Santy (червь)

Santy
Полное название (Касперский)	Net-Worm.Perl.Santy.a
Тип	интернет-червь
Год появления	2004
Используемое ПО	phpBB
Описание Symantec
Описание Securelist

Результат «работы» червя Santy

Santy — сетевой червь, написанный на скриптовом языке Perl и использующий уязвимость присутствовавшие в интернет-форуме phpBB версий ниже 2.0.11.

Вирус формировал запрос для поисковой системы Google содержащую строку «Powered by phpBB» и получал таким образом адреса атакуемых форумов. Затем, сформировав некорректный запрос к файлу viewtopic.php, получал возможность выполнять на сервере произвольный код и заменял содержимое всех файлов с расширением asp, htm, jsp, php, phtm, shtm на «This site is defaced!!! This site is defaced!!! NeverEverNoSanity WebWorm generation X», где X — номер, указывающий поколение червя.

Буквально за сутки с момента своего появления 20 декабря 2004 червём было удачно атаковано огромное количество сайтов (по разным оценкам от 30 до 40 тысяч). На вторые сутки Google не проводил поиск по фразе «Powered by phpBB». После этого появились модификации червя, использующие другие поисковые системы.

Примечательно то, что уязвимость была обнаружена в ноябре 2004 года, новая версия с исправлениями вышла за месяц до атаки — 21 ноября 2004, но такое огромное количество сайтов осталось без обновлений.

После этого случая в администраторскую панель phpBB была добавлена функция автоматической проверки новых версий.

Интересно также, что был выпущен червь, который с помощью той же уязвимости обновляет исходный код phpBB до новой версии и избавляет от неё .

Ссылки

• Описание червя на сайте Securelist.com Лаборатории Касперского