Stabsstelle Informationssicherheit der
Universität Stuttgart (RUS-CERT)
https://cert.uni-stuttgart.de 		logo
Meldung Nr: RUS-CERT-440

[MS/IIS] Neuer Wurm tritt in die Fußstapfen von Code Red (Update)
(2001-08-05 19:07:50+00)

Quelle: http://cert.uni-stuttgart.de/archive/bugtraq/2001/08/msg00074.html

Ein neuer Wurm ist gesichtet worden, der dieselbe Schwachstelle wie Code Red zur Verbreitung nutzt, aber darüberhinaus Schadensroutinen enthält. Die "CodeRedII" genannte Variante installiert Backdoors, wodurch Angreifer leichte Kontrolle über das System erlangen können.

Betroffene Systeme

Einfallstor
HTTP-Anfragen an einen IIS-Server.

Auswirkung
Kompromittierung des Systems.

Typ der Verwundbarkeit
buffer over flow bug

Gefahrenpotential
sehr hoch
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
Wie erwartet ist mittlerweile ein neuer Wurm aufgetaucht, der dieselbe Schwachstelle wie der Wurm Code Red ausnutzt, aber im Gegensatz zu Code Red ein erfolgreich angegriffenes System nicht nur zur Weiterverbreitung nutzt, sondern auch eine Backdoor installiert, mit der Angreifer leicht Kontrolle über das System erlangen können.
Die "CodeRedII" genannte Variante kopiert auf infizierten Systemen die %windir%\system32\cmd.exe nach

wodurch mittels eines GET /scripts/root.exe HTTP/1.0 remote Zugriff auf die MS-DOS Eingabeaufforderung möglich ist.

Des weiteren installiert der "CodeRedII" Wurm auf infizierten Systemen unter ein trojanisches Pferd, welches folgende Registrierungswerte (in einer Endlosschleife) setzt. Es werden dadurch virtuelle Webpfade (c\ auf c:\, d\ auf d:\) gesetzt. Über diese virtuellen Webpfade ist es mittels eines HTTP-Request möglich, die cmd.exe auszuführen, wodurch ein Angreifer das System fernadministrieren kann. Diese Möglichkeit besteht auch, wenn die root.exe entfernt wurde.

Angriffssignatur/Spuren
Ein Angriff des "CodeRedII" erzeugt in den IIS-Logfiles (unter %systemroot%/system32/LogFiles) üblicherweise signifikante Einträge der folgenden Form: 

GET /default.ida?XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
X%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%
u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a  HTTP/1.0

Erkennung eines infizierten Systems
eEye Security stellt ein kostenloses Tool, welches Systeme (bzw. Class-C Netze) auf verwundbare IIS-Webserver überprüft, zur Verfügung:

Durch den "CodeRedII" infizierte Systeme weisen folgende Dateien auf:

Entfernung des CodeRedII
Microsoft stellt neuerdings ein Tool zur Verfügung, welches den CodeRedII Wurm entfernt:

Hinweis: Das Tool von Microsoft entfernt die virtuellen Webpfade (c\, d\) nicht! Diese müssen nach wie vor von Hand entfernt werden (siehe manuelle Entfernung des CodeRedII).

Es sei darauf hingewiesen, dass eine Neuinstallation des Systems bevorzugt werden sollte, da weitere Systemveränderungen (durch Angreifer über das Netz) hätten vorgenommen werden können.

Manuelle Entfernung des CodeRedII
Folgende Dateien, die der Wurm anlegt, können getrost gelöscht werden.

Auf infizierten Systemen könnte das trojanische Pferd c:\explorer.exe bzw. d:\explorer.exe vorhanden sein und ausgeführt werden. Sollten im Taskmanager zwei explorer.exe aufgeführt werden, so muss die explorer.exe, die nur einen Thread besitzt, beendet werden (die Anzahl der Threads können im Taskmanger über Ansicht | Spalten auswählen | Anzahl der Threads eingeblendet werden). Erst dann können die angegebenen Dateien entfernt werden (die Dateien sind versteckt, weshalb in der Kommandozeile (cmd.exe) folgendes ausgeführt werden sollte: attrib -h -s -r c:\explorer.exe und danach del c:\explorer.exe (bzw. d:\)).

Folgende Registrierungswerte müssen gelöscht werden (mittels regedit.exe): Folgende Registrierungswerte müssen geändert werden: Nun sollte das (überfällige) Sicherheitsupdate installiert werden und das System neu gestartet werden.

Besser wäre es jedoch, ein über längere Zeit verwundbares System neu zu installieren und den Webserver von Anfang an sicher zu konfigurieren (sowie die Sicherheitspatches einzuspielen), da eine erfolgreiche Kompromittierung des Systems nicht ausgeschlossen werden kann.

Gegenmaßnahmen
Microsoft stellt seit dem 18.06.2001 ein Sicherheitsupdate, welches die Schwachstelle in der .ida ISAPI entfernt, zur Verfügung.

Nach der Installation des Sicherheitsupdates ist ein Reboot des Systems notwendig (dadurch wird auch ein durch den CodeRed infiziertes System bereinigt - nicht jedoch ein durch den CodeRedII infiziertes System (siehe Entfernung des CodeRedII)).

Cisco stellt ebenfalls im Cisco Security Advisory Sicherheitsupdates für Cisco CallManager, Unity Server, uOne, ICS7750, Building Broadband Service Manager und Cisco DSL Router der 600-Serie zur Verfügung.

Eine tabellarische Übersicht der Microsoft Windows Security Patches (engl. und dt.) mit Links zu dem Mirror der Security Patches auf dem ftp-Server der Universität Stuttgart befindet sich unter:

Weitere Information zu diesem Thema

(tf)

Weitere Artikel zu diesem Thema:

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/

https://cert.uni-stuttgart.de/ticker/article.php?mid=440