ब्लास्टर (कंप्यूटर वर्म)

From Vigyanwiki
Revision as of 17:32, 13 May 2023 by alpha>Artiverma
Blaster
Virus Blaster.jpg
Hex dump of the Blaster worm, showing a message left for Microsoft founder Bill Gates by the programmer
Technical nameAs Blaster
  • Worm.Win32.Blaster (Global Hauri)
  • W32/Blaster (Norman)
  • W32/Blaster (Sophos)
  • W32.Blaster.Worm (Symantec)

As Lovsan

As MSBLAST

  • Worm.Win32.Blaster (Global Hauri)
  • Win32/Msblast (Microsoft)
  • WORM_MSBLAST (Trend Micro)
  • WORM_MSBLAST.[letter] (Trendmicro)
Win32.Poza (CA) Blaster (Panda)
AliasesLovsan, Lovesan, MSBlast
TypeWorm
Isolation2004
Point of originMinnesota (B variant only)
Author(s)Jeffrey Lee Parson (B variant only)
Port(s) usedRemote Procedure Call
Operating system(s) affectedWindows XP and Windows 2000

ब्लास्टर (जिसे लव, लव या एमएस ब्लास्ट के नाम से भी जाना जाता है) कंप्यूटर कीड़ा है जो अगस्त 2003 के समय ऑपरेटिंग प्रणाली विन्डोज़ एक्सपी (XP) एवं विंडोज 2000 चलाने वाले कंप्यूटरों पर विस्तृत हो गया।[1] कृमि पूर्व बार देखा गया था एवं 11 अगस्त, 2003 को विस्तृत होना प्रारम्भ हुआ था। इसके विस्तृत होने की दर 13 अगस्त, 2003 को संक्रमण की संख्या के शिखर पर पहुंचने तक बढ़ी। नेटवर्क (जैसे कि कंपनी या विश्वविद्यालय) संक्रमित हो गया, तो यह तीव्रता से विस्तृत हो गया नेटवर्क के अंदर क्योंकि फ़ायरवॉल सामान्यतः आंतरिक मशीनों को निश्चित पोर्ट का उपयोग करने से नहीं रोकते थे।[2] आईएसपी द्वारा निस्पंदन एवं वर्म के विषय में व्यापक प्रचार ने ब्लास्टर के प्रसार को रोक दिया।

सितंबर 2003 में, हॉपकिंस, मिनेसोटा के 18 वर्षीय जेफरी ली पार्सन को ब्लास्टर वर्म का B संस्करण बनाने के लिए अभियोग लगाया गया था; उन्होंने उत्तरदायित्व स्वीकार किया एवं जनवरी 2005 में उन्हें 18 महीने की जेल की सजा सुनाई गई।[3] मूल A संस्करण का लेखक अज्ञात रहता है।

