Neue Sicherheitslücke bei Windoof

Oh, da hab ich wohl :O

Doppelt gemoppelt hält besser :kissy:

Hallo Leute, hier mal wieder eine neue Sicherheitslücke bei Windoof:

Windows shutdown!!! W32.Blaster greift an Vielleicht hatten ja bereits einige
von euch diesen Fehler, ich hab jedenfalls letzte zeit oft davon gehört. Bei den
meisten crasht eine exe, danach gibt es einen Countdown, dann reboot. Dieser
Fehler ist warscheinlich eine Schwachstelle im System, die von mini Hackern
genutzt wird, sprich nuke. Hier also die Info was man tun muss wenn das bei euch
passiert: Im Startmenü "Ausführen", danach in der Konsole "shutdown -a"
eingeben, dadurch verhindert ihr den reboot. Danach solltet ihr einen XP Patch
runterladen und installieren. Danach sollte es keine Probleme mehr geben.
------------------------------------------------------------------ Der seit
Tagen erwartete Wurm, der einen Fehler im RPC/DCOM-Dienst unter Windows 2000 und
XP ausnutzt, ist im Internet unterwegs . Symantec taufte ihn W32.Blaster ,
McAfee nennt ihn W32.Lovsan . Das Bundesamt für Sicherheit in der
Informationstechnik (BSI) hat ebenfalls bereits eine Warnung herausgegben, !
siehe dazu das BSI-Advisory auf heise Security. Auf befallenenen Systemen (A)
startet der Wurm einen TFTP-Server und greift weitere Windows-Systeme (B) auf
Port 135 an. War ein Angriff erfolgreich, wird der eingeschleuste Code
ausgeführt, der auf System B eine Shell auf Port 4444 öffnet. System A
veranlasst System B mittels TFTP (tftp get msblast.exe) die Datei msblast.exe in
das Verzeichnis %WinDir%\System32 nachzuladen und zu starten. Anschließend
installiert sich der Wurm auf System B, schließt Port 4444, startet einen
TFTP-Server und greift weitere Systeme an. Der Wurm versucht nach Angaben von
Symantec eine Denial-of-Service-Attacke gegen windowsupdate.com durchzuführen.
Als Zeitraum dafür ist der 16. August bis 31. Dezember definiert. Auf befallenen
Systemen werden folgende Registry Einträge erzeugt:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ Run "windows auto
update" = msblast.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ Run "wind!
ows auto update" = msblast.exe I just want to say LOVE YOU SAN!! bill Erkennbar
ist ein Befall auch am offenen UDP-Port 69, auf dem der TFTP-Server auf
ankommende Verbindungen wartet. Darüberhinaus öffnet ein infiziertes System 20
TCP-Ports im Bereich 2500 bis 2522 und versucht Verbindungen mit weiteren
Systemen aufzunehmen. Der genaue Zweck dieser Verbindungen ist noch unklar,
Symantec gibt an, dass sie zu Angriffszwecken geöffnet werden. NAI weist
hingegen darauf hin, dass die Ports im LISTEN-Mode geöffnet werden, also auf
eingehende Verbindungen warten. Symantec hat bereits ein Removal-Tool
bereitgestellt, um den Wurm von befallenen System zu entfernen. Es wird dringend
empfohlen, die Patches zum Beseitigen der Sicherheitslücke einzuspielen. Da der
Patch einen weiteren Fehler im RPC-Dienst, der DoS-Attacken ermöglicht, nicht
beseitigt, sollten zusätzlich die UDP- und TCP-Ports 135 bis 139, 445 und 593
gefiltert werden.

Also die NEUESTEN UPDATES ZIEHEN

siehe Thread "RPC Problem" von gestern abend

Tja, lieber Starbit

gestern haste Dich noch über mich lustig gemacht

Zitat

Original von Kawa_Zrx_1100

Also die NEUESTEN UPDATES ZIEHEN

Bevor das Update fertig war hatte der Wurm meinen Rechner infiziert...

Aber so leicht lasse ich mich nicht unterkriegen!

