mboost-dp1

unknown

Sikkerhedsfejl i windows bliver nu brugt

- , redigeret af Pernicious

I et ukendt, men stort omfang, er mange windowsbrugere mandag aften blevet angrebet gennem et sikkerhedshul, i en bestemt RPC protokol der styrer udvekslingen af data over TCP/IP. Mange brugere har i øjeblikket problemer med windows der melder fejl, hvorefter det lukkes efter 60 sekunder. Sikkerhedshullet kan i værste fald give hackeren fuld adgang til systemet. Problemerne skyldes sandsynligvis virussen W32.Blaster.Worm.

Microsoft udgav for knap en måned siden en opdatering, der retter fejlen. En liste over rettelsen til de forskellige versioner af Windows, kan ses her, rettelsen hentes også via Windows Update. Har du ikke fået opdateret endnu, var det måske en idé at få det gjort.





Gå til bund
Gravatar #51 - madsvangsgaard
12. aug. 2003 17:31
Lige et spørgsmål til.
Det forsvinder vel når man formattere harddisk??????
Gravatar #52 - Jensus
12. aug. 2003 17:33
Let me get this right, Millenium Edition rammes sjovt nok ikke ?
Gravatar #53 - Morris
12. aug. 2003 18:00
WinMe er jo ret lowtech ikke? Dit løbehjul tager jo heller ikke skade af en EMP vel ;)
Gravatar #54 - Scavy
12. aug. 2003 18:02
Tjah... Har haft en del kunder med samme problem i løbet af dagen. Men det er ret hurtigt at løse når man efterhånden kender rutinen...
Gravatar #55 - Arcona
12. aug. 2003 19:02
1. Opdater maskinen med ovenstående patch fra Microsoft
2. Fjern værdien i registreringsdatabasen, som peger på "msblast.exe"
3. Genstart maskinen
4. Slet herefter msblast.exe fra windows system mappen (system32)

( fra http://www.krusesecurity.dk/advisories/blastworm.t... )
Gravatar #56 - sguft
12. aug. 2003 20:10
heh, den viste sig så at være lidt sjovere at patche når man kører en Windows Server 2003 Beta udgave som MS har været så snilde ikke at understøtte med deres fine patch.
At man så skal forsøge at gøre det på et system hvor DCOM servicen er crashet (af en eller anden grund lykkedes det ikke ormen at inficere serveren, næh istedet crashede den RPC servicen og hvad dertil følger). Det betyder at copy/paste og drag/drop, Søg og alt hvad der i det hele taget bruger COM ligepludselig ikke virker i Windows. Så er det ud i console og lege :)

Det bliver så først spændende når man skal til at battle med Windows Server 2003's System File Recovery system. ARGH! :)

Men jaja, efter at have brugt adskillige timer på problemet blev den da patchet i sidste ende .. gid hostingfirmaer dog ikke ville sætte ens server pivåben på nettet (Man kunne self. installere en software firewall eller lign, men det er en anelse farligt når man ikke har fysisk adgang til maskinen ;)
Gravatar #57 - mikbund
12. aug. 2003 21:18
#51:
Jo den forsvinder når du formaterer harddisken men kommer lige så hurtig igen når du logger på internettet :-) Dvs. når du har formateret opretter du en forbindelse til internettet men med firewall installeret. Derefter patcher du.
Ja firewallen lader du naturligvis blive :-)
Gravatar #58 - fastwrite
12. aug. 2003 23:42
Min svigerfar havde samme problem. Fik ham til at disable fjernstyring, genstarte maskinen, og nu virker den igen - til jeg kommer og skal have tjekket maskinen igennem for virus.

Jeg er ikke selv ramt - men kører også jævnligt update - samt har en dejlig hardware firewall - ahh....
Gravatar #59 - Timmy.dk
13. aug. 2003 04:47
SKDLD... Der var nok også ca. 20 Personer, derr ringede til mig og spurgte hvad der var galt...... Men min maskine var der self. ikke noget galt med:)
Gravatar #60 - TYBO
13. aug. 2003 06:31
gider ikke autoupdate..men besøger windowsupdate 1 gang i ugen :)
Gravatar #61 - derb
13. aug. 2003 12:02
Min cd-drev var lige brændt sammen så jeg var rimelig nede og så begyndte min computer at crashe sådan nårjeg startede op. Den prøvede ikke at genstarte, Den crashede bare.. Så tjekkede jeg lige processor der kørte og så en msblast som jeg ikke vidste hvad fanden det var (tænkte spyware). Så prøvede jeg at få mine drev til at virke, fordi jeg ville formatere (har kun win2k på cd). Pisse fedt at de så ikke ville virke.
Så joiner jeg irc og bliver straks spammet med beskeder om at msblast er en virus. Fik da lortet fjernet efter 4-5 scans og efter at ha' installeret den samme update 2 gange... Desværre kom mine drev ikke til at virke af den grund.

