der Wurm msblast, eine Zusammenfassung
 

ist von GIGA, sind alle relevanten Links dabei

[quote]Also, viele dürften es schon mitbekommen haben, es geistert wieder mal ein Wurm im Internet rum bei dem plötzlich eine Meldung erscheint dass der PC in 60 sec. heruntergefahren wird. Dabei handelt es sich um einen Exploit der die Schwachstelle im RPC-Dienst ausnützt. Um diese Lücke zu schliessen ist ein Patch zu installieren, der bei M$ schon seit längerem erhältlich ist:
[url]http://www.microsoft.com/germany/ms/technetservicedesk/bulletin/bulletinms03-026.htm[/url]

Verbreitung:

Der Wurm scannt zunächst das gesamte Subnetz nach offenen Ports 135 und geht dann dazu über zufällig ausgewählte Class B Subnetze zu scannen (255.255.0.0). Wenn ein offener Port 135 gefunden wird, wird der genannte Exploit dazu verwendet Zugang zu erlangen und eine Remote Shell auf dem betroffenen System zu starten. War diese Aktion erfolgreich, wird eine eingehende Verbindung auf Port 4444 hergestellt und das System wird angewiesen die Datei "msblast.exe" (UPX-gepackt, 6,176 bytes) mittels des FTP Services "tftp.exe" runterzuladen. Nach erfolgtem Download wird das System angewiesen, die Datei "msblast.exe" auf dem Remote-System auszuführen. Der Wurm schreibt einen Startaufruf in die Registry und beginnt nun seinerseits mit der Weiterverbreitung. Angenommene Schadensroutine: missbraucht PCs für DDoS-Angriffe.

Das macht der Wurm noch:

- Der Wurm kann bis zu 20 Verbindungen zu anderen betroffenen Systemen gleichzeitig aufrechterhalten

- Der Wurm infiziert XP und 2000er Systeme

- Da die Exploits auf den beiden Systemen unterschiedlich ablaufen und sich der Wurm für ein System „entscheiden“ muss, besteht die Chance, dass keine Infektion stattfindet, wenn versucht wird das falsche System zu infizieren (falscher Exploit-Code)

- Wenn der Wurm sich für das "falsche System entscheidet" (e.g. es ist XP installiert und er versucht den 2000er Code auszuführen) crasht der Prozess „svchost.exe“, das System wird unstabil und stürzt meistens ab, aber eine Infektion wird vermieden

-Wenn der Prozess „svchost.exe“ crasht wird u.U. ein Memory-Dump erstellt (user.dmp, svchost.exe.hdmp, oder vchost.exe.mdmp). Diese Dumps werden evtl. von Virenscannern als „DcomRpc.exploit“ oder „MS03-026 Exploit.Trojan“ identifiziert, da in dem Dump der schädliche Code gespeichert ist. Diese Meldungen sind jedoch harmlos und können ignoriert werden, d.h. die Dateien sind nicht infiziert und können einfach gelöscht werden. Die Existenz dieser Dateien weist lediglich auf einen evtl. fehlgeschlagenen Angriff hin

- Payload: Nach dem 16. eines Monats, oder wenn das aktuelle Datum zwischen Januar und August liegt, generiert der Wurm einen Thread, der nahezu ununterbrochen zufällig generierte Daten an windowsupdate.com sendet, was eine DDoS-Attacke auslöst (Distributed Denial of Service)

Infos von AV-Herstellern (AntiViren):

[url]http://de.mcafee.com/virusInfo/default.asp?id=description&virus_k=100547[/url] (W32/Lovsan.worm)
[url]http://www.pandasoftware.com/virus_info/encyclopedia/overview.aspx?idvirus=40369[/url] (W32/Blaster)
[url]http://de.trendmicro-europe.com/enterprise/security_info/ve_detail.php?VName=WORM_MSBLAST.A[/url] (WORM_MSBLAST.A)
[url]http://securityresponse.symantec.com/avcenter/venc/data/w32.blaster.worm.html[/url] (W32.Blaster.Worm)
[url]http://www.europe.f-secure.com/v-descs/msblast.shtml[/url]
[url]http://vil.nai.com/vil/content/v_100547.htm[/url]
[url]http://www.sophos.com/virusinfo/analyses/w32blastera.html[/url]

