"Nimda" - распространился от дальних стран азии по всему миру за 30 минуты, поставив рекорд в книге Гиннесса, как самый быстрораспростроняющийся компьютерный червь.
После обнаружения червя выходит статья в CNN с расшифровкой кода вируса. На глазах у исследователей появилась строка со следующим содержанием: Concept Virus(CV) V.5, Copyright©2001 R.P.China.
Было в ЦРУ возбуждено уголовное дело и немедленно начались поиски создателя вируса. Первой зацепкой и стала эта запись. След распространения вируса был размазан по всей сети, вычислить удалось лишь то, что и так было очевидно: вирус пришел в мир с китайских серверов. Увы система США не так хорошо работает, как в фильмах, даже после того, как проблему признали террористическим актом дальше продвинуться в поисках не удалось. А вот почему :
Для распространения Nimda использовал не один метод, а целых 5:
- Электронная почта;
- Открытые общие сетевые ресурсы;
- Зараженные веб-сайты;
- Уязвимости в IIS;
- Бэкдоры, оставленные в системах червями-предшественниками Code Red II и sadmind/IIS
Подробнее о методах распространения
Зараженные сайты
Червь встраивался в сайты компаний изменяя код JavaScript, заставив браузер самостоятельно скачивать фаил README.EML, в котором содержался червь.
script language=«JavaScript»>
window.open(«readme.eml», null, «resizable=no,top=6000,left=6000»)
Файл README.EML откроется в уменьшенном окне, если пользователь использует браузер Explorer 5.5 с Service Pack 1 (или более ранние версии пакетов обновлений). .
Электронная почта
Письмо приходило без темы, либо со случайным набором слов с приложенным файлом README.EXE. Заражение проходило даже без открытия самого письма, используя уязвимость в Explorer 5.5 с Service Pack 1, когда Explorer использовался для рендеринга html-почты.
Локальные сети
В случае подключения к локальной сети с зараженным ПК, машина-жертва получит файл RICHED20.DLL, размещенный в любой из папок с файлами расширения .doc или .eml. Эти файлы будут скрыты.
Серверы
Найдя уязвимость в серверах Microsoft IIS 4.0 / 5.0, червь копирует себя в директорию «scripts» под именем ADMIN.DLL.
Червь Nimda (admin задом наперед) заражал персональные компьютеры на системах Windows 95, 98, NT, 2000 или XP и серверы на Windows NT и Windows 2000.
Читая об этом, можно ужаснуться от того, сколько должен знать хакер чтобы его детище заразило мир. Для тех кому интересно каким был первый хакер в мире, предлагаю почитать нашу новую статью о первом в мире взломе беспроводной передачи данных