Og ja! Så kan jeg vel lære at update, men MS kan også lære at lukke sådan noget fra starten?

Hov, undskyld... Det var min taberven det skete for, ikke mig..
Gravatar #62 - TullejR
13. aug. 2003 12:53
"...men MS kan også lære at lukke sådan noget fra starten?"

Det kan de åbenbart ikke. Det er også en af grundene til at jeg ikke gider bruge min kostbare tid på windows.
Gravatar #63 - FISKER_Q
13. aug. 2003 13:23
#61
Fordi de ikke har fundet den?
Gravatar #64 - derb
13. aug. 2003 13:41
fundet hvad? "fejlen"? de ved vel hvad de laver (ej ok), så burde de også vide om folk udnytter den..
Gravatar #65 - seahawk
13. aug. 2003 13:46
#64:

Lad mig gætte, du er ikke programmør... :o)
Gravatar #66 - FISKER_Q
13. aug. 2003 13:50
#64 fejlen har været rettet i en måned, sååå?
Gravatar #67 - halal
13. aug. 2003 14:03
Hehe så kan min skole lære det. Halvdelen af skolens computere er blevet infected...
Fatter dog ikke hvorfor administratorene ik har updatet dem inden skolestart. Det sikkerheds hul har jo været kendt i et stykke tid...
Gravatar #68 - Serqet
13. aug. 2003 14:32
Det er altså lidt funny det her. Det meste af det danske net lacker, og windows update har været nede i næsten en time. Og når det ik er nede, går det vildt langsomt. Jeg tror godt jeg ved hvad det er... låååål. Det er rimlig humor, men ox lidt trist, for inden w32 worm'en brød ud, var RPC port 135 en glimrende måde at hacke andre computere på, uden at kende deres pass. Der er millioner af people derude der ik holder deres windows opdateret. Well, nu er det jo ik fordi jeg selv går og hacker (et par venner der gør), men man er jo nødt til at kende de eksakte metoder, for at beskytte sig imod dem. Og så lige til alle dem der bruger Unix/lign (som jo i øvrigt er et ganske godt alternativ) RPC hacking er IKKE kun et problem hos Microsoft, linux og en del unixmaskiner har samme problem. Man laver bare ik en selv formerende worm til unix, da dem der har den type operativsystem almindeligvis godt kan finde ud af at holde deres software up to date, og låse firewalls/NAT's ordentligt.
Gravatar #69 - CableCat
13. aug. 2003 15:30
Der hvor jeg arbejdere er der 3 klasse C netværk med windows PC'er,
jeg blev træt af at går fra pc til pc.

Så Jeg lavede et lille script der gik igennem alle vores windows pc'er og, fixede hullet og fjernede msblast.exe

hvis nogen er intresseret kan jeg smide et link op til scripte i morgen.
Gravatar #70 - FISKER_Q
13. aug. 2003 16:01
Et script er allerede lavet. Det virkede dog kun lokalt så vidt jeg husker, men så vidt jeg husker kan du også lave login scripts som kunne køre det script på logon.

Jeg vil lige finde link.

Edit her:
http://www.kellys-korner-xp.com/xp_qr.htm#rpc
Gravatar #71 - mh
13. aug. 2003 19:57
Jeg fandt lige dette på Stofas hjemmeside:
Pga. af en farlig virus begynder Telia Stofa nu at blokere for al trafik til port 135, både i ind- og udgående retning for at begrænse problemet mest muligt. ...

