Eunice

新型態攻擊模式病毒，專找SQL sever下手

小心伺服器上的重要資料庫遭病毒竊取、遙控

【本報記者歐敏銓報導】趨勢科技昨(22)日發佈JS_SQLSPIDA.B的病毒警訊，發現一種新型態病毒特別針對SQL sever為攻擊目標。此JavaScript蠕蟲病毒透過一種全新的傳染途徑，利用感染安裝有Microsoft SQL之伺服器，並在被感染之伺服器內產生特定的檔案，使得系統會將內部資料傳送到一特定之郵件信箱，藉此竊取受害者的重要資料，另外，一旦此IP 成為攻擊目標被感染之後，網路流量便會爆增，降低效能，而且會成為另一個隨機產生IP位置而去散佈病毒的工具。趨勢科技建議用戶請小心並且即刻更新最新病毒碼至289，並且掃瞄系統所有檔案，將掃描感染到BAT_SQLSPIDA.B和JS_SQLSPIDA.B的檔案全部刪除。

此外，趨勢科技TrendLabs更進一步指出，根據分析報告，該病毒會利用其本身會隨機產生的許多IP位置，並連線至這些IP位置之TCP port 1433(此為SQL server 使用的port)。也就是說，病毒隨機產生的IP會去搜尋同時有SQL server 使用的port，搜尋到之後，它們便成為病毒下手攻擊的目標，而細究其造成上述三個危害症狀主因為，第一、該病毒會使用 "ipconfig /all" 指令取得被感染機器之所有網路設定資料並儲存於SEND.TXT檔案中，此外亦將執行PWDUMP2.EXE所產生的帳號、密碼檔案儲存於同一份檔案中。同時病毒使用CLEMAIL.EXE email軟體將所產生的檔案寄到IXLDT@POSTONE.COM此特定帳號中，其信件主旨為 "SyetemData"。

第二、這些被攻擊的IP位置會產生10000個thread來存取該特定的port並建立10000個連線，使得網路流量增加，降低效能。第三、該病毒會將各IP所回應的資料存於RDATA.TXT中，並在該檔案中搜尋“1433/tcp” 字串。如果某IP回應的資料中有此字串，則病毒會使用此IP及隨機產生的密碼當作參數執行 SQLINSTALL.BAT(此批次檔趨勢科技偵測為BAT_SQLSPIDA.B)，將病毒程式安裝至使用該IP之機器上。此後，病毒會停止運作並伺機將RDATA.TXT 檔案刪除，再重新開始產生一新的IP位置進行攻擊。也就是說，被攻擊感染的伺服器也就成為下一個散佈攻擊病毒的源頭。由此一傳十、十傳百已驚人速度散開來。