निर्माण एवं प्रभाव

अदालती प्रपत्रो के अनुसार, मूल ब्लास्टर चीनी समूह के सुरक्षा शोधकर्ताओं के पश्चात बनाया गया था। एक्सफोकस आक्रमण के निष्पादन के लिए अनुमति देने वाले मूल माइक्रोसॉफ्ट पैच को रिवर्स इंजीनियरिंग करें।[4] पोलिश सुरक्षा अनुसंधान समूह प्रलाप के अंतिम चरण द्वारा संशोधन किये गए बफ़र अधिकता का लाभ उठाकर कीड़ा विस्तृतता होती है।[5] प्रभावित ऑपरेटिंग प्रणाली पर वितरित घटक वस्तु प्रतिरूप सुदूर प्रणाली संदेश सेवा में, जिसके लिए MS03-026 [1] में महीने पूर्व एवं पश्चात में पैच निर्धारित किया गया था। MS03-039 इसने कृमि को बड़ी संख्या में यादृच्छिक आईपी स्थानों पर स्वयं को स्पैमिंग करके उपयोगकर्ताओं के बिना संलग्नक खोलने की अनुमति दी। जंगली में चार संस्करण पाए गए हैं।[6] ये आरपीसी में मूल दोष के सबसे प्रसिद्ध कर्म हैं, किन्तु वास्तव में 12 अन्य भेद्यताएं थीं, जिन पर मीडिया का उतना ध्यान नहीं गया।[7] वर्म को (माइक्रोसॉफ्ट विंडोज़ अपडेट डॉट कॉम) Microsoft Update windowsupdate.com के पोर्ट 80 के विरुद्ध SYN बाढ़ प्रारम्भ करने के लिए प्रोग्राम किया गया था। यदि प्रणाली की तिथि 15 अगस्त के पश्चात एवं 31 दिसंबर से पूर्व एवं अन्य महीनों के 15वें दिन के पश्चात है, जिससे सेवा हमले के वितरित इनकार (DDoS) का निर्माण होता है )[6] माइक्रोसॉफ्ट की हानि न्यूनतम थी, क्योंकि लक्षित साइट windowsupdate.microsoft.com के अतिरिक्त windowsupdate.com थी, जिस पर पूर्व को पुनर्निर्देशित किया गया था। वर्म से होने वाले संभावित प्रभावों को अर्घ्य करने के लिए माइक्रोसॉफ्ट अस्थायी रूप से लक्षित साइट को संवृत कर देता है।

कृमि का निष्पादन योग्य, MSBlast.exe,[8] में दो संदेश सम्मिलित हैं। प्रथम पढ़ता है।

मैं सिर्फ लव यू सैन कहना चाहता हूं।

इस संदेश ने कृमि को लवसन का वैकल्पिक नाम दिया। दूसरा पढ़ता है।

बिली गेट्स आप इसे क्यों संभव बनाते हैं? पैसा कमाना संवृत करो
एवं अपने सॉफ्टवेयर को ठीक करें !! </ब्लॉककोट>

यह Microsoft के सह-संस्थापक एवं कृमि के लक्ष्य बिल गेट्स के लिए एक संदेश है।

कीड़ा निम्न रजिस्ट्री प्रविष्टि भी बनाता है ताकि यह हर बार विंडोज के प्रारम्भ होने पर लॉन्च हो जाए:

<ब्लॉककोट> HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ विंडोज़ ऑटो अपडेट = msblast.exe </ब्लॉककोट>