Hvis andre udbydere fulgte samme princip ville smitten være stoppet på ingen tid! -Alt for få internet-brugere kan, eller gidder, jo finde ud af det selv.
Gravatar #72 - FireBlade
13. aug. 2003 20:06
Er jeg bare dum.. eller fatter jeg ingen ting, (køre win98.....)
men hvis den orm hele tiden crasher ens system hvordan kommer den så til at lave DOS på microsoft?
Gravatar #73 - Nanosoft
13. aug. 2003 20:37
#71 det kan de jo ikke altid gøre, desuden ville jeg blive pisse sur over at de blokerede en port hvis jeg skulle bruge den, f.eks så blokker TDC for port 25, de har heldigvis lavet en måde at komme uden om det på til profferne, men f.eks med Code Red den bruger port 80, det ville nok være lidt trist hvis alle ISP'er lukkede den port!
Gravatar #74 - Cyrack
13. aug. 2003 20:41
#72 - FireBlade

Fordi 60 sekunder er riglig tid, hvis bare der er nok maskiner??? Prøv lige at regne på hvor mange requests en normal maskine kan sende via af en 256Kb linje på 60 sekunder... Windowsupdate is GONE!
Gravatar #75 - Redhack
13. aug. 2003 20:58
Jeg glæder mig næsten til den 15 aug. bliver sjovt at se om folk har fået fjernet deres virus.
Jeg brugte 1 time på at få fjernet virusen da jeg fik den... lol min andre kammerater gik helt i koma. De ringede alle sammen for at få hjælp. :)
Gravatar #76 - Trurb
13. aug. 2003 21:04
Jeg var en af de heldige der blev ramt, og jeg fik fat i antivirus program og slettet den fil, men kunne ikke update windows :( da jeg så startede min com i dag, var den der sku igen. nogen der måske har en ide til hvad jeg kan gøre ?? så ville jeg bliver glad
Gravatar #77 - Archos
13. aug. 2003 21:08
Det med den DOS'er Microsoft passer ikke.. gør det? Syntes jeg læste det et eller andet sted, kan selvfølgelig ikke huske hvor.
Gravatar #78 - sguft
13. aug. 2003 21:38
#77: Den er vist go nok. Hvad angår det der med at ormen crasher ens maskine efter 1 min. tror jeg faktisk er en bug i den (og den gør det desuden heller ikke på alle systemer), programmøren har sikkert ikke gennemtestet ormen på flere forskellige maskiner inden den blev sendt afsted ;)
Hvis formålet er at ligge Windowsupdate ned, giver det ihvertfald ikke meget mening at ormen gør opmærksom på sig selv så voldsomt som den nu gør :)

... det er btw. utroligt hvad et glemt tjek på størrelsen af et array kan gøre på verdensplan :P
Gravatar #79 - epedemic
13. aug. 2003 22:02
Uha... hvis den ikke crashede maskinen så ville den sprede sig endnu hurtigere + at folk ikke ville lægge mærke til at de var inficerede... damn et ddos angreb det kunne medføre... det ville der ikke være noget overhoved der kunne modstå...
Gravatar #80 - Romeo
13. aug. 2003 22:12
Har lige haft besøg af den.
Gravatar #81 - Silentkill
13. aug. 2003 22:33
Jeg har hørt at hvis den crashede maskinen så betød det, at virussen ikke inficerede ens computer pga. visse porte var lukkede som den skulle bruge f.eks.
Gravatar #82 - TullejR
13. aug. 2003 22:43
#81: Hvis den port som msblast.exe bruger er blokeret, så ville den aldrig komme på maskinen ;o)
Gravatar #83 - mikbund
13. aug. 2003 22:47
#81:
Wrong....! Når computeren crasher betyder det med 99% sikkerhed at maskinen er inficeret. Og hvordan ved jeg så det?
Har ikke beskæftiget mig med andet de sidste 2 dage

Og til dem som ikke har forstået at fjerne den i Xp. Aktiver firewall i netværkstindstillinger, fjern virusen, kør patchen.