Weitere Infos zu diesem Wurm:

[url]http://de.secunia.com/advisories/9287/[/url]
[url]http://www.heise.de/security/news/meldung/38913[/url]
[url]http://www.heise.de/security/news/meldung/38939[/url]
[url]http://cert.uni-stuttgart.de/ticker/article.php?mid=1124[/url]
[url]http://cert.uni-stuttgart.de/ticker/article.php?mid=1132[/url]
[url]http://www.europe.f-secure.com/v-descs/rpc.shtml[/url]
[url]http://isc.sans.org/diary.html?date=2003-08-11[/url]

Tools um den Wurm zu entfernen:

[url]http://www.sarc.com/avcenter/venc/data/w32.blaster.worm.removal.tool.html[/url]
[url]http://de.trendmicro-europe.com/enterprise/support/tsc.php[/url][/quote]

hmm....

dacht mir grad, ach was. das ich das schon mal hatte trifft zu
(die meldung das der pc in 60 secs runtergefahren wird)
aber dann dacht ich mir
ach was da war ich selber schuld als ich den prozess svhost.exe geschlossen hab als dieser eine auslastung von 99% verursacht hatte und dann eben die meldung kam

bis ich grad ein paar zeilen weitergelesen hab :roll:

werd das jetz mal checken

[url]http://www.sarc.com/avcenter/venc/data/w32.blaster.worm.removal.tool.html[/url]

danch wird man gefragt, ob man zu ms weitergeleitet werden soll, für den patch download

Das Problem an sich haben wir ja schon im Forum --> [url=http://forum.tweakpc.de/viewtopic.php?t=13456]hier[/url]


UnoOC

Wen hats den von euch erwischt?
Bei mir wurde der wurm vom Virenscanner abgefangen, zum glück saugt der jeden Tag automatisch die neusten Signaturen, also hat der keinen größeren schaden angerichtet, er war aber auf dem System drauf. jetzt habe ich auch gepatcht.

bei mir nicht, aber bei einem kumpel. hab ihm mal den link für den patch geschickt.

welchen antivirus hast du?

F-Secure.
Das benuzt 3 Scanengines gleichzeitig, also 3 Scanner in einem, ist echt gut.

danke. was hälst du von kaspersky? schneidet eigentlich auch überall nicht schlecht ab.

Bei mir ist er gar nicht aufgetaucht, auch wenn der PC 24/7 online ist - kann aber auch an der Firewall liegen - kA

ich fass es nicht! ich bin so um 11 schwimmen gegangen und da kommen dann leute zu mir und sagen das deren pc alle60 sec neustarten! ich sagte installier windows neu! auf einmal krieg ich handy anrufe die leider nicht annehmen konnte! als ich eben zuhause ankám hab ich von einen bekannten gehört das ein wurm das alles ausgelöst hat! ich fass es nicht die hälfte der leute die ich heute getroffen habe hatten den wurm! Puhh ich zum glück nicht! obwohl ich heute morgen die ganze zeit im net war!

[quote=MoRecords]ich fass es nicht! ich bin so um 11 schwimmen gegangen und da kommen dann leute zu mir und sagen das deren pc alle60 sec neustarten! ich sagte installier windows neu![/quote]

Du schießt ja sehr schnell los :wink:

ach glaubst du das ich bock habe zu denen dann nach hause zufahren und zu gucken was der fehler ist! ich hab noch 2 tage ferien und da soll mich keinr nerven! Verstehst du doch ne? Was hättest du den in meiner situation gemacht :cry: ?

also mich hats auchnochtnicht erwischt... 24/7 rechner an... firewall läuft... update ist nix installiert :)

mein rechner lief die letzten tage auch 24h, scheint so als ob meine firewall das schlimmste verhindert hat :!:

Da haben wir's mal wieder...
Jeder, der seinen PC nicht ordentlich absichert, hat mal wieder eine kleine "Erinnerung" bekommen ;-)
Selbst schuld kann ich da nur sagen! Ihr lasst doch auch nicht Euer Auto offen auf der Strasse stehen, warum dann den PC offen ans Internet hängen??? Das werd ich nie verstehn

Das Problem bei mir ist/war, daß die Datei msblast.exe nicht der einzige Verursacher des Chaos ist...

