Nimda: различия между версиями

Материал из Википедии — свободной энциклопедии
Перейти к навигации Перейти к поиску
Интерактивная навигация по истории
[непроверенная версия][отпатрулированная версия]
← Предыдущая правка
Содержимое удалено Содержимое добавлено
ВизуальныйВики-текст
Спасено источников — 4, отмечено мёртвыми — 0. Сообщить об ошибке. См. FAQ.) #IABot (v2.0.8.7
 
(не показана 21 промежуточная версия 1 участника)
Строка 2: Строка 2:
| name = '''Nimda'''
| name = '''Nimda'''
| full_name =
| full_name =
| type = [[Сетевой червь]], [[эксплойт]]
| type = [[сетевой червь]], [[эксплойт]]
| year = [[18 сентября]] [[2001 год]]а
| year = [[18 сентября]] [[2001 год]]а
| target = уязвимость в [[Internet Information Services]], [[бэкдор]] [[Code Red]]
| target = [[бэкдор]]ы в [[Internet Information Services]], созданные червями [[Code Red II]] и [[Sadmind]]
}}
}}
⚫
'''Nimda''' («admin» задом наперёд) — [[Многовекторный червь|многовекторный компьютерный червь]], написанный на языке [[C++]] и распространяющийся по электронной почте, заражённым веб-сайтам, локальным сетям, серверам и бэкдорам, оставленными другими вирусами<ref name="fst">{{cite web|url=https://threats.kaspersky.com/ru/threat/Net-Worm.Win32.Nimda/|title=Kaspersky Threats — Nimda|publisher=[[Kaspersky]]|access-date=2021-05-24|archive-date=2021-05-24|archive-url=https://web.archive.org/web/20210524151921/https://threats.kaspersky.com/ru/threat/Net-Worm.Win32.Nimda/|deadlink=no}}</ref>. Изначально должен был называться «Concept», но это название уже было занято другим вирусом. Впервые был замечен [[18 сентября]] [[2001 год]]а. Поражал персональные компьютеры на системах [[Windows 95]], [[Windows 98]], [[Windows XP]], [[Windows 2000]] и [[Windows NT]]. Червь сильно забивал [[Сетевой трафик|интернет-трафик]], значительно замедляя его работу<ref name="cert">{{cite web|url=https://www.cert.org/historical/advisories/CA-2001-26.cfm|title=CA-2001-26|publisher=[[Компьютерная группа реагирования на чрезвычайные ситуации|CERT]]|access-date=2022.05.09|archive-date=2014-02-26|archive-url=https://web.archive.org/web/20140226175440/https://www.cert.org/historical/advisories/CA-2001-26.cfm|deadlink=yes}}</ref>.


⚫
== Происхождение вируса ==
⚫
'''Nimda''' («admin» задом наперёд) — [[Многовекторный червь|многовекторный компьютерный червь]], написанный на языке [[C++]] и распространяющийся по электронной почте, заражённым веб-сайтам, локальным сетям, серверам и бэкдорам, оставленными другими вирусами. Изначально должен был называться Concept, но это название уже было занято другим вирусом. Впервые был замечен [[18 сентября]] [[2001 год]]а. Использовал уязвимость в [[Internet Information Services]]. Поражал персональные компьютеры на системах [[Windows 95]], [[Windows 98]], [[Windows XP]], [[Windows 2000]] и [[Windows NT]]. После заражения червь получал права администратора и повреждал файлы на компьютере. Был занесён в [[Книга рекордов Гиннесса|Книгу рекордов Гиннесса]] как самый быстро распространяющийся компьютерный червь в мире — за полчаса заразил практически весь мир.
Происхождение вируса неизвестно. В коде первой версии вируса содержится строка «Concept Virus(CV) V.5, Copyright(C)2001 R.P.China.»<ref name="fst"/>, что наталкивает на мысль, что вирус имеет [[китай]]ское происхождение<ref>{{cite web|url=https://www.cbsnews.com/news/a-worm-named-nimda/|title=A Worm Named Nimda|publisher=[[CBS News]]|access-date=2022.05.09|archive-date=2022-05-09|archive-url=https://web.archive.org/web/20220509161619/https://www.cbsnews.com/news/a-worm-named-nimda/|deadlink=no}}</ref>.


⚫
== Технические детали ==
⚫
==Происхождение вируса==
Червь мог распространяться и заражать устройства несколькими способами<ref name="cert"/><ref name="s">{{cite web|url=https://www.f-secure.com/v-descs/nimda.shtml|title=Net-Worm:W32/Nimda Description|website=www.f-secure.com|access-date=2021-07-31|archive-date=2021-07-31|archive-url=https://web.archive.org/web/20210731153529/https://www.f-secure.com/v-descs/nimda.shtml|deadlink=no}}</ref>:
* Через [[Электронная почта|электронную почту]], рассылая письма с вложениями «readme.exe», причём тема письма не всегда одинаковая.
* При нахождении уязвимого www-сервера Nimda мог изменить [[JavaScript]]-код случайных страниц на этом сайте. При заходе на них скачивался вирус.
* Эксплуатируя [[бэкдор]]ы в серверах IIS, созданные червями [[Code Red II]] и [[Sadmind]], и другие уязвимости в [[Internet Information Services]] (IIS).


