Đang chuẩn bị nút TẢI XUỐNG, xin hãy chờ
Tải xuống
Chi tiết kĩ thuật Con worm này lây lan thông qua mạng nội bộ và các thiết bị lưu trữ di động như USB. Nó là một file Window PE DLL. Các thành phần của con worm này có kích thước khác nhau khoảng từ 155KB đến 165KB. Nó được nén lại bằng cách sử dụng UPX. Nó sẽ tự động copy file thực thi của nó với một cái tên ngẫu nhiên như sau: %System%\dir.dll %Program %Program %All Users Files%\Internet Files%\Movie Application Explorer\.dll Maker\.dll Data%\.dll %Temp%\.dll %System%\tmp %Temp%\.tmp Trong đó là một chuỗi ngẫu nhiên những kí hiệu. Để đảm bảo rằng. | Net - Worm.Win32.Kido.ih Chi tiết kĩ thuật Con worm này lây lan thông qua mạng nội bộ và các thiết bị lưu trữ di động như USB. Nó là một file Window PE DLL. Các thành phần của con worm này có kích thước khác nhau khoảng từ 155KB đến 165KB. Nó được nén lại bằng cách sử dụng UPX. Cài đặt Nó sẽ tự động copy file thực thi của nó với một cái tên ngẫu nhiên như sau System rnd dir.dll Program Program All Users Temp rnd .dll System rnd tmp Temp rnd .tmp Files Internet Files Movie Application Explorer rnd .dll Maker rnd .dll Data rnd .dll Trong đó rnd là một chuỗi ngẫu nhiên những kí hiệu. Để đảm bảo rằng nó sẽ được khởi động trong lần tiếp theo khi hệ thống được khởi động nó sẽ tạo ra một service hệ thống service này sẽ khởi động file thực thi của worm này mỗi khi Windows được khởi động. Khóa registry sau sẽ được tạo ra HKLM SYSTEM CurrentControlSet Services netsvcs Worm này cũng thay đôi giá trị của các khóa registry sau HKLM SOFTWARE Microsoft Windows NT CurrentVersion SvcHost netsvcs original value System rnd .dll Sự lây lan Worm này sau đó sẽ khởi động một HTTP server trên một công TCP ngẫu nhiên công này sau đó được dùng để tải về file thực thi của con worm này đến các máy tính khác. Worm này sẽ lấy về địa chỉ IP của các máy tính trong mạng của máy tính bị tiêm nhiễm đầu tiên và tấn công chúng thông qua một lỗi tràn bộ đệm trong dịch vụ Server. Worm này cũng gửi một yêu cầu RPC đặc biệt đến hệ thống ở xa. Điều này gây ra lỗi tràn bộ đệm khi hàm wcscpy_s được gọi trong thư viện netapi32.dll cái này giúp khởi động đoạn mã để tải về file thực thi của worm đến hệ thống của nạn nhân và khởi động nó. Sau đó worm này sẽ được cài đặt vào hệ thống bị tiêm nhiễm mới. Để khai thác lỗ hông được mô tả ở trên worm này sẽ cố gắng kết nối đến tài khoản Administrator trên hệ thống ở xa. Worm này dùng các password như dưới đây để tìm kiếm password của account này thông qua phương pháp brute force Lây lan thông qua thiết bị lưu trữ di động Worm này sẽ sao chép file thực thi của nó đến .
