ब्लास्टर (कंप्यूटर वर्म)

From Vigyanwiki
Revision as of 14:12, 13 May 2023 by alpha>Artiverma
Blaster
Virus Blaster.jpg
Hex dump of the Blaster worm, showing a message left for Microsoft founder Bill Gates by the programmer
Technical nameAs Blaster
  • Worm.Win32.Blaster (Global Hauri)
  • W32/Blaster (Norman)
  • W32/Blaster (Sophos)
  • W32.Blaster.Worm (Symantec)

As Lovsan

As MSBLAST

  • Worm.Win32.Blaster (Global Hauri)
  • Win32/Msblast (Microsoft)
  • WORM_MSBLAST (Trend Micro)
  • WORM_MSBLAST.[letter] (Trendmicro)
Win32.Poza (CA) Blaster (Panda)
AliasesLovsan, Lovesan, MSBlast
TypeWorm
Isolation2004
Point of originMinnesota (B variant only)
Author(s)Jeffrey Lee Parson (B variant only)
Port(s) usedRemote Procedure Call
Operating system(s) affectedWindows XP and Windows 2000

ब्लास्टर (जिसे लव, लव या एमएस ब्लास्ट के नाम से भी जाना जाता है) कंप्यूटर कीड़ा है जो अगस्त 2003 के समय ऑपरेटिंग प्रणाली विन्डोज़ एक्सपी (XP) एवं विंडोज 2000 चलाने वाले कंप्यूटरों पर विस्तृत हो गया।[1] कृमि पूर्व बार देखा गया था एवं 11 अगस्त, 2003 को विस्तृत होना प्रारम्भ हुआ था। इसके विस्तृत होने की दर 13 अगस्त, 2003 को संक्रमण की संख्या के शिखर पर पहुंचने तक बढ़ी। नेटवर्क (जैसे कि कंपनी या विश्वविद्यालय) संक्रमित हो गया, तो यह तीव्रता से विस्तृत हो गया नेटवर्क के अंदर क्योंकि फ़ायरवॉल सामान्यतः आंतरिक मशीनों को निश्चित पोर्ट का उपयोग करने से नहीं रोकते थे।[2] आईएसपी द्वारा निस्पंदन एवं वर्म के विषय में व्यापक प्रचार ने ब्लास्टर के प्रसार को रोक दिया।

सितंबर 2003 में, हॉपकिंस, मिनेसोटा के एक 18 वर्षीय जेफरी ली पार्सन को ब्लास्टर वर्म का बी संस्करण बनाने के लिए अभियोग लगाया गया था; उन्होंने जिम्मेदारी स्वीकार की एवं जनवरी 2005 में उन्हें 18 महीने की जेल की सजा सुनाई गई।[3] मूल A संस्करण का लेखक अज्ञात रहता है।

निर्माण एवं प्रभाव

अदालती दस्तावेजों के अनुसार, मूल ब्लास्टर चीनी समूह के सुरक्षा शोधकर्ताओं के बाद बनाया गया था Xfocus हमले के निष्पादन के लिए अनुमति देने वाले मूल Microsoft पैच को रिवर्स इंजीनियरिंग करें।[4] पोलिश सुरक्षा अनुसंधान समूह लास्ट स्टेज ऑफ़ डेलिरियम द्वारा खोजे गए बफ़र अधिकता का फायदा उठाकर कीड़ा विस्तृतता है[5] प्रभावित ऑपरेटिंग प्रणाली पर वितरित घटक ऑब्जेक्ट मॉडल सुदूर प्रणाली संदेश सेवा में, जिसके लिए [1] में एक महीने पहले एक पैच जारी किया गया था ms03-026 MS03-026] एवं बाद में MS03-039 में। इसने कृमि को बड़ी संख्या में यादृच्छिक आईपी पतों पर स्वयं को स्पैमिंग करके उपयोगकर्ताओं के बिना संलग्नक खोलने की अनुमति दी। जंगली में चार संस्करणों का पता चला है।[6] ये आरपीसी में मूल दोष के सबसे प्रसिद्ध कारनामे हैं, लेकिन वास्तव में 12 अन्य भेद्यताएं थीं जिन पर मीडिया का उतना ध्यान नहीं गया।[7] वर्म को Microsoft Update|windowsupdate.com के पोर्ट 80 के विरुद्ध एक SYN बाढ़ प्रारम्भ करने के लिए प्रोग्राम किया गया था यदि प्रणाली की तारीख 15 अगस्त के बाद एवं 31 दिसंबर से पहले एवं अन्य महीनों के 15वें दिन के बाद है, जिससे सेवा हमले के वितरित इनकार (DDoS) का निर्माण होता है ) साइट के खिलाफ।[6]Microsoft को नुकसान न्यूनतम था क्योंकि लक्षित साइट windowsupdate.microsoft.com के बजाय windowsupdate.com थी, जिस पर पूर्व को पुनर्निर्देशित किया गया था। वर्म से होने वाले संभावित प्रभावों को कम करने के लिए Microsoft अस्थायी रूप से लक्षित साइट को बंद कर देता है।[citation needed]

