«Червивый» баннер ничем не отличался от остальных, но при нажатии на него пользователь попадал на сайт search.comedycentral.com (199.107.184.146). Этот сайт уже был заражен червем Bofra-A, который мгновенно запускал на выполнение вредоносный скрипт, использующий известную уязвимость в браузере Internet Explorer, связанную с некорректной обработкой тега IFrame.
Как сообщается, «зараженные» баннеры проникли в крупную европейскую баннероообменную сеть Falk. В течение субботы эти баннеры демонстрировались на крупнейших британских сайтах, в том числе на сайте The Register. Эти же баннеры демонстрировались на крупнейшем новостном сайте Нидерландов с аудиторией в 450 тыс. уникальных посетителей в месяц, а также на других крупных голландских сайтах.
После выполнения вредоносного скрипта червь Bofra-A загружает встроенный веб-сервер, который прослушивает один из портов в диапазоне от 1600/TCP до 1700/TCP, а также открывает IRC-соединение по порту 6667/TCP, позволяя удаленному злоумышленнику управлять системой.
Размножается червь весьма оригинально, и поэтому борьба с ним чрезвычайно затруднена. Дело в том, что он не рассылает свои копии в виде аттачмента, а рассылает обычные письма без вложений, в которые внедряются динамически генерируемые ссылки на файл с зараженного компьютера. Ссылка имеет следующий формат:
http://:<номер открытого порта>/<название файла>Вариант Bofra-B использует для размножения ту же технику, но в тексте письма вместо просмотра откровенных фотографий предлагает подтвердить транзакцию в системе PayPal. К счастью, в обоих случаях приглашение написано по-английски, а не по-русски, так что никакой эпидемии в Рунете не случилось. О появлении «зараженных» баннеров у нас тоже ничего не сообщалось.
Уязвимость в обработке тега IFrame, которую использует для размножения червь, присутствует во всех версиях Internet Explorer, кроме систем с установленным Windows XP SP2. Дополнительную информацию об эксплоите можно найти здесь.
Microsoft до сих пор не выпустила заплатку, которая бы закрывала уязвимость с тегом IFrame на системах, отличных от Windows XP SP2. //webplanet.ru