Eerste varianten Blaster-worm duiken op

Nieuwe versies slechts oppervlakkig gewijzigd

14 augustus 2003 | Jamie Biesemans Volgens AVERT Labs van McAfee circuleren er op het Internet inmiddels al minstens twee Blaster-wormvarianten. Vermoedelijk duiken er nog meer op, al blijft het gevaar voorlopig beperkt.

De meeste virusscanners detecteren de nieuwe varianten, en wie al een patch heeft geïnstalleerd, hoeft niets te vrezen. AVERT denkt dat de nieuwe Blasters maar weinig gevaar zullen opleveren. Ook Symantec heeft de nieuwe wormen gesignaleerd.

Blaster (of Lovsan) kent nu twee nieuwe gedaantes. Zowel de b- als c-varianten zijn nagenoeg identiek aan de oorspronkelijke worm. Dat is vooral voor Lovsan.c het geval: alleen de bestandsnaam die op de harde schijf wordt achtergelaten is anders (nu: penis32.exe). De worm is zo geschreven dat het zich alleen verspreidt op Windows 2000- en XP-machines. Op pc's met NT 4.0 of Windows Server 2003 blijft Lovsan.c passief.

Variant b gaat iets verder en past ook het Register van Windows aan. Bij besmetting door de worm komt daar nu de sleutel HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ Run "Microsoft Inet Xp.." = teekids.exe Microsoft can suck my left testi! Bill te staan. De naam van het bestand waarin Lovesan.be zich verbergt, is teekids.exe.

Dat er nu variaties op Blaster verschijnen, is niet zo'n ongewoon fenomeen. Vrijwel elk 'succesvolle' virustype heeft een aantal varianten rondlopen. Zo zijn er van Klez zeker elf verschillende uitvoeringen bekend, terwijl Bugbear het houdt op twee. Soms zijn de veranderingen slechts oppervlakkig van aard, bedoeld om virusscanners te misleiden, maar af en toe beschikt een variant over een nieuwe aanvalsmethode.

Alle uitvoeringen van Blaster hanteren dezelfde werkwijze. De worm gaat via het net op zoek naar machines die een specifieke Windows-kwetsbaarheid bezitten en die bereikbaar zijn via de poort 135. Als Blaster een dergelijk systeem heeft gevonden, dringt hij binnen en nestelt de worm zich op de pc.

Blaster richt in vergelijking met andere virussen relatief weinig schade aan, al rapporteren veel gebruikers wel dat hun computer regelmatig crasht. Het scannen naar andere slachtoffers neemt wel bandbreedte in beslag. Bovendien zou de worm op 16 augustus een DoS-aanval op de site windowsupdate.com uit willen voeren, wat nadelig gevolgen kan hebben voor de netwerkprestaties.

 

Lees meer artikels over : blaster, lovsan

bron: ZDNet