Бескрайние просторы интернет кишат всякой нечистью. Ежндневно, сотни тысяч пользователей подвергаются \"опасности\". Время от времени возникают и серьёзные проблемы, так называемые \"эпилемии\". Вот об одной такой, я и хочу рассказать. Добавлю, что на сегодняшний день- это угроза остаётся.
Итак, речь пойдёт о известном сетевом черве Net-Worm.Win32.Kido.bt
Технические детали

Сетевой червь, распространяющийся через локальную сеть и при помощи съемных носителей информации. Программа является динамической библиотекой Windows (PE DLL-файл). Размер компонентов варьируется в пределах от 155 до 165 КБ. Упакован при помощи UPX.
Инсталляция

Червь копирует свой исполняемый файл в системный каталог Windows со случайным именем вида: %System%\\.dll, где - случайная последовательность символов.

Для автоматического запуска при следующем старте системы червь создает службу, которая запускает его исполняемый файл при каждой последующей загрузке Windows. При этом создается следующий ключ реестра:
[HKLM\\SYSTEM\\CurrentControlSet\\Services\\netsvcs]

Также червь изменяет значение следующего ключа реестра:
[HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\SvcHost] \"netsvcs\" = \"<оригинальное значение> %System%\\.dll\"
Распространение по сети

При заражении компьютера червь запускает HTTP сервер на случайном TCP порту, который затем используется для загрузки исполняемого файла червя на другие компьютеры.

Червь получает список IP адресов компьютеров, находящихся в сетевом окружении зараженной машины и производит на них атаку, использующую уязвимость переполнения буфера MS08-067 в сервисе «Сервер» (подробнее об уязвимости: www.microsoft.com). Для этого червь отсылает удаленной машине специальным образом сформированный RPC-запрос, который вызывает переполнение буфера при вызове функции wcscpy_s в библиотеке netapi32.dll, в результате чего запускается специальный код-загрузчик, который скачивает с зараженной машины исполняемый файл червя и запускает его. После чего происходит инсталляция червя на атакуемой машине.

Для того, чтобы воспользоваться вышеуказанной уязвимостью, червь пытается подключиться к удаленной машине под учетной записью администратора. Для этого червь последовательно перебирает следующие пароли: читать статью полностью http://icomservice.ucoz.ru/publ/2-1-0-29