RPC crash/shutdown 'vraag bak'

[momania]

Mocht je na het lezen van de sticky *** LEZEN - RPC crasht/ shutdown gestart *** nog problemen hebben, dan kan je ze hier kwijt

Anoniem: 44568 in "RPC crash/shutdown 'vraag bak'" is een must-read, maar lees de rest ook even door

[ Voor 30% gewijzigd door F_J_K op 12-08-2003 18:17 ]

[elevator]

Je kan de shutdown meestal overigens afbreken door middel van:

code:

shutdown /a

Het mag trouwens opgemerkt worden dat als je nog steeds vatbaar bent voor deze exploit, na de ongelovelijke aandacht die deze bug heeft gehad, dat je dan misschien beter niet op internet kan komen

[Emmeau]

Ik begrijp niet dat er nog mensen zijn die zonder vorm van protectie (firewall) op het internet zitten.
Dat is gewoon vragen om problemen. Misschien te lui of zo... (moet wel, aangezien ze a) hun windows niet updaten en b) niet kunnen zoeken).
Wel interessant om te zien dat het zoveel voorkomt.

[Anoniem: 89271]

elevator schreef op 11 August 2003 @ 20:44:
Je kan de shutdown meestal overigens afbreken door middel van:

code:

shutdown /a

Het mag trouwens opgemerkt worden dat als je nog steeds vatbaar bent voor deze exploit, na de ongelovelijke aandacht die deze bug heeft gehad, dat je dan misschien beter niet op internet kan komen

De mensen die daar nu nog worden door getroffen hebben nou niet bepaald gevoel voor verantwoordelijkheid. Beter zou zijn dat wij langs komen en er voor zorgen dat die mensen niet meer op internet kunnen komen .

[Anoniem: 33568]

En inmiddels is het hier ook aan de gang...

2x achter elkaar een Rpc foutmelding.... Zonealarm net ff geinstalled en ja hoor, attacks om de 2 minuten....

Zag net wel iets vreemds in mijn processen.. msblast.exe anyone?

Hoop dat de patch dit toch wel even tegenhoudt

[elevator]

Het lijkt me dat je daar hint naar fysiek geweld, en dat lijkt me niet de oplossing. Je zou er eerder over kunnen nadenken sommige mensen tegen hunzelf in bescherming te nemen, en deze taak gedeeltelijk af te laten aan bijvoorbeeld Intenet Service Providers.

[Anoniem: 45837]

Jezus
ik heb dit altijd in de avond niet normaal
net maar eens die patch geinstalleer kijken of dat helpt

Anoniem: 33568 schreef op 11 August 2003 @ 20:48:
En inmiddels is het hier ook aan de gang...

2x achter elkaar een Rpc foutmelding.... Zonealarm net ff geinstalled en ja hoor, attacks om de 2 minuten....

Zag net wel iets vreemds in mijn processen.. msblast.exe anyone?

Hoop dat de patch dit toch wel even tegenhoudt

Msblast.exe staat hier ook mischien betekent het Micorsoftblast

[ Voor 68% gewijzigd door Anoniem: 45837 op 11-08-2003 20:50 ]

[Viper®]

Ja, deze melding kreeg ik dus ook 2 keer achter elkaar

En als ik nu wil inloggen begint windows te blaaten dat mijn profile corrupt is, heel fijn gvd alles weg k*nkerz**i, dat mensen gewoon voor de gein op inet lopen te kutten, ga werk zoeken ofzo, stomme noep hackertjes.

Morgen maar weer me XP opnieuw install, erg bedankt, ik neem echt zo'n bumpersticker, "ik rem niet voor hackers".

[Anoniem: 33568]

Anoniem: 45837 schreef op 11 August 2003 @ 20:49:
Jezus
ik heb dit altijd in de avond niet normaal
net maar eens die patch geinstalleer kijken of dat helpt


[...]

Msblast.exe staat hier ook mischien betekent het Micorsoftblast

Ik ben even aan het googlen etc maar kan hier niks over vinden....jij?

