Boards @ MM-World

Verfasst: **Di 12.08.2003 - 16:11**

W32/Blaster-A ist ein Wurm, der Netzwerke überprüft, wobei er nach Computern sucht, die für die Sicherheitsschwachstelle im DCOM RPC von Microsoft anfällig sind.

Bei der Suche nach einem passenden Opfer gelangt durch den Wurm eine Kopie von ihm mittels TFTP auf den Remote-Computer, wo sie als msblast.exe im Windows-Systemordner gespeichert wird.

Zusätzlich erstellt der Wurm den folgenden Registrierungseintrag, so dass er beim Systemstart aktiviert wird:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\windows auto update

Nach dem 15. August startet der Wurm eine Distributed-Denial-of-Service-Attacke auf windowsupdate.com

Microsoft hat ein Patch für diese Schwachstelle zur Verfügung gestellt. Das Patch kann unter http://www.microsoft.com/technet/securi ... 03-026.asp heruntergeladen werden.

Der Wurm enthält den folgenden Text, der jedoch nicht angezeigt wird:

I just want to say LOVE YOU SAN!! billy gates why do you make this possible ? Stop making money and fix your software!!

und wer ihn hat, wie der solle bitte hier gucken:
http://www.trendmicro.com/vinfo/virusen ... _MSBLAST.A
und wenn alles net hilft:
http://www.diabolo666-board.com/showthr ... adid=14642

Auch Symantec der Hersteller von Norton Anti-Virus stellt bereits ein Tool zur Beseitigung des W32.blaster unter
http://www.symantec.com/avcenter/venc/d ... .tool.html

Verfasst: **Di 12.08.2003 - 17:24**

Heisst das mit Win98 SE bin ich aus dem Schneider,
abgesehen von den üblichen 4000 Schwachstellen????

rerir

Verfasst: **Di 12.08.2003 - 18:03**

Ich hatte heute bereits schon das Vergnügen mit dem Wurm. Zumal das ich am Anfang gar nicht wusste, wieso mein Comp. immer neustarten will, aber mein Virenwächter hatte dann ein Wörtchen zu sagen.

http://computer.t-online.de/comp/sich/v ... m-neu.html

Hier noch paar Infos zu dem Wurm. Betroffen sind XP / NT und 2000. Und das Ding kommt sehr schnell aufs System. Bei mir alleine durch Anwahl ins I net.. Durch E mail kann er nicht kommen, er geht nur durch die Sicherheitslücken der 3 Betriebssysteme.. Gibt auch einen Patch der ihn behebt. Auf keinen Fall die Infiezierte Datei löschen. 1. Ist sie wichtig und 2. bringt das überhaupt nichts, weil ständig ein neuer kommen kann. Am besten mit Patch schon vorsorgen, wenn man ihn noch nicht hat.
Und wenn man ihn hat merkt man es sofort. Man bleibt keine 2 min. mehr im Netz ohne das das Fenster erscheint, dass Windows herunterfahren lässt in 50 sek.

Bye Jeanne

Verfasst: **Di 12.08.2003 - 18:16**

Ahhh, darum starte ich seit Vorgestern, wenn im Internet befindlich, meinen PC alle paar Minuten neu.
Inzwischen ist der verd... Wurm aber erfolgreich vernichtet und eine Firewall installiert.
Hafensänger:

Bitte die nächste Virenwarnung VOR dem Auftreten dieses Wurmes.

GÜ

Verfasst: **Di 12.08.2003 - 18:17**

Jojo

Überall in Foren sind die Hilfeschreie aufgetaucht, doch mir war das egal *Win 98 streichel*

Also falls ihr den Wurm habt:
Patch von Microsoft saugen.
Durch Strg + Alt + Tab die Wurmdatei schließen.
Inet Verbindung kappen.
Patch installieren.
Neustart.

Verfasst: **Di 12.08.2003 - 19:57**

wenn ihr ne firewall anhabt seid ihr sogar trotz winXP geschützt

auch was nettes *ggg*

Verfasst: **Di 12.08.2003 - 21:34**

... dann müßte ich ja mit meinem Win95 auch aus dem Schneider sein, gell?

