weiteres zu dem wurm lovasan/blaster


mittlerweile werden verschiedene meldungen herrausgebracht. in der einen heisst es das dieser wurm auch andere systeme angreifen kann und in anderen wird von einer neuen version gesprochen.

<ul>[*]die neue version des wurmes


es kann durchaus moeglich sein, dass in den naechsten stunden die naechste angriffswelle kommt,
und das von der modifikation des wurmes. im grunde gibt es kaum unterschiede zu dem bisher bekannten blaster, nur die datei MSBLAST.EXE soll in der neueren version TEEKIDS.EXE heissen und anstelle der UPX packungsart soll nun FSG-Utility verwendert worden sein. auch der text in dem wurm soll sich etwas geaendert haben, denn jetzt wird nicht nur bill gates angegriffen, sondern auch hersteller von antivirensoftware. ansonsten sind keine weiteren aenderungen bekannt. auch die meisten upgedateten antivirenprogramme duerften den kleinen fiesling weiterhin erkennen.


beide versionen koennen auf ein und dem selben rechner aktiv sein und scheinen sich dabei nicht mal zu behindern. man sollte damit rechnen, das bereits befallene systeme wieder von der "neuen" version angegriffen werden.[/list]


<ul>[*]angriff auf andere systeme?


es heisst das auch andere systeme angegriffen werden koennen, vorraussetzung ist die verwendung des DCE (Distributed Computing Environment). mit dem DCE ist es moeglich, das die verschiedesten systeme miteinander/untereinander kommunizieren koennen. dies wird meist in heterogenen(verschiedene systeme in einem netzwerk) netzwerken benutzt. dadurch wird auch der port 135 benuetzt, was dazu fuehren kann, dass eben die "anderen systeme" abgegriffen werden koennen.
durch schwachstellen in der implementierung des DCE-dienstes einiger hersteller, soll es moeglich sein DoS-attacken gegen diesen DCE-dienst zu fahren. daher sollten auch die administratoren anderer systeme schauen, dass die firewalls ordentlich eingestellt sind und das die patches dagegen installiert werden.

denn der wurm erkennt nicht, welche systeme er angreift und so kann es passieren, dass der DCE-dienst beendet wird, weil halt alle systeme angegriffen werden, bei denen der port 135 offen ist.
verschiedene hersteller haben schon diese schwachstelle bestaetigt, darunter sind unter anderem IBM, Solaris und andere. weitere infos und links dazu koennen sie bei heise-online finden.[/list]

weitere links zu diesem text<ul>[*]Lovsan/Blaster - infos rund um diesen wurm (erste version)[*]W32.Blaster attackiert auch Nicht-Windows-Systeme[*]Warnung vor neuer Lovesan-Modifikation![/list][d&lt;3&gt;l]

del/FTF

http://delforcer.piranho.com/d3l-own...euerungen.html

Zur Abwechslung mal ein "guter" Wurm: http://www.heise.de/newsticker/data/ju-18.08.03-000/

hyrican

Es gibt wieder Exploits für RPC-Lücken: http://www.heise.de/newsticker/data/pab-10.10.03-002/
Wer es immer noch nicht getan hat möge sein Windows updaten und regelmäßig dort vorbeischauen,vermutlich gibt es bald noch einen Patch gegen RPC-Fehler.

hyrican

So hallo zusammen .
@ hyri
den wurm find ich richtig schön

Zum Blaster.. habe die neue Version, also die teekids.exe,
habe diese aus dem system32 Ordner entfernt und auch in der Registry unter
HKEY_LOKAL_MACHINE-> Software->Microsoft->Windows->CurrentVersion->run

EINMAL die teekids.exe gelöscht. Habe mit dem neu upgedateten Antivir 6 etliche Virenchecks gemacht, unter www.trojaner-info.de
einen AntiBlaster tool runtergeladen hilft auch nix ....... bin langsam ratlos ...

Weiß einer was ich machen kann ??

PS: Man kann das runterfahren ja auch abrechen .. weiß nur nimmer wies geht

ich glaub der herunterfahren abbruch befehl heißt

shutdown -a bei ausführen eingeben.



versuch mal das tool dass ich dir per email geschickt habe (wenn du dass nicht schon versucht hast). weiß leider den download link nicht mehr


und wenn du ne firewall aktivierst, dann fährt er auch nimmer heruntern (so wars bei mir zumindest)

http://delforcer.piranho.com/d3l-own...y/blaster.html

schon das versucht, so entferne ich alle arten von blaster und das ohne probleme, wichtig ist halt nur, das du nicht nur den kumpel enfernst, sondern die schwachstelle ueber der er kommt patcht. die links sind auch auf der site zu finden...

del/FTF

Danke virus gefunden !!!!!
Hoffebtlich gehts danach
Danke

Ok Virus gefunden aber der existiert trotzdem noch ...
Im moment läuft er zwar nicht im Task-Manaer setzt dann aber auf einaml Uhrplötzlich ein .....

Bin echt Ratlos

Hast du alle wichtigen Updates drauf die es auf der Windowsupdateseite gibt?

hyrican

noch net ... mach ich aber ... meistens kommt der Vireus wenn ich updaten will egal muss jetzt ins Bett .... MUTTER %&%&$$§$%§% /&

Systemsteuerung/Verwaltung/Dienste
Rechtsklick auf Remoteprozeduraufruf/Eigenschaften/Reiter "Wiederherstellen"
alle 3 Optionen umstellen auf "Dienst neu starten", "übernehmen" und "ok" klicken, dann ins Internet gehen, Windows updaten.
Danach nach del's Anleitung den Wurm entfernen und hinterher die Optionen im RPC-Dienst wieder umstellen auf "Rechner neu starten"

hyrican

Man danke hyri .... *bedank*
So, jetzt muss ich updaten .. hab Festplatte formatiert ... alles unten, davor war alles neu upgedatet. Gut wenn ich fertig mit dem Updaten bin meld ich mich wieder.

Oho ! Jetzt hab ich die msblast.exe und nimmer die teekids ?!?!

also, wenn man einen rechner aufsetzt und weiss wurm/virus/viech xyz ist am start, dann nimmt man den patch welchen du auch auf meinen seiten finden konntest und nimmst den auf cd mit. denn wir wissen ja, und du besonders, das man keine minute im netz ist und dann schon von kumpel blaster besucht wird.
denk immer daran, vorzusorgen, was nuetzt ein neues system, wenn du nicht mla die alten fehler oder sicherheitsluecken bedenkst...

del/FTF

ps: msblaster.exe wie beschrieben und auch wie bei der teekids.exe entfernen, dann rechner patchen und dann is gut

ja scho klar del

Also wenn du eh neu aufgesetzt hast und nen Einzelrechner(kein Netzwerk) hast dann geh mal diese: http://www.kssysteme.de/s_content.ph...002-01-31-3823 Anleitung zum Dienste konfigurieren durch. Dein Rechner wird dadurch im Internet erheblich sicherer.
Anmerkung- wenn du die Designs von Windows nutzt solltest du den Design-Dienst auf automatisch lassen.

hyrican