[Anoniem: 45837]

Viper_74 schreef op 11 August 2003 @ 20:51:
Ja, deze melding kreeg ik dus ook 2 keer achter elkaar

En als ik nu wil inloggen begint windows te blaaten dat mijn profile corrupt is, heel fijn gvd alles weg k*nkerz**i, dat mensen gewoon voor de gein op inet lopen te kutten, ga werk zoeken ofzo, stomme noep hackertjes.

Morgen maar weer me XP opnieuw install, erg bedankt, ik neem echt zo'n bumpersticker, "ik rem niet voor hackers".

Een format helpt niet
heb ik ook vannochtend gedaan en heb er nu weer last van
pc was net gereboot en meteen weer die error

[Anoniem: 50683]

Ik stel voor dat we een lijstje gaan maken met de IPnr's van betreffende "aanvallers". Een totaallijst dus met IPnr + aantallen aanvallen vandaar uit gepleegd, en dit versturen naar de diverse ISP's.

Of is er een virus in omloop wat dit veroorzaakt, ik krijg namelijk nogal wat verschillende IP'nr binnen op de poorten 135/139/445 (tcp/udp).

Daarnaast een zeer hoge packetloss op het moment, maar ik betwijfel of dit er mee te maken heeft (@home heerlen-zuid).

[ Voor 17% gewijzigd door Anoniem: 50683 op 11-08-2003 20:53 ]

[Viper®]

Helpt ook niet tegen die RPC, maar wel tegen een corrupt profile, aangezien ik mijn profiel niet meer kan gebruiken kan ik net zo goed alle shit opnieuw installeren.

[blackd]

Viper_74 schreef op 11 August 2003 @ 20:51:
En als ik nu wil inloggen begint windows te blaaten dat mijn profile corrupt is, heel fijn gvd alles weg k*nkerz**i, dat mensen gewoon voor de gein op inet lopen te kutten, ga werk zoeken ofzo, stomme noep hackertjes.

Misschien moet je je systeem eens wat beter up to date houden. Of misschien eens wat aan beveiliging gaan doen.
* blackd brings in the lart.

[Emmeau]

Het feit dat er een complete uitleg van deze exploit is gegeven op een of andere chinese site, en er verdacht veel aandacht aan gegeven is, zet waarschijnlijk een hoop script kiddies aan tot spelen.
Had nooit moeten gebeuren.

[Tripp]

LOL het loopt hier storm bij planet , weet je hoeveel mensen er nu wel neit gehackt worden , zit er middenin hier . Heb planet al linkje gegeven van sticky . iedereen hier ineens op GOT bladeren .

[elevator]

Viper_74 schreef op 11 August 2003 @ 20:51:
Morgen maar weer me XP opnieuw install, erg bedankt, ik neem echt zo'n bumpersticker, "ik rem niet voor hackers".

Dan neem ik er een die zegt: "Ik rem niet voor irritante n00bs die te lui zijn om hun systeem te updaten maar wel klagen op een fora"

[Anoniem: 89271]

Viper_74 schreef op 11 August 2003 @ 20:51:
Ja, deze melding kreeg ik dus ook 2 keer achter elkaar

En als ik nu wil inloggen begint windows te blaaten dat mijn profile corrupt is, heel fijn gvd alles weg k*nkerz**i, dat mensen gewoon voor de gein op inet lopen te kutten, ga werk zoeken ofzo, stomme noep hackertjes.

Morgen maar weer me XP opnieuw install, erg bedankt, ik neem echt zo'n bumpersticker, "ik rem niet voor hackers".

Heel misschien, maar ik kan me natuurlijk vergissen ben jij nogal een naïeve prutser. Verantwoordelijk op het Internet begint bij jezelf lijkt me. Het is JOUW verantwoordelijkheid dat je niet open staat voor aanvallen. Dus firewall installeren, zorgen dat je laatste updates regelmatig installeert of automatisch laat doen, geen verdachte e-mails openen enzovoorts. Kortom jij bent hier diegene die fout bent, stel voor dat je PC gehackt wordt en jij onderdeel gaat maken van een DDOS aanval.

[Anoniem: 50683]

Viper_74 schreef op 11 August 2003 @ 20:53:
Helpt ook niet tegen die RPC, maar wel tegen een corrupt profile, aangezien ik mijn profiel niet meer kan gebruiken kan ik net zo goed alle shit opnieuw installeren.

