Wurm W32.Blaster befällt PC -> System Shutdown

1. Start -> Ausführen -> "msconfig" eingeben und dann mit Enter besätigen
2. Unter "Dienste und unter "Systemstart" schaut ihr nach, ob sich eine Datei namens "msblast.exe" dort befindet, falls ja, deaktiviert sie
3. Drückt nun die Tastenkombination Strg + Alt + Entf
4. Sucht nun im Ttaskmanager unter "Prozesse nach "msblast.exe"
5. Wenn dieser Prozess gerade läuft, führt eure Maus darauf und beendet mit der rechten Maustaste den Prozess.
6. Start -> Suchen -> Dateien und Ordner, dort wiederum nach der Datei ""msblast" suchen
7. Wenn ihr die Datei findet, löscht sie und rebootet euren PC
8. Dann noch patchen mit den patches die hier auch schon verlinkt wurden.

Fertig.

P.S.: Bin mal gespannt wie weit sich der Wurm verbreitet hat.

Ohje, jetzt muss ich hier dochmal wieder posten:
Mir stellen sich beim lesen der Beiträge hier die Haare zu Berge, die betreffende Sicherheitslücke ist schon seit mehr als 7 Tagen bekannt und es wurde ausdrücklich davor gewarnt (siehe: http://www.heise.de/security/news/meldung/39129 und http://www.heise.de/security/news/meldung/39139 ). Wie man nach dieser Zeit noch immer mit einem ungepatchten System im Internet sein kann verstehe ich echt nicht, so viel Unvorsichtigkeit grenzt schon an purer Dummheit (klingt hart, ist aber nunmal so).

Das was sich die meisten von euch wahrscheinlich neben dem doch recht harmlosen msblast eingefangen haben nennt sich "IRC Bot" und ist ein kleines unscheinbares Programm das gemütlich im Hintergrund läuft und sich in einen IRC Channel einloggt, dort wartet es dann so lange bis jemand ihm ein Commando gibt, das kann dann einen DOS Angriff, das nachinstallieren eines Trojaners usw. bedeuten. Was solche Bots anrichten könnt ihr mal unter: http://grc.com/dos/grcdos.htm nachlesen, dort gibt es auch Tipps um zu schauen ob ein Wurm aktiv ist (Bitte tut das und entfernt den Bot falls vorhanden).

Genau das ist übrigends auch der Grund warum private Rechner für Cracker oft interessanter sind als Firmenrechner, nicht wegen irgendwelcher Daten auf dem Rechner, sondern wegem dem DDOS Potential das man mit genug Rechnern erlangen kann.

MFG The_Master, der es für immer wichtiger erachtet das Leute für den Schaden, den ihr Rechner durch Viren-/Trojanerbefall anrichtet, haftbar gemacht werden können.

Danke, Microsoft für diesen Text wenn man sich einen Security Patch ziehen will...

Zitat

Vielen Dank für das Interesse an Windows Update!

Windows Update ist die Onlineerweiterung von Windows, die dabei hilft, den Computer optimal zu nutzen.

Internet Explorer 5 oder höher muss ausgeführt werden, um Windows Update verwenden zu können.

Die aktuellste Version von Internet Explorer downloaden

Nachdem Internet Explorer installiert wurde, können Sie die Windows Update-Site besuchen, indem Sie folgende Adresse in der Internet Explorer-Adressleiste eingeben: http://windowsupdate.microsoft.com.

Wenn Sie einen anderen Webbrowser verwenden, können Updates für Windows vom Microsoft Download Center gedownloaded werden.

Alles anzeigen

The Master

Die Sicherheitslücke gibt es schon seit dem 16 oder 18.07.

Ich glaube nicht das der MSBLAST so harmlos ist. Der hat glaubich nichts mit diesem IRC Bot zu tun. Nach den Informationen von Symantec her kann der schon einiges anrichten, und schließlich steht er bei den auch erst seit gestern Nachmittag in der Liste.
http://securityresponse.symant…ata/w32.blaster.worm.html

Ich habe auch schon länger diesen Patch auf meinem Rechner, nur leider hat es nichts genutzt:confused:

Michael Lindner

ich könnte dir die Datei zukommen lassen, wenn Du sie noch benötigen solltest.