Nachdem ich den patch installiert habe, crashed zwar xp nicht mehr, aber ich habe einen Haufen Traffic auf dem rc-port 135. Der ist jetzt dicht. Dank zonealarm....

alienleader

[quote=Frank77]Da haben wir's mal wieder...
Jeder, der seinen PC nicht ordentlich absichert, hat mal wieder eine kleine "Erinnerung" bekommen ;-)
Selbst schuld kann ich da nur sagen! Ihr lasst doch auch nicht Euer Auto offen auf der Strasse stehen, warum dann den PC offen ans Internet hängen??? Das werd ich nie verstehn[/quote]

Danke für die info...

so noch eine schrecken Nachricht
soweit ich von meinen Bekannten von OFP gehört habe
von 16.08.03 bis 18.08.03 noch eine große Atacke

auch bei mir fast jeden bis auf 3 hatt es erwischt, man innerhalb von 12h hatt es mehr al 55000 Rechner erwischt, hab ich gehört

die Leute die sich nicht so auskennen haben da meist ihr Festplatte Formatiert ... :roll:

auch einige Server hatt es erwischt

krass was da passiert ist

ich sag nur...

absturz der svghost.exe....

hatte drei rechner im netz was meinste was gestern abging... 4 stundne virensuche...und gepatche

zum schluss hat sich herausgestellt das mein i-net rechner sicheinfach nur verschluckt hatte... nix mit virus...

[quote=Anonymous]Das Problem bei mir ist/war, daß die Datei msblast.exe nicht der einzige Verursacher des Chaos ist...

Nachdem ich den patch installiert habe, crashed zwar xp nicht mehr, aber ich habe einen Haufen Traffic auf dem rc-port 135. Der ist jetzt dicht. Dank zonealarm....

alienleader[/quote]
Den Traffic auf Port 135 verursacht doch gerade MSblast.exe, darüber verbreitet der sich doch.

Juhuu!Gerade rechtzeitig noch alle Sicherheitsupdates installiert :D 8)
******* Hackerfutzies :evil:

ich Update so oft wie es nur geht, ich wurde nicht befallen
ich hab jedes Servicepack von der 1 bis zur 4 usw.

Die sollte man alle

[img]http://www.smiliemania.de/smilie.php?smile_ID=90[/img]

oder
[img]http://www.smiliemania.de/smilie.php?smile_ID=70[/img]

naja, die Hacker usw. sind schon bescheuerte Typen
der jenige entwickler von msblast wird sich schon todlachen, was sein Wurm angerichtet hatt,
1,5 mill Rechner in der USA down nur wegen so ein Wurm der eine Sicherheitslücke von Windows benutzt, nicht schlecht

tja Microsoft, Programmier mal was besseres und Pflick nicht alles so zusammen

[quote=Pirke][quote=Anonymous]Das Problem bei mir ist/war, daß die Datei msblast.exe nicht der einzige Verursacher des Chaos ist...

Nachdem ich den patch installiert habe, crashed zwar xp nicht mehr, aber ich habe einen Haufen Traffic auf dem rc-port 135. Der ist jetzt dicht. Dank zonealarm....

alienleader[/quote]
Den Traffic auf Port 135 verursacht doch gerade MSblast.exe, darüber verbreitet der sich doch.[/quote]

Allerdings sicherlich nicht, wenn die Datei bereits gelöscht und in der registry eliminiert und das patch installiert und die Zugriffe von [b]Außen!!![/b] kommen...

alienleader

P.S.: ZoneAlarm fängt bei mir im 30sec.-Takt Angriffe auf port 135 ab, die von Außen gegen meinen Rechner gerichtet werden!!! (bereits 2 während ich das hier gerade schreibe). Achja und das symantec-removal-tool sagt, daß mrin Rechner wurmfrei ist...

