 |
|
A Rede | Serviços | Operação | Segurança | P&D | Capacitação | Eventos |
 | CAIS-ALR-10082001CODE RED II [CAIS, 10.08.2001, revisão 01] O CAIS está acompanhando de perto a evolução do worm CodeRed e novos e importantes fatos devem ser destacados: O worm CodeRed II Foi identificada no dia 04/08/2001 uma nova versão do worm CodeRed (versão II) cuja única semelhança com o CodeRed I é a utilização da mesma vulnerabilidade descrita no seguinte alerta da Microsoft: http://www.microsoft.com/technet/security/bulletin/MS01-033.mspx Deve-se distinguir esta nova versão das três variantes do código anterior. Sua principal característica é a de instalar um backdoor na máquina atacada. Este backdoor permite ao atacante executar comandos arbitrários na máquina invadida. Isto torna esta nova versão do CodeRed muito mais perigosa que a anterior e variantes. Um segundo ponto importante a ser considerado é que, a aplicação da correção na maquina infectada e a posterior reinicialização do sistema, tal como tinha sido recomendado no caso das versões anteriores do CodeRed, não é mais garantia de que o problema tenha sido sanado. Nesta nova versão, mesmo seguindo o procedimetno descrito, o backdoor continuará presente. Nota: Segundo o site www.eeye.com, máquinas rodando Windows NT com IIS teriam problemas na execução do worm, o que eventulamente poderia ocasionar a parada total do sistema ou a indisponibilização do servico web. Já máquinas rodando Windows 2000 estão comprovadamente sujeitas à execução do código e à instalação do backdoor. O Backdoor – Como ele funciona? O Worm CodeRed II copia o arquivo CMD.EXE para os seguintes locais: c:inetpubscriptsroot.exe Sendo que os folders scripts e MSADC possuem permissão de execução, ao http://IpAddress/c/inetpub/scripts/root.exe?/c+Comando_Arbitrario Esta técnica de ataque é bastante conhecida e comumente utilizada contra O Trojan EXPLORER.EXE A nova versão do Code Red possui uma versão alterada do arquivo explorer.exe que é instalada em c:explorer.exe e d:explorer.exe. Quando um usuário logar na máquina a versão alterada será inicializada a não ser que a máquina possua instalado a correção contra a vulnerabilidade de shell relativo. Para maiores informações sobre esta vulnerabilidade deve-se acessar: http://www.microsoft.com/technet/security/bulletin/MS00-052.mspx Assinaturas do ataque A seguir, dois exemplos do conteúdo do pacote do CodeRed II: /default.ida?NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN /default.ida?XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX As últimas regras do Snort para o CodeRed I ainda detectam estes pacotes, e são consideradas válidas para as diferentes versões e variantes: Code Red: alert tcp any any -> any 80 (msg: "CodeRed Worm Defacement Sent"; alert tcp any any <> any 80 (msg: "CodeRed IDA Overflow"; dsize: >239; No entanto, foram desenvolvidas novas regras para ajudar na identificação da versão que ainda está ativa. Code Red II: alert tcp any any <> any 80 (msg: "CodeRed IDA Overflow"; dsize: >239; Assim também, foi disponibilizada uma regra para identificar atividade da ferramenta Eeye Scanner, que identifica máquinas vulneráveis: eEye's Code Red scanner: alert tcp any any -> any 80 (msg: "Eeye Scanner for CodeRed"; dsize: Em relação à ativiadade do backdoor, o IDS Snort já possuía uma assinatura para detectar tentativas de execução do CMD.EXE (mecanismo utilizado pelo backdoor do RedCode II), ela é: web-misc.rules:alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS 80 O alerta gerado segue: [**] WEB-MISC cmd.exe attempt [**] Propagação do worm Uma peculiariedade no processo de propagação do CodeRed II é que ele leva em conta se a linguagem instalada no sistema Windows é chinês ou nao. Se for chinês o worm criará 600 processos e tentará propagar-se por um período de 48 horas. Caso contrário, o worm criará 300 processos e Após este tempo de propagação o Worm irá reinicializar a máquina que retira da memória o Worm mas deixa o backdoor e o trojan instalados. Esta incialização serve tambem para recarregar o IIS com as alterações feitas pelo Worm. O efeito "Flooding" Devido ao fato do worm preferencialmente atacar IPs que estão alocados na mesma proximidade de faixa IP e juntamente com o tráfego gerado por 300/600 processos sendo executados em paralelo, o worm está gerando um enorme número de requisições ARP para cada máquina infectada. Se muitas máquinas no mesmo segmento estiverem infectadas e ativas tentanto propagar-se, o número de requisições ARP pode ser tão alto que haverá uma degradação no desempenho da rede, conseqüentemente, máquinas podem ser vítimas de DoS (ataque de negação de serviço). Este problema pode tornar-se maior em redes que utilizem roteadores para propagar requisições ARP pela rede, pois com isso cada usuário da rede estaria recebendo estas requisições ARP. WinNT/IIS-4.0 com "URL Redirection" ainda vulneráveis Sistemas IIS 4.0 que utilizam redirecionamento de URL estão vulneráveis ao CodeRed, mesmo que a correção tenha sido instalada. A solução para este tipo de sistemas é a remoção de todos os redirecionamentos de URL que estão no servidor Web. Para maiores informações acesse o endereço abaixo: http://archives.neohapsis.com/archives/incidents/2001-08/0218.html A empresa SharedKnowledge está disponibilizando gratuitamente uma ferramenta que permite listar todos os redirecionamentos de URL em um servicor IIS: o Check Redirect. http://www.sharedknowledge.net/codered/checkredirect.bat Esta ferramenta necessita do interpretador Perl instalado para ser executada. Ferramentas de remoção do CodRed II A recomendação do CAIS nos casos de contaminação é a realização de uma nova instalação do sistema operacional e a aplicação de todas as correções associadas ao sistema, tais como Servicepacks e Hotfixes, pois devido a presença do backdoor não será possivel determinar o que um atacante pode (ou não) ter realizado no sistema. No entanto, existem algumas ferramentas que eventualmente permitem que seja removido o worm e estão disponíveis nos seguintes links: Microsoft Command Central Sophos Privacy Software Corporation Maiores informações sobre o worm Code Red podem ser encontradas nos seguintes alertas do CAIS: Nova ameaça do Worm RED CODE Worm "Red Code" – Update Worm "Red Code" Vulnerabilidade no serviço de indexação do IIS |  Assinatura dos Alertas do CAIS Assine a lista de alertas do CAIS e receba antecipadamente, por correio eletrônico, as mais recentes notificações sobre segurança em redes e sistemas. Formulário de assinatura dos Alertas do CAIS
Contato com o Cais: +55 (19) 3787-3300 |