Zitat

Original geschrieben von kunterbund1503
  The Master

Die Sicherheitslücke gibt es schon seit dem 16 oder 18.07.

Ich weis, aber am 2.8. wurden die ersten offiziellen Warnungen über Exploits herausgegeben. spätestens zu diesem Zeitpunkt hätte man Aufmerksam werden und den Patch installieren bzw. den Zugriff auf die entsprechenden Ports unterbinden müssen.

Zitat

Ich glaube nicht das der MSBLAST so harmlos ist. Der hat glaubich nichts mit diesem IRC Bot zu tun. Nach den Informationen von Symantec her kann der schon einiges anrichten, und schließlich steht er bei den auch erst seit gestern Nachmittag in der Liste.

Ich habe nirgends beschrieben das MSBLAST keinen Schaden anrichtet, allerdings ist das Schadenspotential von IRC Bots wesentlich höher, da diese (im Gegensatz zu MSBLAST das auch das lokale System angreift) dem User erst dann auffallen wenn es zu spät ist (also der Rechner schon an einem DDOS Angriff beteiligt ist). Das MSBLAST erst seit gestern bei Symantec auf der Liste steht hat nur zu sagen das es eben durch die lokale Beinträchtigung des Systems schneller Aufmerksamkeit auf sich zieht, und das es ein Nachzügler im Bezug auf diese Sicherheitslücke ist.

Zitat

Ich habe auch schon länger diesen Patch auf meinem Rechner, nur leider hat es nichts genutzt:confused:

In der von mir verlinkten Warnung von Heise Security steht ja auch eindeutig drin das Win2k Systeme trotz des Patches noch angreifbar sind (bitte solche Artikel immer komplett lesen und nicht nur die Einleitung) und das man auf diesen Systemen Zugriffe auf den Port 135 unterbinden soll. Das geht entweder durch eine externe Firewall oder dur eine personal Firewall die Portfiltering/Blocking beherrscht (das ist eine der wenigen Ausnahmen wo eine P-Firewall Sinn macht). Zudem ist es Grundsätzlich empfehlenswert eingehende Verbindungen an Ports < 1055 auf Windowsrechnern, die keine Serverdienste bieten, nach außen hin zu sperren.

Servus,

noch ein Link

http://isc.sans.org/diary.html?date=2003-08-11

m.

Dieser Wurm scheint sich wirklich rasant zu verbreiten. Habe gerade zwei Telefonanrufe von aufgelösten XP-Usern erhalten, deren Rechner sich auch infiziert hatten. Wenige Minuten ohne Firewall im Internet haben genügt.

Neustart abschalten!

Man kann die Aktion des Systemneustarts auch ganz einfach abschalten, dann passiert auch nichts mehr:

SYSTEMSTEUERUNG - VERWALTUNG- DIENSTE und dann dort aus der Liste REMOTEPROZEDURAUFRUF heraussuchen und in den Einstellungen einfach die AKTION von SYSTEM NEU STARTEN auf einen beliebigen anderen Eintrag ändern!

Das wars!

Aber einen Patch habe ich trotzdem mal draufgezogen!

Gruß Kossy

Re: Neustart abschalten!

Zitat

Original geschrieben von kossy
SYSTEMSTEUERUNG - VERWALTUNG- DIENSTE und dann dort aus der Liste REMOTEPROZEDURAUFRUF heraussuchen und in den Einstellungen einfach die AKTION von SYSTEM NEU STARTEN auf einen beliebigen anderen Eintrag ändern!

Das wars!

Nicht ganz!

Damit hast Du zwar die Folgen beseitigt (keine Neustarts mehr), der Wurm ist aber weiterhin aktiv.

Wer aber die letzten Beiträge gelesen hat und die entsprechenden Massnahmen (Patch, msblast entfernen, Registry "säubern" und ggf. entsprechende Dienste deaktivieren) durchgeführt hat, der sollte auf der sicheren Seite sein.