Symantec определяет данного червя как W32.Printlove. Этот вредоносный код использует уязвимость Microsoft Windows Print SpoolerService Remote Code Execution (CVE 2010-2729), которая была обнаружена ещё в 2010 г.
По данным компании, червь по-разному ведет себя на компьютерах, на которых установлено обновление, закрывающее уязвимость CVE 2010-2729, и на которых оно ещё не установлено. Специалисты Symantec протестировали данную угрозу в простой сети, состоящей из двух компьютеров, работающих под Windows XP Professional, и общего сетевого принтера, подключенного через коммутатор.
Тестирование проходило по двум сценариям. На одном из компьютеров («A») установлено обновление, исправляющее CVE 2010-2729, и он заражен W32.Printlove. Однако при этом на ПК не установлено подключение к локальному принтеру или принтеру с общим доступом. Соответственно, второй компьютер («B») в первом сценарии работает без обновления, а во втором сценарии — с установленным обновлением. Кроме того, к ПК подключён сетевой принтер, открытый для общего доступа.
Компьютер «A» должен иметь разрешение отправлять задания на печать на компьютер «B». Гостевой доступ к общим принтерам в Windows XP включен по умолчанию; для более поздних операционных систем компьютер «А» должен быть аутентифицирован компьютером «В».
В первом случае W32.Printlove, работающий на компьютере «A» будет искать сетевые ресурсы печати. После их обнаружения, он пересылает себя на компьютер «В», используя запрос StartDocPrinter. Уязвимость буфера печати позволяет скопировать в любую папку какой угодно файл, переданный запросом на печать. В итоге угроза успешно запускает себя на компьютере «В», пользуясь данной уязвимостью.
Первый сценарий: удаленный запуск кода
Во втором случаеW32.Printlove, работающий на компьютере «А», передает свой код на компьютер «В». Так как на компьютере «В» установлено обновление, червь не может использовать уязвимость. Принцип исправления уязвимости не позволяет запросам на печать передавать файл в любую папку (то есть осуществлять печать в файл). В связи с этим червь не может скопировать себя в системный каталог и осуществить автозапуск, используя эксплойт. Вместо этого он сохраняется в папке буфера печати компьютера «B» в виде .spl-файла. После чего компьютер «B» начинает печать данного файла на подключённом общедоступном принтере.
Второй сценарий: задания на печать
Как удалось выяснить специалистам Symantec , W32.Printlove сохраняет подключение к удаленному компьютеру и периодически пытается его инфицировать, используя уязвимость буфера печати. Компьютеры могут быть заражены повторно, а также могут происходить множественные «мусорные» распечатки, отправляемые с разных компьютеров, пока червь не будет полностью удален из сети. Отслеживание источника нежелательной печати может оказаться значительно сложнее, если речь идет о нескольких инфекциях, присутствующих в сети. Сетевые администраторы могут идентифицировать заражённые ПК, просматривая .shd-файлы, расположенные в папке буфера печати на компьютере, который обеспечивает подключение к общедоступному принтеру.
Файлы SHD создаются операционной системой и содержат детальную информацию о запросе на печать. Для их просмотра можно использовать SPLViewer. Поскольку данные файлы используются службой буфера печати, ее необходимо сначала остановить. Администраторы могут обнаружить скомпрометированный компьютер по полю Computername, которое позволяет идентифицировать источник отправки задания на печать.
Мусорная печать — оборотная сторона медали устранения уязвимости CVE 2010-2729 на компьютерах, атакованных W32.Printlove. Пользователи продуктов Symantec уже защищены от подобных угроз, если они используют последние обновления антивирусных баз. Как полагают в компании, возможно, существует связь между и W32.Printlove, но на данный момент это не подтверждено.