 |
|
A Rede | Serviços | Operação | Segurança | P&D | Capacitação | Eventos |
 | CAIS-ALR-25072001Worm "Red Code" - Update [CAIS, 25.07.2001, revisão 01] Foi detectada a existência de uma nova variante do Worm Red Code. Em se tratando de Worms e Virus, esta é uma prática bastante freqüente: novas variantes são lançadas na rede para tentar se aproveitar de sistemas ainda não corrigidos. As máquinas que já foram corrigidas estão protegidas contra esta variante. Regras do Snort Para esta nova versao já existe uma regra do Snort que detecta sua atividade, a seguir: alert tcp any any -> any 80 (msg: "CodeRed 3 IDA Overflow"; dsize: >239; flags: A+; content:"|2F782e69 64613f41 41414141|"; depth:64;) Pela regra podemos identificar que, na verdade, esta nova versão seria a terceira da série. O Red Code teve uma versão inicial que procurava máquinas em um determinado range de IPs. Na segunda versão foi otimizado o algoritmo de aleatoriedade do mecanismo de busca de endereços IP. Foi esta mudança de comportamento que permitiu um avanço maior do Worm. Ferramentas Uma ferramenta para retirar o Red Code de uma máquina infectada pode ser encontrada em: http://www.symantec.com/security_response/writeup.jsp?docid=2001-071911-5755-99 Assim também, foi disponibilizada pela www.eeye.com uma ferramenta que varre um determinado range de IPs, a procura por máquinas infectadas pelo Worm: http://research.eeye.com/html/tools/index.html O CAIS alerta sobre os cuidados que devem ser tomados ao utilizar-se qualquer ferramenta de "scanning", para que sua atividade não afete outras redes. Lembra-se que, em alguns casos, pode ser necessária autorização para a utilização de determinadas ferramentas de seguranca. Por último, o alerta inicial, enviado pelo CAIS em 19/jul/2001, no qual é detalhado o funcionamento deste Worm, bem como os métodos para identificação e proteção contra o mesmo, pode ser encontrado em: http://www.rnp.br/cais/alertas/2001/cais-ALR-19072001.html |  Assinatura dos Alertas do CAIS Assine a lista de alertas do CAIS e receba antecipadamente, por correio eletrônico, as mais recentes notificações sobre segurança em redes e sistemas. Formulário de assinatura dos Alertas do CAIS
Contato com o Cais: +55 (19) 3787-3300 |