Gruß Bernd

Tja, so eine sch.......ich kam leider nicht mehr dazu die guten tips umzusetzen, war schon zu spät und ich musste meine kiste schon zum 2. mal zur gründlichen desinfektion bringen.....

jetzt da ich endlich wieder online sein kann, werde ich mich mal durch die vielen neuen beiträge wühlen, bin froh wieder bei euch zu sein......! :]

Sehr geehrte(r) Herr XXXXX, (das bin ich )

wie Sie sicherlich aus den Medien erfahren haben, verbreitet sich seit einigen Tagen ein neuer Computer-Virus mit dem Namen "W32.Blaster" über das Internet. Dieser ist auch bekannt unter der Bezeichnung "W32/Lovsan".

Dieser sog. "Wurm" befällt ausschließlich Rechner, die eines der folgenden Betriebssysteme verwenden:
- Windows 2000
- Windows NT 4.0
- Windows XP
- Windows 2003 Server

Sollten Sie eines dieser Betriebssysteme installiert haben, ist es durchaus möglich, dass auch Sie sich bereits mit diesem als äußerst
gefährlich und kritisch eingestuften Wurm infiziert haben.

Was passiert, wenn mein Computer sich mit dem Wurm infiziert hat? = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = =
Der Wurm nutzt eine bekannte Sicherheitslücke in den o.g. Windows Betriebssystemen aus. Er verbreitet sich direkt über das Internet, also nicht wie in vielen anderen Fällen beispielsweise als E-Mail-Anhang.
Er sucht selbstständig nach Rechnern, die über eine bestimmte Schwachstelle angreifbar sind, und bei denen die Sicherheitslücke noch
nicht geschlossen wurde. Die bloße Verbindung mit dem Internet kann also bereits zu einer Infizierung Ihres Rechners führen. Der Wurm sorgt beim Anwender dafür, dass das System instabil wird und im Extremfall auch abstürzt. Dabei erscheint eine Fehlermeldung über den Ausfall des "RPC-Dienstes" und das System startet neu. Dem Anwender signalisiert dabei ein Countdown die verbleibende Zeit bis zum Neustart. Außerdem werden durch den Wurm über 20 zufällig ausgewählte TCP-Ports geöffnet, die der Wurm zum "Lauschen" nutzt. Der Rechner wird also auch für eventuelle
zukünftige Attacken leichter angreifbar.

Somit verursacht der Virus bei Ihnen unter Umständen Kosten durch vermehrte Einwahlen in das Internet; mal vom Ärger abgesehen, wenn der Rechner plötzlich nicht mehr reagiert und ohne Eingriffsmöglichkeit runterfährt.

Wie kann ich feststellen, ob ich mich bereits infiziert habe?
= = = = = = = = = = = = = = = = = = = = = = = = = = = = = = =
Antiviren-Spezialisten, wie z.B. Symantec haben bereits Tools zur Erkennung und Beseitigung dieses Wurms zur Verfügung gestellt. Weitere Informationen dazu erhalten Sie unter: http://www.symantec.de/techsup…/de_w32_blaster_worm.html

Sie können das Programm zur Erkennung und Beseitigung auch direkt
runterladen: http://securityresponse.symantec.com/avcenter/FixBlast.exe

Führen Sie vor dem Start des Programms bitte folgende Schritte aus:

- Melden Sie sich als Administrator an Ihrem Rechner an.
- Schließen sie alle geöffneten Programme.
- Deaktivieren Sie die automatische Systemwiederherstellung von
Windows XP unter
"Start" > "Systemsteuerung" > "System" > "Systemwiederherstellung".
- Starten Sie das Tool mit dem Aufruf der Datei "FixBlast.exe".
- Sollte der Wurm erkannt werden, rebooten Sie bitte den Rechner und
starten das Tool erneut. So können Sie sichergehen, dass auch wirklich
alle Reste des Wurms entfernt werden.

Wie kann ich eine erneute Infizierung verhindern?`
= = = = = = = = = = = = = = = = = = = = = = = = =
Bringen Sie Ihr Windows-System durch die von Microsoft angebotenen Patches auf den neuesten Stand. Bitte wählen Sie unter folgender URL
Ihr Betriebssystem aus. Bitte beachten Sie dabei, dass Windows XP in der Regel als 32-Bit Version installiert ist:

http://www.microsoft.com/germa…ulletinms03-026.htm#Patch

Wir raten dazu, bei Windows-Systemem die automatische Windows-Update- Funktion zu aktivieren oder Ihr Betriebssystem regelmäßig manuell auf
dem neusten Stand zu halten.

Mit freundlichen Grüßen
1&1 Internet AG