Alors que nous vous annoncions la multiplication des exploits s'alimentant de la faille plug'n'play de Microsoft hier, voilà que pointe du nez justement une première série de vers, dénommés Zotob.



On soulignera avant tout que cette faille repose sur un tampon non vérifié dans le service Plug'n'Play. Cette faille peut du coup être exploitée par un utilisateur distant et non authentifié sous Windows 2000/NT (l'authentification est exigée sous XPSP2 et Server 2003, ce qui limite l'attaque au niveau local).



Le ver en question, Zotob, se délecte des systèmes Windows 2000 qu'il attaque par le port 445/TCP. Il s'installe dans le répertoire %System% sous le nom "botzor.exe", et rajoute notamment plusieurs entrées dans le registre. Il modifie également le fichier Host afin de bloquer une série de sites, dont ceux de nombreux éditeurs antivirus. Il rajoute dans ce fichier la délicate ligne à l'attention des éditeurs d'antivirus "MSG to avs: the first av who detect this worm will be the first killed in the next 24hours!!!".



Confortablement installé, il ouvre une porte dérobée et un serveur ftp pour se connecter sur un canal IRC dans l'attente les ordres de son malicieux auteur. Il finalise sa funeste et sombre œuvre en scannant le port 445/TCP et en se transférant par son serveur FTP sur les machines faillibles décelées.



On pourra consulter les détails techniques de cette faille sur ce bulletin Microsoft ou, s'agissant du ver, sur celle de l'éditeur Trend. Celui-ci annonce d'ores et déjà l'existence de deux variantes de Zotob A., estampillées B et C aux effets similaires. Des menaces qui militent à elles seules pour une mise à jour rapide des systèmes concernés.