В связи с появлением программ, помогающих хакерам использовать две серьезные уязвимости в ПО Microsoft, секьюрити-эксперты опасаются распространения нового червя, подобного MSBlast. Несколько программистов опубликовали исходный код, облегчающий злоумышленникам получение контроля над любым Windows-компьютером, на котором не установлены патчи, рекомендованные Microsoft. Речь идет о двух критических уязвимостях, о которых Microsoft предупредила 13 апреля.

«С января по март мы сталкивались главным образом с червями массовой рассылки, — говорит старший директор центра экстренного реагирования Symantec Винсент Уифер. — Однако до конца лета вполне может появиться нечто Blaster-подобное».

Symantec и сайт Internet Storm Center, следящий за сетевыми угрозами, и сейчас фиксируют автоматические атаки на компьютеры без установленных патчей. Эксплойт, использующий брешь в защите компонента private communications transport (PCT) веб-серверов Microsoft Internet Information Servers (IIS), повредил системы многих компаний. Однако трафик, вызванный этими атаками, по словам главного технолога Internet Storm Center Йоханнеса Ульриха, не превышает уровня, вызываемого обычными червями.

Internet Storm Center, принадлежащий SANS Institute, обнаружил также свидетельства существования кода, который использует другую, более распространенную уязвимость — ошибку в компоненте Windows Local Security Authority Subsystem Service (LSASS). Этот код соединен с агентом автоматической атаки AgoBot. Подобные программы выполняются незаметно для пользователя атакуемого компьютера, позволяя злоумышленнику полностью овладеть системой и использовать ее для атак на другие ПК.

Symantec подтвердила, что и она перехватила версию программы AgoBot, PhatBot, способную атаковать системы через брешь в LSASS. Однако более серьезную угрозу будет представлять полностью автоматизированный червь, говорит Уифер. По его словам, LSASS-эксплойт аналогичен тому, при помощи которого был создан широко распространившийся червь MSBlast, заразивший с августа по март свыше 8 млн компьютеров. В среду Microsoft сообщила, что число очищенных от MSBlast компьютеров достигло 9,5 млн.

Две выпущенные программы нацелены на разные части вычислительной инфраструктуры. Уязвимость PCT проявляется в веб-серверах, использующих шифрование Secure Sockets Layer. Такие серверы обычно применяются в приложениях электронной коммерции. Между тем ошибка LSASS влияет практически на любой непропатченный Windows-компьютер.

Червь пока не появился, но опасность потенциальных проникновений с использованием новых программ-эксплойтов реальна, говорит Ульрих. «Были случаи, когда за пару минут выводились из строя целые фермы IIS-серверов», — сказал он. Internet Storm Center наблюдает за атаками и червями, анализируя логи брандмауэров.

Ситуация вынудила Microsoft повторить свой призыв к установке патчей. «Мы рекомендуем всем своим заказчикам установить обновления как можно скорее», — сказал представитель софтверного гиганта.

Более подробную информацию об указанных уязвимостях и патчах можно найти на специальном веб-сайте Microsoft.

Роберт Лемос (Robert Lemos), CNET News.com

29 апреля, 2004, 15:03

ZDNET Россия