Вирус W32.Printlove портит чистую бумагу в принтере

Компания Symantec сообщила об обнаружении нового червя W32.Printlove, который запускает «мусорные» задания на печать. Этот вредоносный код использует уязвимость Microsoft Windows Print Spooler Service Remote Code Execution (CVE 2010-2729), которая была обнаружена еще в 2010 г.

Червь по-разному ведет себя на компьютерах, на которых установлено обновление, закрывающее уязвимость CVE 2010-2729 и на которых оно еще не установлено. Специалисты Symantec протестировали данную угрозу в простой сети, состоящей из двух компьютеров и общего сетевого принтера, подключенного через коммутатор.

Конфигурация компьютера A: Windows XP Professional. На компьютере установлено обновление, исправляющее CVE 2010-2729, и он заражен W32.Printlove. На ПК не установлено подключение к локальному принтеру или принтеру с общим доступом.

Конфигурация компьютера B: Windows XP Professional. В первом сценарии компьютер работает без обновления, а во втором оно установлено. К нему подключен сетевой принтер, открытый для общего доступа.

Компьютер A должен иметь разрешение отправлять задания на печать на компьютер B. Гостевой доступ к общим принтерам в Windows XP включен по умолчанию; для более поздних операционных систем компьютер А должен быть аутентифицирован компьютером В.

Вот два сценария, по которым может работать данная угроза:

1. W32.Printlove, работающий на компьютере A будет искать сетевые ресурсы печати. После их обнаружения, он пересылает себя на компьютер В, используя запрос StartDocPrinter. Уязвимость буфера печати позволяет скопировать в любую папку какой угодно файл, переданный запросом на печать. Угроза успешно запускает себя на компьютере В, пользуясь данной уязвимостью.

2. W32.Printlove, работающий на компьютере А, ведет себя таким образом и передает свой код на компьютер В. Так как на компьютере В установлено обновление, червь не может использовать уязвимость. Принцип исправления уязвимости не позволяет запросам на печать передавать файл в любую папку (то есть осуществлять печать в файл). В связи с этим червь не может скопировать себя в системный каталог и осуществить автозапуск, используя эксплойт. Вместо этого он сохраняется в папке буфера печати компьютера B в виде .spl-файла. После чего компьютер B начинает печать данного файла на подключенном общедоступном принтере.

W32.Printlove сохраняет подключение к удаленному компьютеру и периодически пытается его инфицировать, используя уязвимость буфера печати. Компьютеры могут быть заражены повторно, а также могут происходить множественные «мусорные» распечатки, отправляемые с разных компьютеров, пока червь не будет полностью удален из сети. Отслеживание источника нежелательной печати может оказаться значительно сложнее, если речь идет о нескольких инфекциях, присутствующих в сети.

Сетевые администраторы могут идентифицировать зараженные ПК, просматривая .shd-файлы, расположенные в папке буфера печати на компьютере, который обеспечивает подключение к общедоступному принтеру.

Файлы SHD создаются операционной системой и содержат детальную информацию о запросе на печать. Для их просмотра можно использовать SPLViewer. Поскольку данные файлы используются службой буфера печати, ее необходимо сначала остановить. Администраторы могут обнаружить скомпрометированный компьютер по полю Computername, которое позволяет идентифицировать источник отправки задания на печать.

Специалисты Symantec не исключают, что существует связь между Trojan.Milicenso и W32.Printlove, но на данный момент это не подтверждено.

Стратегія охолодження ЦОД для епохи AI