समयरेखा

  • 28 मई, 2003: माइक्रोसॉफ्ट ने एक पैच निर्धारित किया जो उपयोगकर्ताओं को वेलचिया द्वारा उपयोग किए जाने वाले WebDAV में शोषण से बचाएगा। (वेल्चिया ने MSBlast के समान शोषण का उपयोग किया था, किन्तु प्रचार का एक अतिरिक्त तरीका था जो इस पैच में तय किया गया था। इस विधि का उपयोग केवल 200,000 RPC DCOM हमलों के पश्चात किया गया था - MSBlast द्वारा उपयोग किया जाने वाला रूप।)[9][10]
  • 5 जुलाई 2003: माइक्रोसॉफ्ट द्वारा 16 तारीख को निर्धारित पैच के लिए टाइमस्टैम्प।[2]
  • 16 जुलाई, 2003: माइक्रोसॉफ्ट ने एक पैच निर्धारित किया जो अभी तक अज्ञात MSBlast से उपयोगकर्ताओं की रक्षा करेगा। साथ ही उन्होंने शोषण का वर्णन करते हुए एक बुलेटिन भी निर्धारित किया।[2][11]
  • 16 जुलाई, 2003 के आसपास: व्हाइट हैट हैकर्स प्रूफ-ऑफ-कॉन्सेप्ट कोड बनाते हैं, जो सत्यापित करते हैं कि पैच न किए गए प्रणाली अर्घ्यजोर हैं। कोड निर्धारित नहीं किया गया था।[5]*17 जुलाई, 2003: सीईआरटी/सीसी ने एक चेतावनी निर्धारित की एवं पोर्ट 135 को ब्लॉक करने का सुझाव दिया।[12]
  • 21 जुलाई, 2003: सीईआरटी/सीसी ने पोर्ट्स 139 एवं 445 को भी ब्लॉक करने का सुझाव दिया।[12]*25 जुलाई 2003: xFocus RPC बग का उपयोग करने के बारे में जानकारी निर्धारित करता है जिसे ठीक करने के लिए Microsoft ने 16 जुलाई का पैच निर्धारित किया था।[13]
  • 1 अगस्त, 2003: यू.एस. ने आरपीसी बग का शोषण करने वाले मैलवेयर की तलाश में रहने के लिए एक चेतावनी निर्धारित की।[5]*11 अगस्त 2003 से कुछ समय पहले: RPC शोषण का उपयोग करने वाले अन्य वायरस मौजूद हैं।[7]* 11 अगस्त, 2003: वर्म का मूल संस्करण इंटरनेट पर दिखाई दिया।[14]
  • 11 अगस्त, 2003: सिमेंटेक एंटीवायरस एक त्वरित रिलीज सुरक्षा अद्यतन निर्धारित करता है।[6]*11 अगस्त 2003, शाम: एंटीवायरस एवं सुरक्षा फर्मों ने विंडोज अपडेट चलाने के लिए अलर्ट निर्धारित किए।[14]*12 अगस्त 2003: संक्रमित प्रणालियों की संख्या 30,000 बताई गई है।[14]* 13 अगस्त 2003: दो नए कीड़े प्रकट हुए एवं विस्तृतने लगे। (सोफोस, MSBlast का एक प्रकार एवं W32/RpcSpybot-A, एक पूरी तरह से नया कीड़ा जो समान शोषण का उपयोग करता है) [15]
  • 15 अगस्त 2003: संक्रमित प्रणालियों की संख्या 423,000 बताई गई है।[16]
  • 16 अगस्त 2003: windowsupdate.com के खिलाफ DDoS हमला प्रारम्भ। (काफी हद तक असफल क्योंकि वह URL केवल वास्तविक साइट, windowsupdate.microsoft.com पर रीडायरेक्ट है।)[14]*18 अगस्त, 2003: माइक्रोसॉफ्ट ने एमएसब्लास्ट एवं इसके प्रकारों के बारे में अलर्ट निर्धारित किया।[17]
  • 18 अगस्त, 2003: संबंधित एंटी-वर्म, वेल्चिया, इंटरनेट पर दिखाई देता है।[18]
  • 19 अगस्त 2003: सिमेंटेक ने वेल्चिया के अपने जोखिम मूल्यांकन को उच्च (श्रेणी 4) में उन्नत किया।[19]
  • 25 अगस्त 2003: McAfee ने अपने जोखिम आकलन को घटाकर मध्यम कर दिया।Cite error: Invalid <ref> tag; invalid names, e.g. too many
  • 27 अगस्त, 2003: वर्म के एक प्रकार में एचपी के खिलाफ एक संभावित डीडीओएस हमले की खोज की गई।[6]*1 जनवरी 2004: वेल्चिया ने खुद को हटा दिया।[18]*13 जनवरी 2004: माइक्रोसॉफ्ट ने एमएसब्लास्ट वर्म एवं इसके रूपों को हटाने के लिए एक अकेला उपकरण निर्धारित किया।[20]
  • 15 फरवरी, 2004: संबंधित कृमि वेलचिया का एक प्रकार इंटरनेट पर खोजा गया है।[21]
  • 26 फरवरी, 2004: सिमेंटेक ने वेल्चिया वर्म के अपने जोखिम मूल्यांकन को अर्घ्य कर दिया (श्रेणी 2)।[18]
  • 12 मार्च 2004: McAfee ने अपने जोखिम आकलन को घटाकर निम्न कर दिया।Cite error: Invalid <ref> tag; invalid names, e.g. too many
  • 21 अप्रैल, 2004: एक अन्य प्रकार की खोज की गई। <रेफरी नाम = वायरस प्रोफाइल: W32/Lovsan.worm.a />
  • 28 जनवरी, 2005: MSBlaster के बी वेरिएंट के निर्माता को 18 महीने जेल की सजा सुनाई गई है।[22]


