Newsgroup: it.comp.sicurezza.windows
Titolo: Pericolosissimo WORM "Blaster"

SalvaPC News - sicurezza per tutti N. 61 di martedi' 12 agosto 2003
Supplemento a Punto Informatico
----------------------------------------------------------------------
UN WORM DA ALLARME ROSSO
------------------------
Il suo nome e' Blaster e in queste ore sta infettando una quantita' di
server Internet e computer con sistema operativo Windows. Per diffondersi
sfrutta una falla di sicurezza scoperta recentemente e chiamata DCOM RPC,
meglio descritta nell'apposita pagina messa a punto da Microsoft:
http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/
bulletin/MS03-026.asp
Blaster contiene un messaggio rivolto a Bill Gates, che tradotto e': "Bill
Gates, perche' rendi questo possibile? Smetti di fare soldi e sistema i tuoi
software!!".
CHI VIENE COLPITO
-----------------
Molti i computer windows vulnerabili a questo worm: Windows NT, 2000, XP e
Server 2003. Windows 95/98/Me non utilizzano il servizio RPC e sono quindi
immuni.
In particolare sono soggetti a Bluster i server web e i computer connessi a
Internet che non hanno installato la patch Microsoft.
COME FUNZIONA
-------------
Sfruttando la falla di cui sopra, il worm si insinua nel computer attraverso
la porta TCP numero 135 uploadando un file (msblast.exe) e tenta di generare
un attacco Denial of Service (DoS) al sito 
windowsupdate.com
, per impedire
che gli utenti infetti possano scaricare la patch che impedisce al worm di
entrare nel sistema.
COME RICONOSCERLO
-----------------
Blaster crea un "Mutex" dal nome Billy. In piu', come molti worm, una delle
prime operazioni che compie e' quella di inserire una chiave nel registro di
Windows (in
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run) in modo da
assicurarsi in caso di riavvio di essere eseguito.
CHE DANNI PROVOCA
-----------------
Oltre all'attacco DoS, Blaster tenta di eseguire alcuni comandi attraverso
la shell cmd.exe, aprendo la porta 4444. Ancora, e' pronto a spedire il file
msblas.exe attraverso la porta UDP 69 non appena un altro sistema lo
richiede, in modo da poterlo infettare.
L'attacco DoS avviene solo se la data di sistema e' impostata sul mese di
agosto con un giorno superiore al 15. E' lecito pensare quindi che Blaster
attacchera' dal 16 agosto prossimo il sito di 
windowsupdate.com
, fino alla
fine dell'anno.
COME DIFENDERSI
---------------
Fondamentale e' installare la patch per la vulnerabilita' sfruttata da
Blaster. Per farlo e' sufficiente collegarsi al sito Microsoft all'indirizzo
citato in cima a questo messaggio.
Symantec ha reso disponibile un tool per rimuovere Blaster. per scaricare il
programma collegarsi al seguente URL e seguire le istruzioni:
http://securityresponse.symantec.com/avcenter/venc/data/w32.blaster.worm.rem
oval.tool.html
Se non utilizzati chiudere i servizi FTP, Telnet e Web che possono essere
attivati di default in alcune versioni di Windows.
Aggiornare il proprio sistema antivirus.
ULTERIORI INFORMAZIONI
----------------------
Per conoscere meglio Blaster e' possibile collegarsi al sito di Sophos al
seguente indirizzo:
http://www.sophos.com/virusinfo/analyses/w32blastera.html
Oppure al Symantec Security Response:
http://www.sarc.com/avcenter/venc/data/w32.blaster.worm.html

 UN WORM DA ALLARME ROSSO
http://www.microsoft.com/technet/treeview/default.asp
?
url=/technet/security/virus/alerts/msblaster.asp