Oslo 06.08.01 / 12:10 -
Symantec varsler nå om at ormen Code Red v3 sprer seg fortere enn de to første utgavene av Code Red.
”Spredningsraten kan teoretisk være opp til 6 ganger høyere enn de to foregående utgavene av Code Red”, sier Stein Møllerhaug, Symantec Security Services.
”Dette er ikke en variant av de to tidligere ormene. I stedet snakker vi om en helt ny orm som utnytter den samme svakten i Internet Information Server (IIS) som Code Red versjon 1 og 2 Det er navneforvirring omkring den nye varianten. Den tidligere ”Code Red”- ormen hadde to hovedvarianter basert på den samme koden: Code Red versjon 1 (CRv1) og Code Red versjon 2 (CRv2). Den nye ormen har fått navnet ”CodeRed.v3”, men benevnes også som CodeRed II da dette er navnet den identifiserer seg selv som. Den har ingenting til felles med de to foregående variantene. CodeRed.v3 omtales også som CodeRed III, Code Red.C og W32.Bady.C.
Har du sikret deg ved å laste ned IIS patchen fra Microsoft, så er du rent umiddelbart trygg nå også. Eventuelle problemer vil da bare merkes som dårlig svartid elller utilgjengelige systemer i nettet. Har du ikke lastet ned fiksen, må du gjøre det nå. Etter at ormen har infisert systemene dine, er det et betydelig arbeide å rydde opp i systemene etter ormens herjinger.” Oppdateringen kan hentes gratis fra: http://www.microsoft.com/technet/treeview/default.asp?url=/technet/itsolutions /security/topics/codeptch.asp
Den nye ormen er skrevet for Windows 2000. Dersom du kjører et Windows NT system vil en ormeinfeksjon sannsynligvis føre til at systemet ditt stopper uten andre konsekvenser enn at du må starte maskinen på nytt før du kan fortsette arbeidet. Dersom du kjører et Windows 2000 system, vil ormen etablere seg, og legge inn en bakdør på systemet ditt. Den vil også fjerne tidligere versjoner av Code Red.
*Det er navneforvirring omkring den nye varianten. Den tidligere ”Code Red”- ormen hadde to hovedvarianter basert på den samme koden: Code Red versjon 1 (CRv1) og Code Red versjon 2 (CRv2). Den nye ormen har fått navnet ”CodeRed.v3”, men benevnes også som CodeRed II da dette er navnet den identifiserer seg selv som. Den har ingenting til felles med de to foregående variantene. CodeRed.v3 omtales også som CodeRed III, Code Red.C og W32.Bady.C
I tillegg har det kommet rapporter om at visse routere (CISCO 678) henger når ormen forsøker å infisere dem. Dette kan føre til kortere og lengere stans i deler av Internett.
Fakta:
- Code Red v3 sprer seg allerede raskere enn de to tidligere utgavene.
- Code Red v3 legger inn en bakdør, og etterlater derfor svært sårbare systemer.
- Windows 3.11 og tidligere versjoner, Windows 95, Windows 98 og Windows ME systemer påvirkes ikke av ormen.
Henvisninger til lenker:
Symantec AntiVirus Research Center (SARC)
http://www.sarc.com/
SARC Write-up on CodeRed.v3
http://www.sarc.com/avcenter/venc/data/codered.v3.html
Microsoft URL for Code Red Advisory:
http://www.microsoft.com/technet/treeview/default.asp?url=/technet/itsolutions/security/topics/codealrt.asp
Microsoft Patch Installation Instructions:
http://www.microsoft.com/technet/treeview/default.asp?url=/technet/itsolutions/security/topics/codeptch.asp
SANS Emergency Incidents Handler
http://www.incidents.org/
Step by step instructions on patch installation from SANS:
http://www.digitalisland.net/codered/
