W32.Blaster.Worm

[Simone]

HI so schnell geht's
Hatte heute was gepostet per "PHP Referer auslesen"
lag an meiner Sicherheitseinstellung (Norten) das es bei mir nicht ging !

So jetzt hab ich diese Einstellung deaktiviert
und siehe da es "ging" und dann kam der Wurm

http://www.heise.de/security/news/meldung/39358

infiziert /system32

Ich hoffe es hilft Euch

Simone

[Andreas Korthaus]

Hi!

http://www.heise.de/security/news/meldung/39358

infiziert /system32

Ich hoffe es hilft Euch

[pref:t=55171&m=307396]
[pref:t=55168&m=307368]

Grüße
Andreas

[Martin Speiser]

Hi Simone,

und siehe da es "ging" und dann kam der Wurm

http://www.heise.de/security/news/meldung/39358

über den Wurm gibt es seit gestern Abend schon 3 oder 4 Threads, z.B. hier: [pref:t=55214&m=307660]

Sorry, aber wenn du Windows 2000/Windows XP einsetzt, dann ist dir sicher nicht entgangen, dass vor dieser Lücke schon seit Wochen gewarnt wurde, und der Patch verfügbar war. Sollte es dir entgangen sein, ist das eine Warnung, dass du dich zukünftig besser darum kümmerst, welche Patches als kritisch eingestuft werden, und die für dein System einspielst.

Das gilt eigentlich für alle Betriebssysteme. Auch bei Linux bzw. den mitgelieferten Programmen gibt es immer wieder Patches gegen Sicherheitslecks.

Gruß,
Martin

[Thomas W.]

Hallo,

Sorry, aber wenn du Windows 2000/Windows XP einsetzt, dann ist dir sicher nicht entgangen, dass vor dieser Lücke schon seit Wochen gewarnt wurde, und der Patch verfügbar war. Sollte es dir entgangen sein, ist das eine Warnung, dass du dich zukünftig besser darum kümmerst, welche Patches als kritisch eingestuft werden, und die für dein System einspielst.

Und hier mal eine Geschichte aus dem wahren Leben: Ich installiere gerade Win2k auf einer (etwas aelteren) Maschine. Pflichtbewusst war ich nach der Installation direkt auf windowsupdate.com; dort sagte man mir, dass es keine Updates oder aehniches fuer mein System gaebe (das hat mich sehr gewundert, weil die Installations-CD schon aelter ist -> Rechner steht an der Uni, wir haben eine Campus-Lizenz, also bitte keine Fragen von wegen legal). Nun denn, W2k alleine ist ein bisschen nackt, also wollte ich mir u. a. den Acrobat Reader installieren. Nach dem Download  der Installationsdatei von Adobe war ich sehr verbluefft, als er mir bei der Installation mitteilte, dass ich mindestens SP2 benoetige. Wie jetzt? Ich dachte, ich haette alles?
Ich habe inzwischen den SP4 eingespielt, den ich mir manuell bei microsoft.com gezogen haben. Erzaehle mir niemand wieder, man muesse doch nur bei windowsupdate.com reinschauen, dass sei alles ganz einfach.

Ansonsten bin ich verbluefft, wie schnell W2k auf einem 300Mhz Rechner laeuft. Allerdings war die Installation elend langsam.

Gruss
Thomas

[Martin Speiser]

Hi Thomas,

Erzaehle mir niemand wieder, man muesse doch nur bei windowsupdate.com reinschauen, dass sei alles ganz einfach.

Das hab ich nie erzählt :-) Ich schaue nie bei windowsupdate.com. Okay, ich lass mich von den Admins im Geschäft informieren, oder bei Heise.de.

Gruß,
Martin

[Rouven]

Hi,

die Sache mit dem Service Pack ist schon SEHR merkwürdig. Normalerweise sollte er das maximal als nicht kritisch einstufen und damit nicht automatisch auf die Liste setzen, aber das 500KB Setup Programm erscheint eigentlich immer (zumindest bei mir) automatisch auf der Liste - auch wenn ich es bevorzuge es von Hand zu installieren, weil man dann sowieso evtl. noch eine Updates erneut im Anschluss installieren muss...

MfG
Rouven

[Thomas W.]

Hallo

die Sache mit dem Service Pack ist schon SEHR merkwürdig.

