192.168.1.20-39

пауза и т. д.

Более того, червь имеет 2 метода сканирования IP-адресов: в 60% случаях червь выбирает случайный адрес подсети (A.B.C.D), где D равен 0, а A, B, C случайно выбраны из диапазона 1-255. Таким образом, сгенерированная подсеть находится в диапазоне [1-255].[1-255].[1-255].0. В 40% червь сканирует свою подсеть. Он определяет адрес локального компьютера (A.B.C.D), устанавливает D в ноль и выбирает значение C. Если C больше, чем 20, то червь выбирает случайное число от 1 до 20. Если C меньше или равно 20, червь не изменяет его.

n  Запуск командной оболочки «cmd.exe» на TCP-порту 4444.

Как заявляет Лаборатория Касперского, если бы не было 1.8-секундной задержки, то многие узлы Интернета не выдержали бы такой нагрузки и отказали.

Вполне возможно, что это было учтено автором червя для более успешной атаки на сайт обновлений Microsoft.

Побочным эффектом червя является как раз то, из-за чего компании всего мира терпят убытки. При получении доступа используется не универсальный метод, поэтому в большинстве версий Windows отказывает критическая системная служба Remote Procedure Call, и компьютер автоматически перезагружается в течение минуты. В этот момент пользователь наблюдает окно с ошибкой «RPC service failing» и отсчёт времени до перезагрузки.

Но это ещё не всё. 16 августа 2003 года червь запускает DDoS-атаку на сервер http://www.windowsupdate.com, пытаясь таким образом затруднить или прервать его работу.

Трудно представить ее последствия, так как в связи с перегрузкой многих узлов возможны были региональные отключения сети Интернет, как это было в случае с SQL Slammer.

Однако, как всегда, вмешался Его Величество Случай – кризис энергетической системы США сорвал запланированную атаку или отложил на некоторое время.

А как же лекарство?

1. Официальный патч от Microsoft:

    http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS03-026.asp

2. Временный патч FixBlast от Symantec:

    http://securityresponse.symantec.com/avcenter/venc/data/w32.blaster.worm.removal.tool.html