[port139:01353] Spida ワームと PWdump2

[Tanaka Souji <souta3@xxxxxxxxxxxxxx>]

立て続けで恐縮です。あ、世間は N+I なんでしたっけ。。。

PASSJ で河端氏が「SQL Serverに関連するウィルス/ワーム調査」
をまとめておられます。
http://www.sqlpassj.org/MLLOGS/security/msg00458.html

それで、トロイの木馬という文字列が見えたので、SQL Server で
トロイ？と思ってリンク先を読んでみたのですが、幾つかのワーム
は感染時に PWdump2 をコピーするのですね。

資料を読む限り、コピーされたPWdump2 が実行されているのかわか
らないのですが、

 ・NetDDE のサービス イメージを変更している
 ・NetDDE のデフォルトは LocalSystem
 ・LocalSysmte なら PWdump2 を実行してハッシュ値入手可能

と理解しているのですが、どうなんでしょ？
ダンプされたハッシュ値がどう扱われるかに依存すると思うので
すが、感染したらアカウント情報とパスワード ハッシュが漏洩
してるかもしれないってこと？

<余談>
素朴な疑問として、デスクトップ用のウィルス対策製品が、SQL
Server が通常動くであろう Server 製品上でインストールでき
たりするものなのかというのもありますが...

-- 
Tanaka Souji <souta3@xxxxxxxxxxxxxx>