कृमि का निष्पादन योग्य, MSBlast.exe,[8] दो संदेश शामिल हैं। पहला पढ़ता है:

<ब्लॉककोट> मैं सिर्फ लव यू सैन कहना चाहता हूं !! </ब्लॉककोट>

इस संदेश ने कृमि को लवसन का वैकल्पिक नाम दिया। दूसरा पढ़ता है:

<ब्लॉककोट> बिली गेट्स आप इसे क्यों संभव बनाते हैं ? पैसा कमाना बंद करो
एवं अपने सॉफ्टवेयर को ठीक करें !! </ब्लॉककोट>

यह Microsoft के सह-संस्थापक एवं कृमि के लक्ष्य बिल गेट्स के लिए एक संदेश है।

कीड़ा निम्न रजिस्ट्री प्रविष्टि भी बनाता है ताकि यह हर बार विंडोज के प्रारम्भ होने पर लॉन्च हो जाए:

<ब्लॉककोट> HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ विंडोज़ ऑटो अपडेट = msblast.exe </ब्लॉककोट>

समयरेखा

  • 28 मई, 2003: माइक्रोसॉफ्ट ने एक पैच जारी किया जो उपयोगकर्ताओं को वेलचिया द्वारा उपयोग किए जाने वाले WebDAV में शोषण से बचाएगा। (वेल्चिया ने MSBlast के समान शोषण का उपयोग किया था, लेकिन प्रचार का एक अतिरिक्त तरीका था जो इस पैच में तय किया गया था। इस विधि का उपयोग केवल 200,000 RPC DCOM हमलों के बाद किया गया था - MSBlast द्वारा उपयोग किया जाने वाला रूप।)[9][10]
  • 5 जुलाई 2003: माइक्रोसॉफ्ट द्वारा 16 तारीख को जारी पैच के लिए टाइमस्टैम्प।[2]
  • 16 जुलाई, 2003: माइक्रोसॉफ्ट ने एक पैच जारी किया जो अभी तक अज्ञात MSBlast से उपयोगकर्ताओं की रक्षा करेगा। साथ ही उन्होंने शोषण का वर्णन करते हुए एक बुलेटिन भी जारी किया।[2][11]
  • 16 जुलाई, 2003 के आसपास: व्हाइट हैट हैकर्स प्रूफ-ऑफ-कॉन्सेप्ट कोड बनाते हैं, जो सत्यापित करते हैं कि पैच न किए गए प्रणाली कमजोर हैं। कोड जारी नहीं किया गया था।[5]*17 जुलाई, 2003: सीईआरटी/सीसी ने एक चेतावनी जारी की एवं पोर्ट 135 को ब्लॉक करने का सुझाव दिया।[12]
  • 21 जुलाई, 2003: सीईआरटी/सीसी ने पोर्ट्स 139 एवं 445 को भी ब्लॉक करने का सुझाव दिया।[12]*25 जुलाई 2003: xFocus RPC बग का उपयोग करने के बारे में जानकारी जारी करता है जिसे ठीक करने के लिए Microsoft ने 16 जुलाई का पैच जारी किया था।[13]
  • 1 अगस्त, 2003: यू.एस. ने आरपीसी बग का शोषण करने वाले मैलवेयर की तलाश में रहने के लिए एक चेतावनी जारी की।[5]*11 अगस्त 2003 से कुछ समय पहले: RPC शोषण का उपयोग करने वाले अन्य वायरस मौजूद हैं।[7]* 11 अगस्त, 2003: वर्म का मूल संस्करण इंटरनेट पर दिखाई दिया।[14]
  • 11 अगस्त, 2003: सिमेंटेक एंटीवायरस एक त्वरित रिलीज सुरक्षा अद्यतन जारी करता है।[6]*11 अगस्त 2003, शाम: एंटीवायरस एवं सुरक्षा फर्मों ने विंडोज अपडेट चलाने के लिए अलर्ट जारी किए।[14]*12 अगस्त 2003: संक्रमित प्रणालियों की संख्या 30,000 बताई गई है।[14]* 13 अगस्त 2003: दो नए कीड़े प्रकट हुए एवं विस्तृतने लगे। (सोफोस, MSBlast का एक प्रकार एवं W32/RpcSpybot-A, एक पूरी तरह से नया कीड़ा जो समान शोषण का उपयोग करता है) [15]
  • 15 अगस्त 2003: संक्रमित प्रणालियों की संख्या 423,000 बताई गई है।[16]
  • 16 अगस्त 2003: windowsupdate.com के खिलाफ DDoS हमला प्रारम्भ। (काफी हद तक असफल क्योंकि वह URL केवल वास्तविक साइट, windowsupdate.microsoft.com पर रीडायरेक्ट है।)[14]*18 अगस्त, 2003: माइक्रोसॉफ्ट ने एमएसब्लास्ट एवं इसके प्रकारों के बारे में अलर्ट जारी किया।[17]
  • 18 अगस्त, 2003: संबंधित एंटी-वर्म, वेल्चिया, इंटरनेट पर दिखाई देता है।[18]
  • 19 अगस्त 2003: सिमेंटेक ने वेल्चिया के अपने जोखिम मूल्यांकन को उच्च (श्रेणी 4) में उन्नत किया।[19]
  • 25 अगस्त 2003: McAfee ने अपने जोखिम आकलन को घटाकर मध्यम कर दिया।Cite error: Invalid <ref> tag; invalid names, e.g. too many
  • 27 अगस्त, 2003: वर्म के एक प्रकार में एचपी के खिलाफ एक संभावित डीडीओएस हमले की खोज की गई।[6]*1 जनवरी 2004: वेल्चिया ने खुद को हटा दिया।[18]*13 जनवरी 2004: माइक्रोसॉफ्ट ने एमएसब्लास्ट वर्म एवं इसके रूपों को हटाने के लिए एक अकेला उपकरण जारी किया।[20]
  • 15 फरवरी, 2004: संबंधित कृमि वेलचिया का एक प्रकार इंटरनेट पर खोजा गया है।[21]
  • 26 फरवरी, 2004: सिमेंटेक ने वेल्चिया वर्म के अपने जोखिम मूल्यांकन को कम कर दिया (श्रेणी 2)।[18]
  • 12 मार्च 2004: McAfee ने अपने जोखिम आकलन को घटाकर निम्न कर दिया।Cite error: Invalid <ref> tag; invalid names, e.g. too many
  • 21 अप्रैल, 2004: एक अन्य प्रकार की खोज की गई। <रेफरी नाम = वायरस प्रोफाइल: W32/Lovsan.worm.a />
  • 28 जनवरी, 2005: MSBlaster के बी वेरिएंट के निर्माता को 18 महीने जेल की सजा सुनाई गई है।[22]