Guter, alter WIN95

Verfasst: **Di 12.08.2003 - 22:08**

habe dazu noch was gefunden

W32/Lovsan (11.08.) ** zunehmend verbreitet **
Alias: W32.Blaster.Worm, Worm.Win32.Lovesan, Win32.Poza, WORM_MSBLAST.A
Typ: EXE (Win32), Wurm (~6 KB)
Betroffen: Windows NT/2000/XP, MS IIS (Web-Server)
Verbreitung: DCOM/RPC (TCP-Port 135)
Anmerkung: nutzt Sicherheitslücken in Windows DCOM aus, die u.a. den Zugriff
auf $IPC-Freigaben ermöglichen (MS03-026).
Symptome: Existenz der Datei msblast.exe (~6 / 11 KB) im Windows-Verzeichnis,
sowie des Registry-Eintrags "windows auto update = msblast.exe" im Schlüssel
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Windows wird u.U. mit einem Countdown von 1 min. neu gestartet.
Schaden: missbraucht PCs für DDoS-Angriffe

Quelle:
http://www.tu-berlin.de/www/software/vi ... uell.shtml

Verfasst: **Mi 13.08.2003 - 21:43**

Heute auf der Chip-Homepage entdeckt nach Hinweis von Lamalas:

München (mg) – Nur wenige Stunden nach den ersten Attacken des "Blaster"-Wurms ist ein Nachfolger im Internet aufgetaucht. Nach Angaben von Trend Micro verbreitet sich "RPCSDBOT" wie "Blaster" über eine Sicherheitslücke im "Remote Procedure Call" des Windows-Systems.

Der neue Schädling ist allerdings noch gefährlicher, da er dem Angreifer vollen Zugang zum betroffenen PC gewährt. RPCSDBOT kann jede Art von Programmen auf den infizierten Rechner ausführen, und arbeitet mit einer "Backdoor", die sich mit einem IRC-Server verbindet. Über ihn soll das infizierte System kontrolliert werden können.

Laut Microsofts Bulletin Board ist der Wurm über den TCP/IP-Port 135 eines mit dem Internet verbundenen PCs aktiv. Betroffen sind die Betriebssysteme Windows NT, 2000 und XP.

Trend Micro bietet auf seiner Webseite ein kostenloses Tool zum Download an, das den "RPCSDBOT"-Wurm entfernt.

Download

Verfasst: **Do 14.08.2003 - 08:40**

Vielleicht interessant für Win 2000 Benutzer...

Durch die Angriffe des Wurms ist bei mir immer die folgende Systemdatei -nur beim einloggen ins I-net- abgestürzt : svchost.exe

Das führte dazu dass der PC nicht mehr korrekt arbeitete, ich mußte ihn aber selber herunterfahren. Nachdem ich die Sicherheitslücke mit dem Patch geschlossen hatte machte ich noch einen Scan, konnte aber den Wurm nicht finden, in meinem Fall verhinderte dieser Fehler das eindringen des Wurms....

das habe ich noch woanders gefunden:

W32.Blaster zeigt beim Angriff auf Systeme störende Nebeneffekte: Eine Fehlermeldung erscheint bei einigen Systemen in einem Pop-up-Window, mit dem Hinweis, dass der PC neu gestartet werden muss. Anschließend wird der PC automatisch heruntergefahren. Dieser Effekt beruht auf fehlender Kenntnis des Wurms über die Plattform des angegriffenen Systems. Der Wurm basiert auf dem seit zwei Wochen kursierenden Exploit "dcom.c". Die bisherige Version enthielt Offsets für 48 Zielplattformen zum erfolgreichen Anspringen des Shell-Codes auf dem Stack. Der Wurm verwendet nun zwei universelle Offsets für Windows XP und 2000. Zum Angriff muss der Wurm einen Offset auswählen: In 80 Prozent der Fälle wählt er den Offset für Windows XP. Ist das angegriffene System dann Windows 2000, führt das zum Absturz der "svchost.exe" und einem erzwungenen Reboot. Darüber hinaus gibt es auch noch einen Fehler im Wurm-Code selbst, der nach einer Infizierung ebenfalls die "svchost.exe" zum Absturz bringen kann.

wurmfreie Grüße

Verfasst: **Do 14.08.2003 - 12:36**

Hy, Ihr

Da ich mit diesem ***zensiert*** Wurm auch schon seit Tagen zu tun habe, halte ich mich auf dem Laufenden.

