qua thiết bị lưu trữ di động

Worm này sẽ sao chép file thực thi của nó đến tất cả các ổ đĩa di động như dưới đây:

<X>:\RECYCLER\S-<%d%>-<%d%>-%d%>-%d%>-%d%>-%d%>-%d%>\<rnd>.vmx,

Đồng thời nó cũng tạo ra file sau đây trong thư mục gốc của mỗi ổ đĩa:

<X>:\autorun.inf

File này giúp khởi động file thực thi của worm mỗi khi cửa sổ Windows Explorer được dùng để mở ổ đĩa bị tiêm nhiễm.

Hoạt động

Khi khởi động, worm sẽ tiêm nhiễm đoạn code của nó vào không gian địa chỉ của một trong các tiến trình hệ thống thống "svchost.exe". Đoạn code này sẽ:

- Vô hiệu hóa các service sau:

wuauserv
BITS

- Cấm truy cập đến các địa chỉa bao gồm một chuỗi bất kì trong danh sách sau:

indowsupdate
wilderssecurity
threatexpert
castlecops
spamhaus
cpsecure
arcabit
emsisoft
sunbelt
securecomputing
rising
prevx
pctools
norman
k7computing
ikarus
hauri
hacksoft
gdata
fortinet
ewido
clamav
comodo
quickheal
avira
avast
esafe
ahnlab
centralcommand
drweb
grisoft
eset
nod32
f-prot
jotti
kaspersky
f-secure
computerassociates
networkassociates
etrust
panda
sophos
trendmicro
mcafee
norton
symantec
microsoft
defender
rootkit
malware
spyware
virus

Worm này cũng tải về các file từ đường dẫn sau:

http://<URL>/search?q=<%rnd2%>

Với rnd2 là một số ngẫu nhiên; URL là một liên kết được tạo ra bởi một thuật toán đặc biệt, được dùng trong ngày hiện tại. Worm lấy ngày hiện tại từ một trong các site dưới đây:

http://www.w3.org
http://www.ask.com
http://www.msn.com
http://www.yahoo.com
http://www.google.com
http://www.baidu.com

Tải về các file được lưu vào thư mục hệ thống của Windows dưới những tên gốc của chúng.

Hướng dẫn xóa

Nếu máy tính của bạn không có một trình antivirus được cập nhật thường xuyên, hoặc không có một giải pháp antivirus hiệu quả, bạn có thể làm theo hướng dẫn dưới đây để xóa nó:

1. Xóa các khóa registry sau:

[HKLM\SYSTEM\CurrentControlSet\Services\netsvcs]

2. Xóa "%Sytem%\<rnd>.dll" từ giá trị khóa registry như dưới đây:

[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost]
"netsvcs"

3. Khởi động lại máy tính

4. Xóa file gốc của worm này (đường dẫn của worm này tùy thuộc vào việc nó lây nhiễm vào hệ thống như thế nào)

5. Xóa các bản sao của nó:

%System%\<rnd>dir.dll
%Program Files%\Internet Explorer\<rnd>.dll
%Program Files%\Movie Maker\<rnd>.dll
%All Users Application Data%\<rnd>.dll
%Temp%\<rnd>.dll
%System%\<rnd>tmp
%Temp%\<rnd>.tmp

<rnd> là một chuỗi ngẫu nhiên của những kí hiệu

6. Xóa các file sau trong tất cả các thiết bị lưu trữ di động

<X>:\autorun.inf
<X>:\RECYCLER\S-<%d%>-<%d%>-%d%>-%d%>-%d%>-%d%>-%d%>\<rnd>.vmx,

7. Tải về và cài đặt bản cập nhật của windows. Cập nhật cơ sở dữ liệu của trình antivirus và thực hiện quét "full scan".