दुष्प्रभाव

हालाँकि वर्म केवल Windows 2000 या Windows XP चलाने वाले प्रणाली पर विस्तृत सकता है, यह Windows NT के अन्य संस्करणों को चलाने वाले प्रणाली पर RPC सेवा में अस्थिरता पैदा कर सकता है, जिसमें Windows Server 2003 एवं Windows XP Professional x64 संस्करण शामिल हैं। विशेष रूप से, वर्म Windows Server 2003 में नहीं विस्तृतता है क्योंकि Windows Server 2003 को /GS स्विच के साथ संकलित किया गया था, जिसने बफर ओवरफ़्लो का पता लगाया एवं RPCSS प्रक्रिया को संवृत कर दिया।[23] जब संक्रमण होता है, तो बफर ओवरफ्लो आरपीसी सेवा को क्रैश करने का कारण बनता है, जिससे विंडोज़ निम्न संदेश प्रदर्शित करता है एवं फिर स्वचालित रूप से 60 सेकंड के पश्चात स्वचालित रूप से रीबूट होता है।[24]

System Shutdown:

This system is shutting down. Please save all work in progress and log off. Any unsaved changes will be lost. This shutdown was initiated by NT AUTHORITY\SYSTEM

Time before shutdown: hours:minutes:seconds

Message:

Windows must now restart because the Remote Procedure Call (RPC) Service terminated unexpectedly.

यह पहला संकेत था कि कई उपयोगकर्ताओं को संक्रमण हुआ था; समझौता मशीनों पर हर स्टार्टअप के कुछ मिनट पश्चात यह अक्सर होता है। काउंटडाउन को रोकने का एक सरल संकल्प है शटडाउन/ए अर्घ्यांड चलाना,[25] खाली (उपयोगकर्ताओं के बिना) स्वागत स्क्रीन जैसे कुछ दुष्प्रभाव पैदा कर रहा है।[26] वेल्चिया वर्म का एक समान प्रभाव था। महीनों पश्चात, सैसर (कंप्यूटर वर्म) सामने आया, जिसके कारण एक समान संदेश दिखाई दिया।