Dit herinnert me aan een probleem bij een kennis van vandaag, een Windows 2000SBS server, waarbij ie in een keer vanaf 1 computer niet meer kon inloggen.
Werd ik over gebeld, ik legde het verband niet zo snel.
ff snel bellen maar

( kan iemand me vertellen of deze rommel door de FireWall/ ISA server geblokt wordt ? Is een standaard Dell install )

[ Voor 18% gewijzigd door Anoniem: 50683 op 11-08-2003 21:00 ]

[Anoniem: 33568]

Sterker nog vertellen dat Msblast.exe probeert constant iets te doen met verschillende poortjes bij mij...stuurt pakketjes rond naar onbekende ip-adressen?

[Viper®]

elevator schreef op 11 August 2003 @ 20:55:
[...]

Dan neem ik er een die zegt: "Ik rem niet voor irritante n00bs die te lui zijn om hun systeem te updaten maar wel klagen op een fora"

Ik wil niet lopen te zeiken, maar hoor je mij klagen over die RPC dan, NEEJ noobje, lezen. Ik loop te zeuren dat mijn XP me profiel ff door me anus baggurt. Dat het toevallig net komt omdat iemand met een RPC loopt te kutten, tja da's gewoon klotig.

En trouwens ik vind het zelf nog steeds zo'n bullshit dat je zelf je systeem moet gaan beveiligen omdat "domme" mensen die op zielige forumpjes hangen lekker gaan lopen te scripten op het internet. Ze moeten gewoon van je zooi afblijven. Ik vind wel dat sinds iedreen een vaste internet verbinding heeft er echt veel van die noepjes rondhangen. Ze moeten gewoon iedereen een vast ip geven, lopen ze te rellen, opzoeken die gasten en afsluiten, of boete ofzo.
Irritant volk

[kazuka]

die msblast.exe heb ik ook. Als je in je register kijkt bij "run" vind je hem daar terug met als omschrijving "windows update". Tevens heb ik op mijn F: schijf ineens 3 folders staan met een hele lange riedel letters als foldernaam met daarin allerlei windows update files, lijkt net alsof er een windows update "in progress" was maar niet is afgemaakt. Ik kan de folders ook niet verwijderen omdat eula.txt in use is ??

vaag gedoe ineens

[elevator]

Anoniem: 33568 schreef op 11 August 2003 @ 20:57:
Sterker nog vertellen dat Msblast.exe probeert constant iets te doen met verschillende poortjes bij mij...stuurt pakketjes rond naar onbekende ip-adressen?

Kan je er dan niet beter iets tegen doen, ipv dit te melden op het forum?

Trek bv. je netwerk kabel eens uit net zolang tot je fatsoenlijk gefirewalled bent, schoon bent van trojans, en je de juiste patches geupdate hebt.

[-Skyhawk-]

Ja dat msblast.exe heeft er ook mee te maken, stond in eens in m`n startup list...

[blackd]

Viper_74 schreef op 11 augustus 2003 @ 20:58:
En trouwens ik vind het zelf nog steeds zo'n bullshit dat je zelf je systeem moet gaan beveiligen omdat "domme" mensen die op zielige forumpjes hangen lekker gaan lopen te scripten op het internet.

Je systeem niet up to date houden is net zo dom.

[Anoniem: 89271]

Viper_74 schreef op 11 August 2003 @ 20:58:
[...]


Ik wil niet lopen te zeiken, maar hoor je mij klagen over die RPC dan, NEEJ noobje, lezen. Ik loop te zeuren dat mijn XP me profiel ff door me anus baggurt. Dat het toevallig net komt omdat iemand met een RPC loopt te kutten, tja da's gewoon klotig.