दुष्प्रभाव

हालाँकि वर्म केवल Windows 2000 या Windows XP चलाने वाले प्रणाली पर विस्तृत सकता है, यह Windows NT के अन्य संस्करणों को चलाने वाले प्रणाली पर RPC सेवा में अस्थिरता पैदा कर सकता है, जिसमें Windows Server 2003 एवं Windows XP Professional x64 संस्करण शामिल हैं। विशेष रूप से, वर्म Windows Server 2003 में नहीं विस्तृतता है क्योंकि Windows Server 2003 को /GS स्विच के साथ संकलित किया गया था, जिसने बफर ओवरफ़्लो का पता लगाया एवं RPCSS प्रक्रिया को बंद कर दिया।[23] जब संक्रमण होता है, तो बफर ओवरफ्लो आरपीसी सेवा को क्रैश करने का कारण बनता है, जिससे विंडोज़ निम्न संदेश प्रदर्शित करता है एवं फिर स्वचालित रूप से 60 सेकंड के बाद स्वचालित रूप से रीबूट होता है।[24]

System Shutdown:

This system is shutting down. Please save all work in progress and log off. Any unsaved changes will be lost. This shutdown was initiated by NT AUTHORITY\SYSTEM

Time before shutdown: hours:minutes:seconds

Message:

Windows must now restart because the Remote Procedure Call (RPC) Service terminated unexpectedly.

यह पहला संकेत था कि कई उपयोगकर्ताओं को संक्रमण हुआ था; समझौता मशीनों पर हर स्टार्टअप के कुछ मिनट बाद यह अक्सर होता है। काउंटडाउन को रोकने का एक सरल संकल्प है शटडाउन/ए कमांड चलाना,[25] खाली (उपयोगकर्ताओं के बिना) स्वागत स्क्रीन जैसे कुछ दुष्प्रभाव पैदा कर रहा है।[26] वेल्चिया वर्म का एक समान प्रभाव था। महीनों बाद, सैसर (कंप्यूटर वर्म) सामने आया, जिसके कारण एक समान संदेश दिखाई दिया।