Naja, ich habe wohl rausgefunden, woran es liegt. Wir haben hier ein VPN, dass ohne Authentifizierung nur http-Verbindungen zulaesst. Bei einer jungfraeulichen Installation hatte ich logischerweise noch keinen VPN-Client installiert. Und MS will wohl auf anderen Ports auf den Rechner zugreifen.
Jedenfalls zeigt er mir jetzt doch so *einiges* zum Runterladen an.

Gruss
Thomas

[Simone]

Hi  Martin,
Sorry, das ich hier was gepostet habe
ohne die letzten Einträge durchgelesen zu haben.

Sorry, das ich XP benutze.

Sorry Martin, .....

Simone

[Martin Speiser]

Hi Simone,

sei nicht gleich so eingeschnappt.

Sorry, das ich hier was gepostet habe
ohne die letzten Einträge durchgelesen zu haben.

Tja. Normalerweise sag ich bei Doppelpostings nix, aber das war wirklich zu oft Thema.

Sorry, das ich XP benutze.

Wirst du von mir nicht hören. Ich benutz W2K, weil ich den Registrierungszwang von XP nicht mag. Und bei meinem Visual Studio .NET Enterprise Architect lag auch "nur" W2K Server mit SP2 bei.

Gruß,
Martin

[Christian Seiler]

Hallo Martin,

Sorry, aber wenn du Windows 2000/Windows XP einsetzt, dann ist dir sicher nicht entgangen, dass vor dieser Lücke schon seit Wochen gewarnt wurde, und der Patch verfügbar war.

Mir ist diese Lücke auch schon über zwei Wochen lang bekannt. (http://cert.uni-stuttgart.de/ticker/article.php?mid=1124, habe ich kurz nach der Veröffentlichung gelesen) Ich hätte damals nie gedacht, dass da so einen großer Aufruhr darum geben wird. Mein Bruder hat mir jedoch heute erzählt, dass es sogar in den Fernsehnachrichten kam...

Allerdings möchte ich auch mal eine Sache loswerden:

Ich habe am Samstag einen PC bei meinem Cousin neu installiert. Windows 2000. Nach der Installation _bevor_ ich überhaupt etwas anderes daran gemacht habe (außer die RASPPPOE-Treiber zu installieren) schaue ich mir mal mit 'netstat -n -a -p tcp' alle offenen TCP-Ports an. Darunter sind 135, 139, 445 und 1025-1028. Beim Anlegen der DFÜ-Verbindung habe ich selbstverständlich keine Bindung zum MS-Netzwerk-Client oder zur Datei- und Druckerfreigabe hergestellt. Dennoch sind die Ports auf _allen_ Interfaces offen. Im Internet habe ich diverse Anleitungen gefunden, diese Ports zu schließen. Alle laufen jedoch darauf hinaus, bestimmte Dinge komplett zu deaktivieren. (wenn ich alle Ports dichtmache, dann ist die Freigabe von Dateien und Druckern im lokalen Netz auch weg) Ich habe _keine_, _absolut keine_ Möglichkeit gefunden, die Ports nur auf dem "normalen" Netzwerkinterface lauschen zu lassen. Wer eine kennt, möge sie mir bitte aufzeigen. Auf den einfachen Filter in Windows möchte ich mich jedoch nicht verlassen, ich möchte nicht an den Symptomen herumdocktorn, sondern die Ursache beheben.

Es ist meiner Ansicht nach ein Unding, dass nach der Installation des Betriebsystems *alleine* bereits Ports nach allen Interfaces offen sind. [1] Aber was meiner Ansicht nach ein noch größeres Unding ist, ist die Tatsache, dass es keine Möglichkeit gibt, diese Dinge auf bestimmte Netzwerkinterfaces zu beschränken. [2]

Viele Grüße,
Christian

[1] Mir ist klar, dass sich Linux-Distributionen in dieser Hinsicht auch nicht unbedingt mit Ruhm bekleckern.

[2] Mir ist klar, dass für Samba bei Port 139 UDP zumindest für das Aufmachen des Ports an sich das gleiche gilt. (was ich auch nicht ganz nachvollziehen kann - allerdings ist es bei Samba wirklich nur dieser eine Port 139 UDP und nichts anderes)