Червь модифицирует веб-документы (например, с расширениями .htm, .html и .asp) и некоторые [[Исполняемый файл|исполняемые файлы]] и создаёт несколько своих копий под разными названиями. Червь также содержит код, который будет рассылать заражённые сообщения электронной почты каждые 10 дней. Иногда Nimda может привести к отказу в обслуживании [[Пропускная способность|пропускной способности]] в сетях с заражёнными машинами<ref name="cert"/>.
В коде вируса содержалась строка «Concept Virus(CV) V.5, Copyright©2001 R.P.China.», что натолкнуло на мысль, что вирус имеет китайское происхождение. Однако, возможно и корейское происхождение, так как в Корее впервые был найден вариант вируса Nimda.E. Иногда вирусу присуждалось авторство [[Аль-Каида|Аль-Каиды]], но доказательств на этот счёт ещё нет. Автор вируса до сих пор не был найден. Единственная точно подтверждённая информация - вирус имеет азиатское происхождение.


== Версии вируса ==
⚫
==Технические детали==
У Nimda есть несколько вариаций, которые мало чем отличаются от оригинала. В версии Nimda.b всего лишь была заменена одна строка. Nimda.c являлась оригинальной версией вируса, упакованной [[UPX]]. Nimda.d был разослан в октябре 2001 г., строка-копирайт была заменена на «HoloCaust Virus.! V.5.2 by Stephan Fernandez.Spain». Nimda.e был обнаружен почти одновременно с Nimda.d, в нём появились отличия в коде, некоторые функции были оптимизированы, а названия загружаемых файлов изменены<ref name="fst"/>.
Червь встраивался в сайты крупных компаний, заменяя код [[JavaScript]]. При заходе на заражённый сайт на устройство скачивается файл README.EML, содержащий вирус. При подключении к локальной сети, содержащей вирус, на компьютер скачивается файл RICHED20.DLL, который автоматически размещается в папке с файлами формата .doc или .eml. После проникновения эти файлы скрываются. При нахождении уязвимости на сервере Microsoft IIS 4.0 и 5.0 червь копирует себя в директорию «scripts» под именем ADMIN.DLL.


==См. также==
== См. также ==
*[[SQL Slammer]]
* [[SQL Slammer]]


== Примечания ==
⚫
<!--Примечания-->[[Категория:Компьютерные вирусы и сетевые черви]]
{{примечания}}
[[Категория:Атаки и эксплойты]]
{{Хакерские атаки 2000-х}}
[[Категория:Компьютерная безопасность]]

⚫
[[Категория:Компьютерные вирусы и сетевые черви]]

Текущая версия от 06:37, 15 мая 2022

Nimda
Тип сетевой червь, эксплойт
Год появления 18 сентября 2001 года
Используемое ПО бэкдоры в Internet Information Services, созданные червями Code Red II и Sadmind

Nimda («admin» задом наперёд) — многовекторный компьютерный червь, написанный на языке C++ и распространяющийся по электронной почте, заражённым веб-сайтам, локальным сетям, серверам и бэкдорам, оставленными другими вирусами[1]. Изначально должен был называться «Concept», но это название уже было занято другим вирусом. Впервые был замечен 18 сентября 2001 года. Поражал персональные компьютеры на системах Windows 95, Windows 98, Windows XP, Windows 2000 и Windows NT. Червь сильно забивал интернет-трафик, значительно замедляя его работу[2].

Происхождение вируса

[править | править код]

Происхождение вируса неизвестно. В коде первой версии вируса содержится строка «Concept Virus(CV) V.5, Copyright(C)2001 R.P.China.»[1], что наталкивает на мысль, что вирус имеет китайское происхождение[3].

Технические детали

[править | править код]

Червь мог распространяться и заражать устройства несколькими способами[2][4]:

  • Через электронную почту, рассылая письма с вложениями «readme.exe», причём тема письма не всегда одинаковая.
  • При нахождении уязвимого www-сервера Nimda мог изменить JavaScript-код случайных страниц на этом сайте. При заходе на них скачивался вирус.
  • Эксплуатируя бэкдоры в серверах IIS, созданные червями Code Red II и Sadmind, и другие уязвимости в Internet Information Services (IIS).

Червь модифицирует веб-документы (например, с расширениями .htm, .html и .asp) и некоторые исполняемые файлы и создаёт несколько своих копий под разными названиями. Червь также содержит код, который будет рассылать заражённые сообщения электронной почты каждые 10 дней. Иногда Nimda может привести к отказу в обслуживании пропускной способности в сетях с заражёнными машинами[2].

Версии вируса

[править | править код]

У Nimda есть несколько вариаций, которые мало чем отличаются от оригинала. В версии Nimda.b всего лишь была заменена одна строка. Nimda.c являлась оригинальной версией вируса, упакованной UPX. Nimda.d был разослан в октябре 2001 г., строка-копирайт была заменена на «HoloCaust Virus.! V.5.2 by Stephan Fernandez.Spain». Nimda.e был обнаружен почти одновременно с Nimda.d, в нём появились отличия в коде, некоторые функции были оптимизированы, а названия загружаемых файлов изменены[1].

См. также

[править | править код]

Примечания

[править | править код]
  1. ↑ 1 2 3 Kaspersky Threats — Nimda. Kaspersky. Дата обращения: 24 мая 2021. Архивировано 24 мая 2021 года.
  2. ↑ 1 2 3 CA-2001-26. CERT. Дата обращения: 9 мая 2022. Архивировано из оригинала 26 февраля 2014 года.
  3. ↑ A Worm Named Nimda. CBS News. Дата обращения: 9 мая 2022. Архивировано 9 мая 2022 года.
  4. ↑ Net-Worm:W32/Nimda Description. www.f-secure.com. Дата обращения: 31 июля 2021. Архивировано 31 июля 2021 года.
Источник — https://ru.wikipedia.org/ruwiki/w/index.php?title=Nimda&oldid=122321206