zurück zur Übersicht

 

  W32.Blaster.F.Worm
Virus-Information 		aktualisiert
11.09.2003-03:42 		 

Name:  W32.Blaster.E.Worm
Alias in V-Check:  W32/Blaster-F
Datum:  05.09.2003
Typ:  Wurm
Betrifft: 

Windows 2000, Windows XP

Windows NT und Windows 2003 können zwar befallen werden und fallweise kann es zu Systemabstürzen kommen.
Der Wurm kann sich aber nicht ausbreiten, solange er nicht manuell gestartet wird.

• 11.09.2003 - Update:
RPC-Dienst immer noch offen!
Das jüngste  Microsoft Security Bulletin MS03-039 (von gestern Abend) warnt, dass sich offenbar noch immer Sicherheitslücken im RPC/DCOM-Dienst befinden, zwei davon ermöglichen die Ausführung von beliebigen Befehlen.
Betroffen sind wiederum Windows NT, 2000, XP und Server 2003. Die Patches im aktuellen Bulletin bezeichnet Microsoft als Ersatz für die in MS03-026 aufgeführten. Microsoft stuft die neuen Lücken als kritisch ein und empfiehlt Anwendern und Administratoren dringend, die Patches schnellstmöglich einzuspielen.

Auswirkung: 

Sucht nach anderen infizierbaren Computern im Intra- und Internet, welche er unter Ausnutzung der DCOM RPC - Schwachstelle von Microsoft befällt und sich so verbreitet.

Er startet eine Distributet-Denial-of-Service-Attacke.

Blaster.F bewirkt unter Umständen, dass infizierte Systeme immer wieder einen Neustart durchführen.
Info: 

Der W32.Blaster.F.Worm ist eine neue Variante des W32.Blaster.Worm.

Blaster.F startet einen versteckten Prozess, der den TCP Port 4444 öffnet, um einem außenstehenden Angreifer zu ermöglichen, Befehle auf dem infizierten Computer auszuführen

Einfache visuelle Erkennung:
Der Wurm trägt sich in der Registrierung wie folgt ein:
HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Run
      "www.hidro.4t.com" = "enbiei.exe"

Dieser Virus kann einen ungepatchten Windows-Computer befallen.
Es genügt dann schon, wenn der Computer nur online im Internet ist.
Er benötigt kein eMail, um sich zu verbreiten.
Er nutzt offene Ports eines Computers und die DCOM RPC - Schwachstelle von Microsoft.

Schutzmaßnahmen:

  • Aktualisieren Sie Ihr Windows um die DCOM RPC - Schwachstelle zu beheben.
  • Installieren Sie eine Firewall und blocken Sie die Ports TCP 135, TCP 4444, UDP 69
Links: 
Update - 11.09.2003
Microsoft Security Bulletin MS03-039
   
Microsoft Security Bulletin MS03-026 (User) -- alt
Microsoft Security Bulletin MS03-026 (Administratoren) -- alt
Informationen zu W32.Blaster.Worm unter Microsoft W32.Blaster.Worm
Symantec (Norton-AntiVirus)
Entfernung: 

Die Entfernung bzw. Anwendung von Removal-Tools wird von uns nicht supportet und erfolgt auf Ihre eigene Gefahr!

Manuell:
  Lesen Sie dazu die Informationen zu W32.Blaster.Worm unter Microsoft W32.Blaster.Worm
Entfernungs-Tools:
Symantec Norton-AntiVirus (Link: W32.Blaster.Worm Removal Tool, engl.)

 

zurück zur Übersicht