En trouwens ik vind het zelf nog steeds zo'n bullshit dat je zelf je systeem moet gaan beveiligen omdat "domme" mensen die op zielige forumpjes hangen lekker gaan lopen te scripten op het internet. Ze moeten gewoon van je zooi afblijven. Ik vind wel dat sinds iedreen een vaste internet verbinding heeft er echt veel van die noepjes rondhangen. Ze moeten gewoon iedereen een vast ip geven, lopen ze te rellen, opzoeken die gasten en afsluiten, of boete ofzo.
Irritant volk

Er is maar één iemand hier met een primatenbrein (nou één?) en dat ben jij... misschien voortaan even in iemand postgeschiedenis (m.b.t. elevator) duiken voordat je met noob begint te schelden. Jij bent hier diegene die onverantwoordelijk bezig is, crackers zijn er nou eenmaal en daar met zo'n instelling op reageren is gewoon naïef en ongelooflijk dom.

[ Voor 5% gewijzigd door Anoniem: 89271 op 11-08-2003 21:02 ]

[Anoniem: 33568]

elevator schreef op 11 August 2003 @ 20:58:
[...]

Kan je er dan niet beter iets tegen doen, ipv dit te melden op het forum?

Trek bv. je netwerk kabel eens uit net zolang tot je fatsoenlijk gefirewalled bent, schoon bent van trojans, en je de juiste patches geupdate hebt.

Chill out....heb firewalletje lopen dus er gebeurt tot nu toe niks...

Ik wil er alleen zien achter te komen of dit eventueel verband heeft, want Msblast.exe heb ik nog nooit gezien in mijn processes!

Zo te horen hebben meer mensen het...

[elevator]

Viper_74 schreef op 11 August 2003 @ 20:58:
Ik wil niet lopen te zeiken, maar hoor je mij klagen over die RPC dan, NEEJ noobje, lezen.

Ja ik hoor je klagen ja, als een klein kind.

Ik loop te zeuren dat mijn XP me profiel ff door me anus baggurt. Dat het toevallig net komt omdat iemand met een RPC loopt te kutten, tja da's gewoon klotig.

nee, dat is onkunde, dommigheid en laksheid van jouw kant. 100% jouw schuld.

En trouwens ik vind het zelf nog steeds zo'n bullshit dat je zelf je systeem moet gaan beveiligen omdat "domme" mensen die op zielige forumpjes hangen lekker gaan lopen te scripten op het internet.

blahblahblah

Zeik toch niet - die patch was er maanden geleden al. Het is al **jaren** common practice om port 135-139 *niet* beschikbaar te maken op internet. En wat doe jij? Precies.

[Emmeau]

Beveiliging begint bijzelf.
zou het erg irritant vinden als mijn ISP mij gaat vertellen dat alle poorten dicht gaan omdat het veiliger is (poort 25 is al dicht hier @home)
En als het op beveiliging aankomt, vertrouw ik mijzelf het meest.

[Anoniem: 39993]

Iedereen die zijn pc door MS automatisch up-to-date laat houden heeft deze patch er al even opstaan.

Mijn laptopje had hem al, en die is voor het weekend voor het laatst ge-update.

Ik denk, dat je daaruit wel kunt concluderen, dat iedereen die zijn systeem een beetje up to date houdt deze patch toch al heeft...

[elevator]

Anoniem: 33568 schreef op 11 August 2003 @ 21:00:
[...]
Chill out....heb firewalletje lopen dus er gebeurt tot nu toe niks...

Ik wil er alleen zien achter te komen of dit eventueel verband heeft, want Msblast.exe heb ik nog nooit gezien in mijn processes!

Zo te horen hebben meer mensen het...

Wat je dan het beste kan doen, is deze file opsturen naar de verschillende anti-virus labs, en Cert.org.

www.sophos.com
www.f-secure.com
www.norton.com
www.cert.org

Van Sophos en F-Secure weet ik uit ervaring dat ze je op de hooget houden van hun bevindingen. Vooral deze laatste twee staan er om bekend zeer snel en professioneel hiermee om te gaan.

[Anoniem: 33568]

elevator schreef op 11 August 2003 @ 21:03:
[...]

Wat je dan het beste kan doen, is deze file opsturen naar de verschillende anti-virus labs, en Cert.org.

www.sophos.com
www.f-secure.com
www.norton.com
www.cert.org

Van Sophos en F-Secure weet ik uit ervaring dat ze je op de hooget houden van hun bevindingen. Vooral deze laatste twee staan er om bekend zeer snel en professioneel hiermee om te gaan.

