Microsoft предупреждает о ворующем пароли черве «’Morto»

Вирус «Morto» по определению Microsoft (Sophos: Troj/Agent-TEE)
демонстрирует изощренную смесь утонченности и прямолинейности в поиске жертв
среди серверов.

Как только он загружается в качестве сложно контролируемого сервиса с
Windows svchost.exe, вирус открывает соединение Remote Desktop Protocol (RDP)
на порту 3389. После этого Morto сканирует IP адреса в поисках подсетей и
пытается подключиться, используя простой словарный список  возможных
паролей.

 Этот список включает варианты слова « admin», а также общие имена
«guest», «root», «console», простые цифровые последовательности и старые
«любимые пароли».

 Если вирусу повезло с сервером, он копирует себя в систему и пытается
запустить свой процесс для получения административного контроля до загрузки
дополнительных компонент.

 Как отмечают в Microsoft, Morto не нужны уязвимости в софте для
выполнения своей миссии, только слабые пароли для распространения даже там, где
сети хорошо защищены многими устройствами, за которыми следят специалисты.

 По-видимому Morto создан для организации запуска атак типа DDoS с
устройств имеющих широкополосной доступ в интернет. С этой точки зрения,
сервера являются более лакомым куском, чем ПК, хотя и более
труднодоступным.

Вирус имеет один недостаток, когда проникает в систему. Он пытается закрыть
антивирусные программы. Хотя это звучит как правильная тактика, многие
программы созданы таким образом, чтобы противостоять  этому, что приводит
к обнаружению присутствия Morto.

 В настоящее время, Morto был обнаружен всего лишь на нескольких
тысячах систем в последние дни, большинство из которых имеют Windows XP, но
небольшое количество атак на важные цели может быть запланированной
стратегией.

 Чтобы вторжение в систему предприятия не стало сюрпризом, Microsoft
рекомендует: «Усилить безопасность паролей и организовать их регулярную замену
через установленные политики».

Источник: www.cio.com