安全公告CN-SA04-29A 发布日期：2004-6-3 安全等级： /upload/p1_23xs25.jpg 公开程度：公共 　　利用微软LSASS漏洞的新蠕虫“考格”初现于2004年5月22日，国际通称为“Korgo”。在历经A、B、C、D、E多个变种之后，6月2日，“考格”又出现了新的变种“Win32.Korgo.F”。同时，由于事件上报数量的增加，赛门铁克将其严重级别由2级提升至3级。该变种除了与以往蠕虫类似在TCP 445端口上利用LSASS漏洞外，还同时监听TCP 113、3067端口和一些随机开启的端口。CNCERT/CC怀疑近日所监测到的利用LSASS漏洞数据量的剧增可能与“考格”F变种的出现有关。 　　CNCERT/CC已对此进行分析并开始持续监测。 分析： 　　蠕虫感染系统后，做以下操作： 　　1. 从执行蠕虫所在的文件夹中删除Ftpupd.exe文件。 　　2. 从注册表HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun 删除下列键值： 　　　　“System Service Manager” 　　　　“System Restore Service” 　　　　“Bot Loader” 　　　　“Windows Update Service” 　　　　“WinUpdate” 　　　　“Windows Security Manager” 　　　　“avserve.exe” 　　　　“avserve2.exe” 　　3. 在注册表HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun 中寻找键值: "Update Service" 　　　　a. 如果"Update Service" 的值并不存在, 蠕虫则在注册表HKEY_LOCAL_MACHINESOFTWAREMicrosoftWireless 中加入如下键值："Client"="1" 　　　　b. 如果 "Update Service"的值存在，但文件的路径不同，则该蠕虫有如下行为： 　　　　c. 拷贝其自身为%System% .exe. 注意: %System% 是一个变量. 蠕虫会定为系统文件夹并拷贝其自身到该文件夹中。默认值如下C:WindowsSystem (Windows 95/98/Me), C:WinntSystem32 (Windows NT/2000), 以及 C:WindowsSystem32 (Windows XP). 　　　　d. 在注册表 HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows CurrentVersionRun加入键值"Disk Defragmenter"="%System% .exe" 　　　　e. 启动 .exe, 并结束当前的进程。 　　4. 企图在Explorer.exe加载一个功能座位线程 　　如果成功的话该线程将继续在Explorer.exe 进程中运行。所有下列步骤中的行为将显示是Explorer.exe进程所为，并且该蠕虫将不会在Windows中的任务管理器中显示。 　　如果没有成功，他还将作为他自身的进程运行。 　　5. 创建额外的线程并且做如下步骤： 　　　　注意: 当蠕虫建立下面线程, 它防止计算机关机和重启。 　　　　• 打开TCP 113, 3067端口和其他的随机端口。此蠕虫将键听这些端口并且在他受到特定的消息后，他将拷贝其自身到远程电脑中。 　　　　• 企图在TCP445端口上利用LSASS漏洞 (参看微软公告Microsoft Security Bulletin MS04-011)来针对随机IP地址。如果蠕虫成功发现一个存在漏洞的电脑，该电脑将会试图通过一个蠕虫打开得端口连接回被感染的电脑。 　　　　• 试图连接到如下的IRC服务器当中并且接收命令： 　　　　　　• gaspode.zanet.org.za 　　　　　　• lia.zanet.net 　　　　　　• irc.tsk.ru 　　　　　　• london.uk.eu.undernet.org 　　　　　　• washington.dc.us.undernet.org 　　　　　　• los-angeles.ca.us.undernet.org 　　　　　　• brussels.be.eu.undernet.org 　　　　　　• caen.fr.eu.undernet.org 　　　　　　• flanders.be.eu.undernet.org 　　　　　　• graz.at.eu.undernet.org 　　　　　　• moscow-advocat.ru 　　　　　　• gaz-prom.ru 受影响的平台： 　　Microsoft windows 2000 　　Microsoft windows XP 解决方案： 　个人用户： 　　1.安装相应的补丁程序 　　2.如果无法及时安装补丁程序，请使用防火墙阻断以下端口的数据连接445/tcp、113/tcp、3067/tcp。 网络用户： 　　（以Cisco设备为例）　 　　在边界路由器上添加如下规则阻断445、113、3067端口上的数据 　　access-list 110 deny tcp any any eq 445 　　access-list 110 deny tcp any any eq113 　　access-list 110 deny tcp any any eq 3067 　　注意使用此规则后，可能会影响到Microsoft-DS、SMPTE服务的正常运行。 手动清除： （1）打开注册表编辑器，删除不确定来源的键值 （2）安装微软相对应的补丁。 补丁下载： 　　 http://www.microsoft.com/china/technet/security/bulletin/ms04-011.mspx 参考信息： 　　 http://www.cert.org.cn/articles/bulletin/common/2004041421585.shtml 　　 http://www.microsoft.com/china/technet/security/bulletin/ms04-011.mspx 其他信息： 　　CVE编号： CAN-2003-0533 　　首次发布日期：2004-6-3 　　修订次数：0 安全公告文档编写： 　　CNCERT/CC ----------------------------------------------------------------------------------- 　　CNCERT/CC在发布安全公告信息之前，都力争保证每条公告的准确性和可靠性。然而，采纳和实施公告中的建议则完全由用户自己决定，其可能引起的问题和结果也完全由用户承担。是否采纳我们的建议取决于您个人或您企业的决策，您应考虑其内容是否符合您个人或您企业的安全策略和流程。 　　在任何情况下，如果您确信您的计算机系统受到危害或是攻击，我们鼓励您及时告知国家计算机网络应急技术处理协调中心： http://www.cert.org.cn/servlet/Incident 　　同时，我们也鼓励所有计算机与网络安全研究机构，包括厂商和科研院所，向我们报告贵单位所发现的漏洞信息。我们将对所有漏洞信息进行验证并在CNCERT/CC网站公布漏洞信息及指导受影响用户采取措施以避免损失。 　　如果您发现本公告存在任何问题，请与我们联系： cncert@cert.org.cn