यह भी देखें

संदर्भ

  1. ↑ "CERT Advisory CA-2003-20: W32/Blaster worm". CERT/CC. 2003-08-14. Archived from the original on 2014-10-17. Retrieved 2018-11-03.
  2. ↑ 2.0 2.1 2.2 "MS03-026: Buffer Overrun in RPC May Allow Code Execution". Microsoft Support. Microsoft Corporation. Retrieved 2018-11-03.
  3. ↑ "Minnesota Man Sentenced to 18 Months in Prison for Creating and Unleashing a Variant of the MS Blaster Computer Worm". United States Department of Justice. 2005-01-28. Retrieved 2021-02-17.
  4. ↑ Thomson, Iain (2003-09-01). "एफबीआई ने 'बेवकूफ' ब्लास्टर बी को गिरफ्तार किया". vnunet.com. Archived from the original on 2008-11-01. Retrieved 2018-11-03.
  5. ↑ 5.0 5.1 5.2 "MSBlast W32.Blaster.Worm / LovSan :: removal instructions". able2know.org. 2003-08-12. Retrieved 2018-11-03.
  6. ↑ 6.0 6.1 6.2 6.3 "W32.Blaster.Worm". Symantec. 2003-12-09. Retrieved 2018-11-03.
  7. ↑ 7.0 7.1 "एक भेद्यता का जीवनचक्र" (PDF). internet Security Systems, Inc. 2005. Archived from the original (PDF) on 2016-12-24. Retrieved 2018-11-03.
  8. ↑ "Worm:Win32/Msblast.A". Microsoft Corporation. Retrieved 2018-11-03.
  9. ↑ Bransfield, Gene (2003-12-18). "वेल्चिया वर्म" (PDF). pp. 14, 17. Retrieved 2018-11-03.
  10. ↑ "Buffer Overrun in Windows Kernel Message Handling could Lead to Elevated Privileges (811493)". Retrieved 2018-11-03.
  11. ↑ "Microsoft Windows RPC कार्यान्वयन में दोष". 2003-07-16. Archived from the original on 2016-03-04.
  12. ↑ 12.0 12.1 "माइक्रोसॉफ्ट आरपीसी में बफर ओवरफ्लो". 2003-08-08. Archived from the original on 2014-07-15. Retrieved 2018-11-03.
  13. ↑ "विंडोज आरपीसी इंटरफेस में एलएसडी के बफर ओवररन का विश्लेषण". 2003-07-25. Archived from the original on 2018-02-17. Retrieved 2018-11-03.
  14. ↑ 14.0 14.1 14.2 14.3 Roberts, Paul F. (2003-08-12). "फैल रहा है ब्लास्टर वर्म, विशेषज्ञों ने दी हमले की चेतावनी". InfoWorld. Retrieved 2018-11-03.
  15. ↑ Roberts, Paul F. (2003-08-13). "नया ब्लास्टर वर्म संस्करण जारी है". InfoWorld. Retrieved 2018-11-03.
  16. ↑ Roberts, Paul F. (2003-08-18). "ब्लास्टर वर्म बस्ट पर हमला करता है". InfoWorld. Retrieved 2018-11-03.
  17. ↑ "ब्लास्टर वर्म और इसके प्रकारों के बारे में वायरस अलर्ट". Microsoft Support. Microsoft Corporation. Retrieved 2018-11-03.
  18. ↑ 18.0 18.1 18.2 "W32.Welchia.Worm". Symantec. 2017-08-11. Retrieved 2018-11-03.
  19. ↑ Naraine, Ryan (2003-08-19). "'दोस्ताना' वेल्चिया वर्म कहर बरपा रहा है". InternetNews.com. Retrieved 2018-11-03.
  20. ↑ "A tool is available to remove Blaster worm and Nachi worm infections from computers that are running Windows 2000 or Windows XP". Microsoft Support. Microsoft Corporation. Archived from the original on 2014-08-06. Retrieved 2018-11-03.
  21. ↑ "W32.Welchia.C.Worm". Symantec. 2007-02-13. Retrieved 2018-11-03.
  22. ↑ "Minnesota Man Sentenced to 18 Months in Prison for Creating and Unleashing a Variant of the MS Blaster Computer Worm". 2005-01-28. Archived from the original on 2014-07-14. Retrieved 2018-11-03.
  23. ↑ Howard, Michael (2004-05-23). "Why Blaster did not infect Windows Server 2003". Microsoft Developer. Microsoft Corporation. Retrieved 2018-11-03.
  24. ↑ "Worm_MSBlast.A". TrendMicro.com. Retrieved 2018-11-03.
  25. ↑ "Blaster Worm-Virus or Its Variants Cause the Computer to Shutdown with an NT AUTHORITY\SYSTEM Error Message Regarding Remote Procedure Call (RPC) Service". HP Consumer Support. HP. Archived from the original on 2014-11-10. Retrieved 2018-11-03.
  26. ↑ "विस्फ़ोटक कीड़ा". Techopedia. Retrieved 2018-11-03.
Retrieved from ‘https://www.vigyanwiki.in/index.php?title=ब्लास्टर_(कंप्यूटर_वर्म)&oldid=165409’