安全公告：CN-SA05-20 发布日期：2005-12-18 安全等级： /upload/p1_23xs25.jpg 公开程度：公共 　　CNCERT/CC的支持单位北京大学狩猎女神项目组（中国蜜网项目组）于12月15日截获一个可利用微软视窗操作系统最新高危漏洞——微软MS05-051传播的名为“黛蛇”（Dasher.B）的蠕虫。该蠕虫主要针对Windows 2000操作系统、部分Windows XP系统和部分WindowsServer2003操作系统，通过攻击TCP/1025端口获得远程执行命令的权限；此外，该蠕虫还可以针对微软MS04-045、MS04-039漏洞或利用SQL溢出工具进行攻击。蠕虫感染成功后将安装键盘记录程序暗中记录用户的按键操作，从而使用户面临泄密的危险。 分析：　 　　Dasher.B蠕虫运行后，会扫描并试图利用漏洞攻击目标主机，目标主机的地址是蠕虫携带的地址列表生成的，多数地址瞄准了中国用户。 　　该蠕虫攻击目标主机成功后，会操纵目标主机自动连接到某控制服务器的53号端口请求黑客指令，然后根据该黑客指令从某个ftp服务器下载并运行一个键盘记录软件和Dasher蠕虫文件包，从而完成传染过程。其中存放恶意代码的ftp服务器的地址是由控制服务器动态指定的。 　　蠕虫从ftp服务器上下载的0.exe文件是可解压缩运行的键盘记录软件，该键盘记录软件会记录用户按键操作，并自动连接某网站下载执行sdbot僵尸程序，以加强对目标主机的控制。下载的1.exe文件经解压缩执行后，在系统目录(C:windowssystem32或C:winntsystem32)下的wins目录释放出6个可执行文件，分别为Sqltob.exe,Sqlscan.exe,Sqlexp.exe, Sqlexp1.exe, Sqlexp2.exe, Sqlexp3.exe。其中： Sqlexp.exe攻击 MS04-045 wins服务漏洞，协议和端口为TCP/42 Sqlexp1.exe攻击 MS05-039 upnp漏洞，协议和端口为TCP/445 Sqlexp2.exe 攻击 MS05-051 msdtc漏洞，协议和端口为TCP/1025 Sqlexp3.exe利用sql hello exploit工具攻击MS SQLServer漏洞，协议和端口为TCP/1433. 　　攻击日志保存在系统目录下的wins目录的result.txt. 　　由于该蠕虫的攻击范围大部分属于中国互联网，所以，中国的户应该倍加防范。 　　目前，CNCERT/CC已经对该蠕虫传播的关键渠道采取了应急处理措施，使得存在漏洞的主机虽然可能被蠕虫攻击，但却无法被进一步感染。但是，鉴于仍有大量感染蠕虫的主机未被恢复，且蠕虫可能会出现变种，因此建议广大用户尽快按照如下解决方案处理。 解决方案： 　　1）手工检查： 　　查看系统上是否存在Sqltob.exe,Sqlscan.exe,Sqlexp.exe, Sqlexp1.exe, Sqlexp2.exe, Sqlexp3.exe文件，如果存在，将进程停止并删除相应文件。 　　2）升级补丁： 　　用户应立刻升级MS05-051、MS04-045、MS04-039补丁程序。 　　补丁下载位置： 　　 　　 　　http://www.microsoft.com/technet/security/Bulletin/MS05-051.mspx 　　 　　http://www.microsoft.com/technet/security/bulletin/MS05-039.mspx 　　 　　http://www.microsoft.com/technet/security/bulletin/MS05-045.mspx 　　漏洞详细信息请参考CNCERT/CC漏洞公告CN-VA05-063，地址： 　　http://www.cert.org.cn/articles/vulnerability/common/2005101222484.shtml 　　3）工具查杀： 　　建议用户安装防病毒软件，并更新到最新版本，然后对系统进行彻底查杀。 　　CNCERT/CC将对该蠕虫的传播情况继续保持监测。 其他信息： 　　CVE编号：CAN-2005-2119 　　首次发布日期： 　　修订次数：0 信息提供者： 　　北京大学狩猎女神项目组（中国蜜网项目组） www.honeynet.org.cn 文档编写： 　　CNCERT/CC ----------------------------------------------------------------------------------- 　　CNCERT/CC在发布安全公告信息之前，都力争保证每条公告的准确性和可靠性。然而，采纳和实施 公告中的建议则完全由用户自己决定，其可能引起的问题和结果也完全由用户承担。是否采纳我们的建 议取决于您个人或您企业的决策，您应考虑其内容是否符合您个人或您企业的安全策略和流程。 　　在任何情况下，如果您确信您的计算机系统受到危害或是攻击，我们鼓励您及时告知国家计算机网 络应急技术处理协调中心： http://www.cert.org.cn/servlet/Incident 　　同时，我们也鼓励所有计算机与网络安全研究机构，包括厂商和科研院所，向我们报告贵单位所发 现的漏洞信息。我们将对所有漏洞信息进行验证并在CNCERT/CC网站公布漏洞信息及指导受影响用户采 取措施以避免损失。 　　如果您发现本公告存在任何问题，请与我们联系： cncert@cert.org.cn