Dat gaat deze jongen nu ook doen, wil er achter komen wat die vreemde file plotseling in mijn System32 doet

Heb het proces ook maar gestopt trouwens, en toen was er ineens een stuk minder activiteit-->internet op mijn pc...

[Anoniem: 45837]

Volgens mij helpt de patch
Gister had ik het steeds om het kwartier (tot nu toe niet meer,afkloppen )

ik heb net pas zonealarm geinstalleert
en als je je afvraagt waarom nu pas?
omdat het niks helpt want paar dagen geleden ook geinstalleert en kreeg nog die error
en ik had ook me virusscanner en the cleaner laten draaien en die konden niks vinden

[Viper®]

Wat een gemiep.

READ MY WORDS:

IK Zeur niet over RPC system shutdown, ik zeur erover dat als het 2 keer achter elkaar gebeurd, ineens mijn profiel aan gort lig, dat vind ik gewoon k*t.
Dat me pc uitgaat over 60 seconden zal me toch echt aan me reet roesten.

Dus niet zo enorm lopen te blazen over jij bent noep, en je moet je systeem bijhouden, want dat snapte ik ook nog wel. Alleen het feit dat shudown je systeem profiel blijkbaar om zeep helpt, tja.

[Anoniem: 33568]

Anoniem: 45837 schreef op 11 August 2003 @ 21:06:
Volgens mij helpt de patch
Gister had ik het steeds om het kwartier (tot nu toe niet meer,afkloppen )

ik heb net pas zonealarm geinstalleert
en als je je afvraagt waarom nu pas?
omdat het niks helpt want paar dagen geleden ook geinstalleert en kreeg nog die error
en ik had ook me virusscanner en the cleaner laten draaien en die konden niks vinden

Als je mijn reactie in het eerste gedeelte had gelezen, had je gelezen dat ik het zelfde heb gedaan en met het zelfde resultaat tot nu toe....

[elevator]

Viper_74 schreef op 11 August 2003 @ 21:07:
Dus niet zo enorm lopen te blazen over jij bent noep, en je moet je systeem bijhouden, want dat snapte ik ook nog wel. Alleen het feit dat shudown je systeem profiel blijkbaar om zeep helpt, tja.

Probeer je een klein beetje in te lezen in wat er precies gebeurt.

Jouw systeem wordt niet geshutdowned - er gaan een zeer critisch system process onderuit waardoor Windows zichzelf een shutdown geeft. Compleet andere situatie.

[ Voor 7% gewijzigd door elevator op 11-08-2003 21:10 ]

[Anoniem: 33568]

Hey guys,

Kap dat kibbelen en laten we er achter zien te komen wat het allemaal is!

[Anoniem: 50683]

Anoniem: 33568 schreef op 11 August 2003 @ 21:10:
Hey guys,

Kap dat kibbelen en laten we er achter zien te komen wat het allemaal is!

Dat vind ik nu ook.

Wat ik niet uit de info kan halen is, zodra iemand deze melding krijgt, ben je dan gelijk "gehacked" ?

* Anoniem: 50683 Denkt dat ie het morgen na het werk erg druk krijgt met z'n kenissenkring....

btw. Ik ben zelf (m'n computers dan) gepatched, en zit achter een firewall

[ Voor 12% gewijzigd door Anoniem: 50683 op 11-08-2003 21:13 ]

[Rafe]

Apocalypse666 heeft volkomen gelijk, diegene die hierna nog doorgaat met "n00b!" bleren mag maatregelen verwachten

[Anoniem: 44568]

-- Updates 13 August 2003 -- Een nieuwe Win32.LovSAN/Blaster worm variant is ontdekt met als bestandskenmerk: TEEKIDS.EXE (5,360 bytes). Het is functioneel exact gelijk aan de originele Win32.LovSAN/Blaster worm. bron: NAI Een nieuwe Win32.LovSAN/Blaster worm variant met als bestandskenmerk: PENIS32.EXE is ontdekt. Of de functie gelijk is aan de originele Win32.LovSAN/Blaster worm is nog in onderzoek. bron: Symantec De Win32.LovSAN/Blaster worm heeft nu een Level-1 status. Het is op dit moment het meest verspreide virus in de wereld. bron: F-Secure

QuickFix:
Stap 1 (worm verwijderen):