Seht mal hier:

http://computer.t-online.de/comp/sich/v ... rview.html

Ist doch sehr interessant, wie sich das entwickelt

Verfasst: **Fr 15.08.2003 - 15:03**

Heise.de vom 15.08.2003

Die bisherigen Erklärungsversuche zum flächendeckenden Blackout in den USA und Kanada sind reichlich lückenhaft: Ein Blitzschlag soll ein Kraftwerk an den Niagara-Fällen lahmgelegt haben. In der Folge brach in vielen Bundesstaaten das Stromnetz zusammen.

Um solche Ausfälle zu vermeiden, werden landesweit die Anschlüsse der Kraftwerke an das Stromnetz über ein zentrales Grid-Center gesteuert. Dies sorgt normalerweise auch dafür, dass notfalls Versorgungsgebiete schnell vom Netz abgekoppelt werden, um die anderen Kraftwerke nicht ebenfalls in den Abgrund zu ziehen. An dieser Stelle versagten die Schutzfunktionen. In der Folge erhöhte sich die Netzlast für andere Kraftwerke, die sich dann zum Schutz vor Überlastung ihrerseits vom Netz abkoppelten und damit einige Landesteile der USA nicht mehr versorgen konnten. Warum die Maßnahmen zur Vermeidung solcher Totalausfälle nicht gegriffen haben, ist noch unklar.

Bei unseren Recherchen sind wir auf folgende Zusammenhänge gestoßen: Das ausgefallene Niagara-Kraftwerk gehört zu National Grid USA. Dieser Energieversorger wird als Referenzkunde von Northern Dynamics aufgeführt. Diese Firma bezeichnet sich als "Home of the OPC Experts" und bietet eine Reihe von Produkten an, die OPC zur Kommunikation mit Kontroll- und Steuerungssystemen nutzen.

OPC steht für "OLE for Process Control" und setzt auf Microsofts COM/DCOM-Modell auf. Das ist aber genau die Technik mit dem Sicherheitsloch, das der Wurm W32.Blaster ausnutzt. In einem Netz, in dem dieser Wurm aktiv ist, versagt infolge der regelmäßigen Neustarts, die jetzt auch betroffene Endanwender bei ihren PCs beobachten, die DCOM-Kommunikation und damit auch OPC auf ungepatchten Systemen.

OPC wird unter anderem auch für die Kopplung sogenannter SCADA-Systeme (Supervisory Control and Data Acquisition) eingesetzt, wie sie auch Kraftwerke benutzen. Dabei werden Prozessdaten zwischen einer Zentrale (MTU) und einer oder mehreren Messeinheiten (RTU) ausgetauscht. Auch Sollwerte für Prozesse lassen sich über SCADA-Systeme einstellen.

Da National Grid USA für eine Stellungnahme nicht zu erreichen war, drängen sich uns folgende Fragen auf:

- Wofür genau setzt National Grid USA OPC ein?

- Gab es zum Zeitpunkt des Stromausfalls Probleme mit OPC? Und wenn ja: Stehen diese in einem Zusammenhang mit dem Wurm W32.Blaster?

Als weitere Referenzkunden führen die OPCExperts von Northern Dynamics unter anderen General Electrics, die Siemens AG, den europäischen Kraftwerksbauer ABB und die European Organization for Nuclear Research (CERN) auf. Auch hier besteht also Klärungsbedarf. (heise Security)/ (ju/c't)

[/b]

Verfasst: **Fr 15.08.2003 - 15:24**

Hm, mal ehrlich also ich bin mal absichtlich mit meinem 2. Rechner ( Versuchsrechner ) Ohne Firewall oderähnliches reingegangen und gesurft und gesurft, vorher aber alles was an Patches zur Antivirensoftware da war noch installiert, danach habe icvh nach ca. 3 Std. surfen alles überprüft auch selber die gesammten exedatein überprüft und was war? Nix rein garnix

obwohl mein Betriebssystem Win XP nur den Servicepack 1 drauf hat und die andenen Updates nichtmal!