यह भी देखें

संदर्भ

  1. ↑ "CERT Advisory CA-2003-20: W32/Blaster worm". CERT/CC. 2003-08-14. Archived from the original on 2014-10-17. Retrieved 2018-11-03.
  2. ↑ 2.0 2.1 2.2 "MS03-026: Buffer Overrun in RPC May Allow Code Execution". Microsoft Support. Microsoft Corporation. Retrieved 2018-11-03.
  3. ↑ "Minnesota Man Sentenced to 18 Months in Prison for Creating and Unleashing a Variant of the MS Blaster Computer Worm". United States Department of Justice. 2005-01-28. Retrieved 2021-02-17.
  4. ↑ Thomson, Iain (2003-09-01). "एफबीआई ने 'बेवकूफ' ब्लास्टर बी को गिरफ्तार किया". vnunet.com. Archived from the original on 2008-11-01. Retrieved 2018-11-03.
  5. ↑ 5.0 5.1 5.2 "MSBlast W32.Blaster.Worm / LovSan :: removal instructions". able2know.org. 2003-08-12. Retrieved 2018-11-03.
  6. ↑ 6.0 6.1 6.2 6.3 "W32.Blaster.Worm". Symantec. 2003-12-09. Retrieved 2018-11-03.
  7. ↑ 7.0 7.1 "एक भेद्यता का जीवनचक्र" (PDF). internet Security Systems, Inc. 2005. Archived from the original (PDF) on 2016-12-24. Retrieved 2018-11-03.
  8. ↑ "Worm:Win32/Msblast.A". Microsoft Corporation. Retrieved 2018-11-03.
  9. ↑ Bransfield, Gene (2003-12-18). "वेल्चिया वर्म" (PDF). pp. 14, 17. Retrieved 2018-11-03.
  10. ↑ "Buffer Overrun in Windows Kernel Message Handling could Lead to Elevated Privileges (811493)". Retrieved 2018-11-03.
  11. ↑ "Microsoft Windows RPC कार्यान्वयन में दोष". 2003-07-16. Archived from the original on 2016-03-04.
  12. ↑ 12.0 12.1 "माइक्रोसॉफ्ट आरपीसी में बफर ओवरफ्लो". 2003-08-08. Archived from the original on 2014-07-15. Retrieved 2018-11-03.
  13. ↑ "विंडोज आरपीसी इंटरफेस में एलएसडी के बफर ओवररन का विश्लेषण". 2003-07-25. Archived from the original on 2018-02-17. Retrieved 2018-11-03.
  14. ↑ 14.0 14.1 14.2 14.3 Roberts, Paul F. (2003-08-12). "फैल रहा है ब्लास्टर वर्म, विशेषज्ञों ने दी हमले की चेतावनी". InfoWorld. Retrieved 2018-11-03.
  15. ↑ Roberts, Paul F. (2003-08-13). "नया ब्लास्टर वर्म संस्करण जारी है". InfoWorld. Retrieved 2018-11-03.
  16. ↑ Roberts, Paul F. (2003-08-18). "ब्लास्टर वर्म बस्ट पर हमला करता है". InfoWorld. Retrieved 2018-11-03.
  17. ↑ "ब्लास्टर वर्म और इसके प्रकारों के बारे में वायरस अलर्ट". Microsoft Support. Microsoft Corporation. Retrieved 2018-11-03.
  18. ↑ 18.0 18.1 18.2 "W32.Welchia.Worm". Symantec. 2017-08-11. Retrieved 2018-11-03.
  19. ↑ Naraine, Ryan (2003-08-19). "'दोस्ताना' वेल्चिया वर्म कहर बरपा रहा है". InternetNews.com. Retrieved 2018-11-03.
  20. ↑ "A tool is available to remove Blaster worm and Nachi worm infections from computers that are running Windows 2000 or Windows XP". Microsoft Support. Microsoft Corporation. Archived from the original on 2014-08-06. Retrieved 2018-11-03.
  21. ↑ "W32.Welchia.C.Worm". Symantec. 2007-02-13. Retrieved 2018-11-03.
  22. ↑ "Minnesota Man Sentenced to 18 Months in Prison for Creating and Unleashing a Variant of the MS Blaster Computer Worm". 2005-01-28. Archived from the original on 2014-07-14. Retrieved 2018-11-03.
  23. ↑ Howard, Michael (2004-05-23). "Why Blaster did not infect Windows Server 2003". Microsoft Developer. Microsoft Corporation. Retrieved 2018-11-03.
  24. ↑ "Worm_MSBlast.A". TrendMicro.com. Retrieved 2018-11-03.
  25. ↑ "Blaster Worm-Virus or Its Variants Cause the Computer to Shutdown with an NT AUTHORITY\SYSTEM Error Message Regarding Remote Procedure Call (RPC) Service". HP Consumer Support. HP. Archived from the original on 2014-11-10. Retrieved 2018-11-03.
  26. ↑ "विस्फ़ोटक कीड़ा". Techopedia. Retrieved 2018-11-03.
Retrieved from ‘https://www.vigyanwiki.in/index.php?title=ब्लास्टर_(कंप्यूटर_वर्म)&oldid=165405’