Virusremovaltool kan findes på www.symantec.com og fixen findes på Microsofts hjemmeside. Links kan også findes på www.symanctec.com
Gravatar #84 - Serqet
13. aug. 2003 23:22
Afmystificering.
Well, rpc port 135 har været anvendt i en rum tid på hackerscenen, den virker ved at et par kloge hoveder har sat sig ned og skrevet et script der forvirrer windows RPC Service (som i øvrigt er en skjult, men default, service hos Win2000 og WinXP (alle servicepacks). Der sker det at man 'injecter' koden på en remote maskine på internettet der har port 135 åben (dvs alle der har en almindelig installation og ikke har router/NAT). Windows RPC Service bliver således forvirret, og reagerer på forvirringen (ja, underligt nok, microsoft's største flop hidtil siger man) ved at åbne for alle commandoer på remote shell (port 4444). Dvs, så kan en mulig hacker først smide mixed kode ind, derefter logge op på port 4444 og bruge alle cmd.exe-kendte kommandoer, og køre dem som var de kørt på hans egen computer. Dette har været muligt altid, siden win2000's første udgave, fortsat op igennem win xp, og blev først stoppet af microsoft med en hotfix (823980) engang juni/juli.
En hacker der var træt af microsofts monopolstrategi blev så irriteret på ms at han besluttede sig for at skrive en orm der udnytter denne fejl ved ms. Han skrev den sandsynligvis først i august, 11. aug var første gang den blev rapporteret. Ormen er mere kompliceret end som så, den inficerer en maskine, downloder filen msblast.exe, som skriver lidt til i registry og blocker for winupdate's hotfix, så udregner den en tilfældig ip-række A.B.C.0 (hvor A,B,C er tilfældige tal mellem 1-255 - dog i et lidt indviklet sandsynlighedssystem) og scanner så sidste række fra 0-255, efter andre mulige hosts som den kan inficere og køre samme routine. To ting ved ormen skiller sig dog lidt ud fra andre orme. For det første vil de maskiner ormen er installeret på efter den 15.august (dvs på lørdag d 16) og frem til slutningen af dette år, lave en DoS (nuke ku man nærmest kalde det) mod winupdate.com. Det andet er at den kodekilde der skal sprøjtes ind i windows for at få adgang er forskellig, alt efter om det er Win2k eller WinXP, men også forskellig fra servicepack til servicepack. Hvis man sprøjter forkert kode ind, vil det (ofte og her blir det hele lidt på sandsynlighed og mindre på cause and effect) resultere i en 60sekunders timeout med efterfølgende shutdown, der er intet at gøre. Dvs det er ikke en fejl i ormen, det er en nødvendighed at nogle maskiner crasher, når ormen formere sig. Hvis mange orme søger på ens computer hele tiden (skete for mange i går) vil ens computer med jævne mellemrum altså crashe. Man kan ikke sige det er dårlig programmering, men et nødvendigt onde (selvom det havde været en pænt nice worm hvis den ik gjorde det).
Sidst men ikke mindst, hackerens indbyggede besked kan læses ved simpel hexeditorkonvertering, og lyder: "billy gates why do you make this possible ? Stop making money and fix your software!!"
Hvis du er ramt er det en god ide at gå til http://www.microsoft.com/danmark/security/blaster.... så slipper du for yderligere spy/bug/viri-ware
Man kan sige meget om ormen, men jeg sys det er godt klaret, det holder administratorerne på benene, og et eller andet sted holder sådan nogle irriterende ting fast i os, og fortæller os vi stadig er i live. - men det er også bare hvad jeg synes.
Gravatar #85 - Silentkill
14. aug. 2003 00:03
#83:

Jeg havde problemet med at RPC genstartede maskinen og jeg gjorde nøjagtig som du beskrev, men symantecs tool kunne IKKE finde virussen eller msblast.exe...
Gravatar #86 - derb
14. aug. 2003 06:33
det er famer svært at fjerne en virus når compen rebooter hele tiden. det er da altid noget at win2k kun crasher.

#65 - jo, men jeg arbejder ikke hos microsoft..
Gravatar #87 - mikbund
14. aug. 2003 07:27
#86:
Så prøv a sætte en firewall op eller log helt af nettet. Så er du sikker på den ikke genstarter som følge af virusen. Hent derefter patchen fra en anden computer.
Gravatar #88 - jambazz
14. aug. 2003 10:06
Need HELP! Jeg har en WinXP maskine som genstarter hvert minut, men jeg ved ikke hvor jeg skal starte for at stoppe den, og wormen!
Her er hvad jeg har snappet op af uafprøvede metoder:

Først og fremmest skal den stoppe med at genstarte. HOW?
- bare fjerne netkabel? Hvad med at gå ind i services, og properties på RPC, og så "Foretag Intet" i genoprettelse?
Jeg har også set skrevet "shutdown.exe -a" og "shutdown.exe /a"
Vil en af ovenstående stoppe PCen fra at genstarte?