Hm wenn der Artikel stimmt mit den 15 Min. ungeschützt surfen, da kommt doch schon so ne Frage auf wie "Könnte doch nur Angstmache sein von Symantec und co. um Ihren Absatz anzukurbeln!"

Verfasst: **Fr 15.08.2003 - 18:55**

Hy, Azurdrachen

Also, als ich am Dienstag Morgen meinen Rechner ins Internet gelassen habe, da war ich nichtmal 15 min. online, und zack hatte ich diese Meldung auf meinem Bildschirm (siehe Anhang)

Seitdem habe ich mir eine Firewall (Zonealarm), Norton Anti Virus auf den neusten Stand gebracht und AntiSpy installiert.
Die Hälfte der Zeit, die ich online war, habe ich mit Nachforschungen und Updates für diverse Sicherheitspakete verbracht.

Und jetzt, wo ich online bin, bekomme ich andauernd die Meldung von Zonealarm, dass sich irgendwelche Port-Inhaber mit diversen ID-Nummern und andere Fiesmöpse in meinen Rechner reinschleichen wollen...

Also, ich finde dieses Ding wirklich nicht mehr witzig.

Verfasst: **Mi 20.08.2003 - 22:37**

Achtung!!! Es gibt einen Neuen!

Bundesamt warnt vor neuem Wurm "Sobig.F"

Das Bundesamt für Sicherheit in der Informationstechik ( BSI ) hat am Dienstag vor einem neuen gefährlichen Computer-Wurm gewarnt. Eine Variante des bereits bekannten "Sobig"- Wurms habe innerhalb von nur wenigen Stunden bereits Tausende Rechner infiziert, teilte das BSI mit. "Sobig.F" verbreitet sich seit Dienstag per Mail mit großer Geschwindigkeit und wird nach einem Doppelklick auf den Dateianhang aktiviert.

Die entsprechende Mail lasse sich nur schwer erkennen, da die Namen der Anhänge sowie auch die des Absenders variieren können, sagte Frank Felzmann vom BSI. Das BSI warnt dringend davor, entsprechende Datei-Anhänge von eingehenden Mails ungeprüft zu öffnen.

Verfasst: **Mi 20.08.2003 - 22:40**

Und hier noch ein Artikel über eine neue Abart des W32.Blaster/Lovesan:

Lovsan/Blaster: Neuer Anti-Wurm lädt MS-Update herunter

Eine neue Variante des Computer-Wurms "Lovsan/Blaster" versucht nach Angaben führender Internet-Sicherheitsexperten, seinen Vorgänger unschädlich zu machen. Anders als bei Computer-Würmern sonst üblich sei die "Lovsan"-Variante "D" so programmiert, dass sie bei einer Infektion des Rechners durch den Vorgänger die entsprechende Wurm-Datei lösche, hieß es am Dienstag.

Der neue Wurm versuche, den zur Abwehr erforderlichen Sicherheits-Patch von Microsoft herunterzuladen. Der "Anti-Wurm", auch "Welchia" oder "Nachi" genannt, breitete sich nach Angaben des Antivirus-Software-Herstellers Trend Micro seit Montag zunächst in Japan, Taiwan und Singapur aus.

Verfasst: **Mi 20.08.2003 - 23:02**

Hallo Leute

Den von Mighty beschrieben Kameraden gibs inzwischen leider auch in Deutschland :

W32/Nachi-A ist ein Wurm, der sich über die RPC DCOM Schwachstelle verbreitet, ähnlich wie der W32/Blaster-A Wurm.

Microsoft hat am 16. Juli 2003 ein Patch für diese Schwachstelle, die der Wurm ausnutzt, zu Verfügung gestellt. Das Patch kann unter http://www.microsoft.com/technet/securi ... 03-026.asp heruntergeladen werden.

