Witty infekuje oprogramowanie ISS

W czasie ostatniego weekendu do sieci został wpuszczony nowy bardzo szybko rozpowszechniający się wirus. Witty - taka jest jego nazwa, wykorzystuje on lukę w oprogramowaniu ISS (Internet Security Software) odkrytą przez eEye Digital Security.

Autor wirusa napisał go w ciągu dwóch dni od publicznego udostępnienia informacji o luce w oprogramowaniu ISS. Odnaleziony błąd dotyczy funkcji Protocol Analysis Module, która odpowiada za monitorowanie odpowiedzi serwera ICQ. Wirus wykorzystuje jej podatność na przepełnienie bufora (buffer overflow).

Witty rozprzestrzenia się w podobny sposób jak przed ponad rokiem Slammer. Wirus wyszukuje systemy podatne na błąd w fierwallach ISS (BlackICE i RealSecure) i infekuje je bez żadnej pomocy ze strony użytkownika.

Atak rozpoczyna się przy użyciu pojedynczego pakietu UDP z portem źródłowym ustalonym na 4000. Port docelowy jest wybierany w sposób losowy.

Joe Stewart z ISS poinformował, że robak wysyła 20 000 pakietów do losowo wybranych adresów IP, a następnie próbuje nadpisać dane zapisane na dysku fizycznym zainfekowanego systemu.

Programista umieścił w kodzie źródłowym poniższą informację.

"insert.witty.message.here."

Zalecamy aktualizację oprogramowania lub zablokowania pakietów UDP przychodzących do portu 4000.

Aktualizacja jest dostępna pod tym adresem.

Źródło informacji: CNET News