Nå, lad os nu sige at PCen ikke genstarter som følge af en ovenstående metoder, eller en helt fjerde :)
Så skal der updates fra windows, TJEK, har hentet det ned på diskette. - Denne update, hvad gør den?

Og.. Så skal wormen fjernes?
- Har set at der er en gratus scan funktion på trendmicros site.
- Har også set nogle der siger at man skal ind i regedit og fjerne en nøgle.. Nogle siger at man skal lukke MSBlast.exe; MEN i hvilken rækkefølge?!

dumdidum. Hvis der er nogle der har en step-by-step metode som ikke er et link til symantec så kom frisk, fordi jeg har indtil videre læst ca. 10 forskellige metoder.

Thx in advance
Gravatar #89 - CableCat
14. aug. 2003 10:28
hurtig fix:
kør denne regfil

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"windows auto update"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
"rmblast"="cmd /C del /f /q %windir%\\system32\\msblast.exe"
Gravatar #90 - jambazz
14. aug. 2003 10:53
og så er alt fryd og gammen?? Fjerner de få linjer der virkelig problemet med at genstarte og virussen(ormen)?
Gravatar #91 - Stulle
14. aug. 2003 16:20
Hvis det er computeren der "crasher" hvordan kan det så lade sig gøre at:

1) At computeren giver besked om det?

2) At det kan stoppes med shotdown -a (abort)

3) At det kan stoppes ved at sætte systemuret tilbage?

Tyder det ikke mere på at det er en kontrolleret lukning af computeren? Eller er det mig der ikke har fatten en bjælde?

TY
Gravatar #92 - FISKER_Q
14. aug. 2003 16:24
Det kaldes "... For Dummies".

Hvis du forklarer en normal person og siger at det bare er en automatiseret nedlukning, så vil han nok sidde med hænderne i håret og gruble.
Gravatar #93 - elxx
14. aug. 2003 17:14
Blaster er vild orm
Gravatar #94 - CableCat
14. aug. 2003 17:42
#90

ja men det fjerner ikke hullet der må du forbi windows update, også kan du ved samme leglighed sættet pc'en til at automatisk hente updates. Og hvad med at installere et antivirus program, og sør for at den updateres automatisk.
Gravatar #95 - jgni
15. aug. 2003 10:43
TDC Sikkerhed har lavet en udemærket side om ormen her: http://sikkerhed.tdconline.dk/artikel.php?id=52986
Gravatar #96 - The-Lone-Gunman
15. aug. 2003 12:04
Folk der ikke bruger Windows Update fordi de ikke vil have den nakker bredbånd mens de laver andre ting:

Man kan sætte den til at spørge inden den henter, og man kan også sætte den til at spørge igen inden den installere.

En ny lov:
Man SKAL have firewall og antivirus, og man SKAL opdatere sit OS :)
Gravatar #97 - TullejR
15. aug. 2003 13:54
#96:

Hvad helvede skal man med antivirus på andre platforme end windows...
Gravatar #98 - Anderske
24. nov. 2003 13:39
Min computer blev også smittet af denne RPC-fejl, men jeg havde ikke fået BlasterWorm.... Da jeg ville opdatere mit windows kom den kun halvvejs med downloaden WIN-XP SP-1!!!!
Da jeg så deaktiverede min firewall virkede internettet igen, og jeg endte med at få opdateret min computer... Hvis du har problemer med at den popper op uden du hverken har internet eller firewall, så skal du bare åbne listen over dine tjenster og derefter ændre startypen på din firewall til deaktiveret... så skulle den ikke komme op med mærkelige meddelser mere... Hvis du ikke har tid nok, til at gøre det i kan du bare åbne en cmd, og derefter skrive "shutdown -a"

Men spader til M$ der ikke engang er i stand til at beskrive deres fejl på dansk!!! Jeg KØBER ALDRIG nogen M$ produkter...
Gå til top

Opret dig som bruger i dag

Det er gratis, og du binder dig ikke til noget.

Når du er oprettet som bruger, får du adgang til en lang række af sidens andre muligheder, såsom at udforme siden efter eget ønske og deltage i diskussionerne.

Opret Bruger Login