Moin Jungs und Mädels,

ich hatte diesen Wurm auch. Habe dann erst mal die msblat.exe per hand gelöscht, dann das tool von Symantec (FixBlast.exe) drüber laufen lassen und anschließend noch mal das Tool von McAfee (Stinger.exe). FixBlast hat schon einiges gefunden und gelöscht, aber der Stinger hatte noch mal mehr gefunden. Und zwar in den System-Restore-Dateien.

Dann hab ich erst mal die WinXP Firewall für die DFÜ-Verbindungen aktiviert.

So, dann hab ich das MS Patch "WindowsXP-KB823980-x86-DEU.exe" installieren wollen, aber ich bekomme immer eine Meldung von wegen die update.inf Datei könnte nicht entziffert werden, ich sollte nachschaun ob der Kryptordienst läuft. Er läuft! Aber das Patch kann ich nicht installieren. Auf meiner anderen WinXP-Partition (selbes SP, identische Konfiguration) kann ich das Patch installieren. Hat einer ne Idee???

Gruß
AyGee

Hallo!

Nachdem ich diesen Wurm bekommen habe interessiert mich es. Ich habe vor kurzem auf meinen Notebook Windows XP Professional installiert. Ich wollte mit dem einen e-mail schicken. In der Zeit habe ich ein Update für die Norton Antivirus runtergeladen. Ein Fenster kam auf, und schrieb, daß der Rechner sich in 60 Sekunden abschalten wird. Das hat er wirklich getan - aber es war kein "Power Off", sondern "Reset". Ich habe den Notebook ausgeschaltet, und kam hierher zu meinem Rechner mit Windows Me (denke darauf kommt dieser Wurm nicht).

Was sollte ich jetzt machen (mit dem Notebook). Ich habe sehr wichtige daten drauf. Ich habe schon ein Tipp bekommen, daß ich Win Me installieren soll, aber das geht nicht, den meine Festplatte ist ganz voll. Freie Platz: ca. 700Mb. Was sollte ich machen, ohne meine Daten zu beschädigen?

Darf ich den Notebook einschalten?

Danke!

du kannst es einschalten solange du nciht ins internet gehst. lad dir mit dem me rechner den patch von microsoft runter und installier ihn dann auf deinem notebook. das sollte dann reichen. zur sicherheit kannst du noch eine firewall installieren und den port 135 sperren

Danke!

Soll ich auch den msblat.exe Datei löschen? Ich habe jetzt einige entfernerprogramme runtergeladen. Soll ich eines davon unter Windows ausführen?

[quote=ProFiler]Danke!

Soll ich auch den msblat.exe Datei löschen? Ich habe jetzt einige entfernerprogramme runtergeladen. Soll ich eines davon unter Windows ausführen?[/quote]
Ja, das sollst Du. Endlich mal eine einfach zu beantwortende Frage hier im Forum :-)
Was veranlasst Dich denn zu dieser Frage?

Ciao,
sys3

[quote=Pirke]Wen hats den von euch erwischt?[/quote]
Mich nicht, da ich meinen Virenscanner auf dem neusten Stand halte und schon gelegentlich meinem WinXP die neusten Sicherheitspatche gönne.
Über Mail bin ich dank TheBat! auch nicht wirklich angreifbar.... bleibt also nur noch mein IE6 über, über den ich mir aber auch noch nie was eingefangen habe (auf "entsprechenden" Seiten werden die Einstellungen auf sicher gestellt oder OPera genutzt).

Naja, dachte mir, daß es so gehen sollte...