Der Wurm nutzt für seine Verbreitung außerdem eine Schwachstelle im Pufferüberlauf für die ntdll.dll Library in verschiedenen Versionen von Microsoft Windows. Die Schwachstelle wird durch eine Suchanfrage des WebDAV Protokolls aufgespürt.

W32/Nachi-A verwendet zwei Dateien, dllhost.exe (10.240 Bytes) und svchost.exe (19.728 Bytes). Dllhost.exe ist die Hauptkomponente des Wurms und svchost.exe ist der Standard TFTP (Trivial File Transfer Protocol)-Server, den der Wurm nur zum Übertragen von einem Ausgangsrechner auf einen Zielrechner verwendet.

Wenn der Wurm ausgeführt wird, kopiert er sich als dllhost.exe in den Ordner <Windows System>\Wins und erstellt mit Hilfe des Windows Service Control Managers neue Windows-Dienste. Es werden die Dienste RpcPatch und RpcTftpd erzeugt.

RpcPatch, mit der Beschreibung "Network Connections Sharing", startet eine Kopie des Wurms und RpcTftpd, mit der Beschreibung "WINS Client", startet den dazugehörigen TFTP-Server.

Der Wurm durchsucht dann das Netzwerk nach Computern, auf denen er die Schwachstelle ausnutzen kann. Er sendet dann ein ICMP Ping-Paket, um zu überprüfen, ob das Host online ist. Dem Ping-Paket folgt eine WebDAV Suchanfrage oder die Ausnutzung der RPC DCOM Schwachstelle. Wenn er erfolgreich ist, kopiert W32/Nachi-A mit Hilfe von tftp.exe die Wurmdateien von dem Ausgangssystem.

Wenn das System infiziert ist, versucht W32/Nachi-A, Sicherheitspatches von den Microsoft Update-Websites herunterzuladen. Je nach der Sprache des Betriebssystems verwendet W32/Nachi-A die entsprechende Download-URL aus folgender Liste:

http://download.microsoft.com/download/ ... 4ac9-b1e6-
cb99b62f9f2a/Windows2000-KB823980-x86-KOR.exe

http://download.microsoft.com/download/ ... 4ac9-b1e6-
cb99b62f9f2a/Windows2000-KB823980-x86-KOR.exe

http://download.microsoft.com/download/ ... 4af4-b576-
0a56b0a9d8e6/Windows2000-KB823980-x86-CHT.exe

http://download.microsoft.com/download/ ... 433d-8ad2-
b4b9d42049d5/Windows2000-KB823980-x86-ENU.exe

http://download.microsoft.com/download/ ... 4078-8a76-
3e81eb4554f6/WindowsXP-KB823980-x86-KOR.exe

http://download.microsoft.com/download/ ... 4507-9ac2-
6cec324b3ce8/WindowsXP-KB823980-x86-CHT.exe

http://download.microsoft.com/download/ ... 44af-8d48-
85e42de9d2c0/WindowsXP-KB823980-x86-CHS.exe

http://download.microsoft.com/download/ ... 458f-aaee-
b7a52a983f01/WindowsXP-KB823980-x86-ENU.exe

Wenn das Sicherheitspatch heruntergeladen ist, versucht W32/Nachi-A, das System neu zu starten.

Wird die Hauptservice-Routine gestartet, sucht W32/Nachi-A nach dem Prozessnamen und dem Dateinamen von W32/Blaster-A. Sofern der Prozess existiert, versucht W32/Nachi-A, den Prozess zu beenden und die Datei zu entfernen.

W32/Nachi-A löscht sich selbst vom System, wenn das Systemdatum der 1. Januar 2004 oder später ist.

Der Wurm enthält den folgenden Text, der jedoch nicht angezeigt wird:

=========== I love my wife & baby ~~~ Welcome Chian~~~ Notice: 2004 will remove myself:)~~ sorry zhongli~~~=========== wins

MFG

Jens

Boards @ MM-World

Virenwarnung-W32/Blaster-A

Virenwarnung-W32/Blaster-A

Zusammenhang zwischen Blackout und Windows-Wurm!?