Ich habe - denke ich - den Wurm "Blaster" beseitigt. Ich habe es so gemacht:
Zuerst habe ich den Windows-Update zu dieses Problem von Microsoft runtergeladen und Installiert. Danach suchte ich nach der Datei msblast.exe in dem Verzeicnhis Windows\System32. Es war wirklich dort, aber ich konnte es nicht löschen, denn das "Program" lief im Hintergrund - also ich musste es zuerst ausschaletn. Danach konnte ich den Datei löschen. Danach habe ich einige Entfernerprogramme - die oben geschrieben waren - ausgeführt. Ich habe gelesen, daß ich auch in der Registry nachschauen soll, aber dort habe ich nicht gefunden. Den Windows-Firewall habe ich eingeschaltet für den Internet-Verbindung. Ich habe jetzt ZoneAlarm und Norton Personal Firewall installiert.

War das so Richtig? Oder was sollte ich noch machen?
Könnte ich diesen Wurm so eingestellt noch einmal bekommen? (Hoffe nicht!)

Danke!

rein theorithisch könnte er dich nicht mehr Angreifen, aber man was ja nie was noch so alles erscheint, zur zeit hast du ein sicheres Sys.

aber du kannst dein Sys. nochmal richtig checken, mit diesen Tool ist das möglich, hier der Link wo du dieses Tool downloaden kannst, mit einigen Infos

[url]http://download.t-online.de/dl_detailseite3_db.phtml?progid=21323[/url]

Danke!

Ich werde den Testen!

ich kanns mir nicht verkneifen... ;)

[size=6]HA HA![/size] @ alle wurmbefallenen... :mrgreen:

(schließlich war seit Juli schon n Patch von Microsoft draussen... :roll: - aber vielleicht lernt ihr ja aus euren fehlern...)

:idea: Ce.

ich muss auch lachen und zwar über die in der USA, wie können dort 1,5 mill Rechner infiziert werden!, schläft dort der Bill Gates und die Bewohner des Landes? , Updaten die ihren Rechner nie?, ich glaub schon das die das nie machen
[b]HA HA HA[/b]


meiner war nicht befallen :D
dennoch ist es für die betroffenen nicht leicht danach

[quote=AyGee]
So, dann hab ich das MS Patch "WindowsXP-KB823980-x86-DEU.exe" installieren wollen, aber ich bekomme immer eine Meldung von wegen die update.inf Datei könnte nicht entziffert werden, ich sollte nachschaun ob der Kryptordienst läuft. Er läuft! Aber das Patch kann ich nicht installieren. Auf meiner anderen WinXP-Partition (selbes SP, identische Konfiguration) kann ich das Patch installieren. Hat einer ne Idee???
[/quote]

Kennt denn keiner dieses Problem oder kann etwas dazu sagen???

Gruß
AyGee

Ich denke einige von euch sollten sich mal informieren was "Hacker" eigentlich sind - leute die viren etc. schreiben sind einfach nur sensationsgierige idioten, mehr nicht

[quote=Ce_Jäger]ich kanns mir nicht verkneifen... ;)

[size=6]HA HA![/size] @ alle wurmbefallenen... :mrgreen:

(schließlich war seit Juli schon n Patch von Microsoft draussen... :roll: - aber vielleicht lernt ihr ja aus euren fehlern...)

:idea: Ce.[/quote]
ich habe mir bi dahin und ich werde auch in zukunft mir nicht jeden MS Patch runterladen, ich wil keinen Flickenteppich von Windows, nach einer neuinstallation müsste ich dann wieder alles machen, so ein sch...
Ich habe mir jetzt lieber eine gute Firewall drauf gemacht, das langt.

[quote=Pirke][quote=Ce_Jäger]ich kanns mir nicht verkneifen... ;)

[size=6]HA HA![/size] @ alle wurmbefallenen... :mrgreen:

(schließlich war seit Juli schon n Patch von Microsoft draussen... :roll: - aber vielleicht lernt ihr ja aus euren fehlern...)

:idea: Ce.[/quote]
ich habe mir bi dahin und ich werde auch in zukunft mir nicht jeden MS Patch runterladen, ich wil keinen Flickenteppich von Windows, nach einer neuinstallation müsste ich dann wieder alles machen, so ein sch...
Ich habe mir jetzt lieber eine gute Firewall drauf gemacht, das langt.[/quote]

naja ohne haste nen löcherteppig... :-)
und das neu machen ist auch nicht die welt... du gehst auf die updateseite, markierst was du haben willst und den rest macht das script...

es gibt halt auch löcher, da nützt dann auch keine firewall was..

Ich lasse mich aber auch nicht vom Microsoft Update Service ausspionieren.
Aber egal, ich habe bisher keinerlei Probleme gehabt. Firewall und Virenscanner haben mich immer gut geschüzt.
BTW. Die ServicePacks installiere ich natürlich, womit dann auch die meisten und schlimmsten Lücken behoben werden.

der überträgt nix anderes, als das was dein xp auch so ständig sendet, bei den verschiedensten gelegenheiten.

[quote=Pirke]Ich lasse mich aber auch nicht vom Microsoft Update Service ausspionieren.
[/quote]Du vertraust Deinen gesamten Netzverkehr dem Microsoft TCP/IP-Stack an, aber hast Angst vor dem Microsoft Update Service?

Ciao,
sys3

Ich wil MS nicht mehr senden, als nötig und den Update Service finde ich net so dolle.
Ich warte lieber auf ein SP oder ein großes sicherheitsupdate, ich werde aber nicht zig kleine Updates saugen.

ich sagte ja schon, du überträgst da nix anderes, als im normalbetrieb auch...

[quote=_Smash_]ich sagte ja schon, du überträgst da nix anderes, als im normalbetrieb auch...[/quote]

So isses, wer die Updates nicht fährt ist selber schuld, wenn das OS leck ist, hilft auch ne FW oder nen Virenscanner nicht!

Hatte noch nie Probleme damit, also werde ich es auch nicht ändern und ich habe, auch wenn da nichts weiter gesendet wird, trotzdem keine Lust mir jede WOche 100000 eue Patches zu installieren und so einen flickenteppich zu bekommen um dann nach einer Win neu installation wieder alles neu zu machen.

hm wenn da mal alle 2 wochen 1-2 patches rauskommen ist das schon ok finde ich..
man muss es ja auch nicht machen...

und, wie ich schon sagte, nach der installation drückst du nur EINMAL einen button und alle sicherheitsrelevanten patches werden auf einmal installiert.

ich glaube da kann man sich auch ohne grund verrückt mit machen!

Nun gut. Du hast deine meinung und ich habe meine und ich werde auch in zukunft nur ie SPs installieren.

ok

[quote=_Smash_]ich sagte ja schon, du überträgst da nix anderes, als im normalbetrieb auch...[/quote]
Und wie will dann die MS Seite feststellen, welche Patches ich alle brauche? Da wird garanteirt ws aus der Registry überragen und dass will ich net so unbedingt.
Habe gerade auch mal Updates gezogen, finde ich aber irgendwie komisch, zwei Minuten später ging ich nochmal dahin und der wollte mir wieder Patches andrehen, sehr komisch.

[quote=Pirke]
Habe gerade auch mal Updates gezogen, finde ich aber irgendwie komisch, zwei Minuten später ging ich nochmal dahin und der wollte mir wieder Patches andrehen, sehr komisch.[/quote]

einige patches bedingen andere patches.
als beispiel: du brauchst nur die updates für den ie 6.1 wenn du diesen auch installiert hast.


ich glaube was die seite alles abfragt wurde irgendwann mal veröffentlicht, aber ich weiss nicht, ob da was aus der registrierung dabei ist...
ich frage mich allerdings, was man in der registrierung zu verbergen hat...


und ich musses nochmal sagen....
das ganze bs stammt von microsoft, warum glaubst du die könnten sich die infos nicht holen, wenn du die updatefunktion nicht benutzt?