LovSAN/Blaster Removal Tools:

Bitdefender Anti-MSBlaster Symantec FixBlaster (HTML) CA CleanProza F-Secure LovSAN removal (TXT)

Stap 2 (Windows patchen):

RPC-Patch Directe Download Links:

Windows NT 4.0 Server/Workstation SP6a (Nederlands) Windows NT 4.0 Server/Workstation SP6a (English) Windows NT 4.0 Terminal Server SP6 (English) Windows 2000 SP3 of SP4 (Nederlands) Windows 2000 SP3 or SP4 (English) Windows XP 32-Bit Edition SP1 of Gold (Nederlands) Windows XP 32-Bit Edition SP1 or Gold (English) Windows XP Embedded SP1 or Gold (English) Windows XP 64-Bit Edition SP1 or Gold (English) Windows 2003 Server 32-Bit Edition (Nederlands) Windows 2003 Server 32-Bit Edition (English) Windows 2003 Server 64-Bit Edition (English)

Stap 3 (Controle):

RPC-Exploit Scanner + AntiTrojan/Virus

Hoe kan ik zien of ik veilig ben? 1) Zet je firewall uit en draai de RPC.Exploit.scanner om te kijken of je systeem gepatched is (test eerst je internet IP, daarna je lokale IP en localhost/127.0.0.1): - ptch = Patched / veilig / ok - VULN = Vulnerable / onveilig / bad - dsbl = Disabled / firewall/router blokkeert - [....] = Timeout / firewall/router dropt / geen response ivm patch NB: - Test ook zonder firewall ! - De scanner wordt door oa KAV ook gedetecteerd als mogelijk onveilig. Dit is normaal. 2) en draai een Trojan/Virusscanner om te zien of je geïnfecteerd bent (Online Scanner: http://housecall.trendmicro.com/). 3) Controlleer met een poortscanner of poort 69, 135, 139, 445, 593 en 4444 tenminste op stealth, disabled, blocked of closed staan: GRC.com PortProbe-135 (135 moet closed of nog beter: op stealth staan) Sygate QuickScan (alleen zonder firewall mag alleen ICMP open staan) SyGate Stealthscan (ook zonder firewall mag niks open staan) SyGate TrojanScan (ook zonder firewall mag niks open staan) SyGate TCP-Scan (ook zonder firewall mag niks open staan) SyGate UDP-Scan (zonder firewall mag alleen UDP 135 open staan - mét firewall moét deze dicht staan!) FirewallCheck.com GRC.com NanoProbe (ook zonder firewall mag niks open [rood blokje] staan) Zie verder die poortscanner-websites, de handleiding van je firewall en Google/GoT-search om dit topic een beetje hanteerbaar te houden.

Naslag:

Informatie verzameld uit meerdere topic's en websites:

Exploit-ID: RPC DCOM vulnerability - Microsoft Security Bulletin MS03-026 (16 juli 2003) - en wellicht HTML Converter vulnerabilty - Microsoft Security Bulletin MS03-023 (9 juli 2003) Worm-ID: W32.Blaster.Worm (symantec), W32/Lovsan.worm (McAfee), WORM_MSBLAST.A (Trend Micro), Win32.Posa.Worm (CA), Lovsan.RPC (F-secure), MSBLASTER,Win32.Poza. KaHT II (haxorcitos), Exploit-DcomRpc trojan, W32/Lovsan.worm (NAI) Backdoor.IRC.Cirebot (symantec), Exploit.Linux.DCom / Worm.Win32.Lovesan, Exploit.Win32.DCom (KAV) Kwestbare OS'en: Microsoft Windows NT 4.0 (alle versies) Microsoft Windows 2000 (alle versies) Microsoft Windows XP (alle versies) Microsoft Windows Server 2003 (alle versies) . Niet Kwestbare OS'en: Microsoft Windows 3.x en ouder Microsoft Windows 95/98 (alle versies) Microsoft Windows ME non Windows OS'en (Linux, BSD etc) Betreft poorten: Poort Omschrijving Worm/Trojan 69 TCP/UDP: Trivial File Transfer Cirebot 80 TCP/UDP: HTTP / COM Internet Services RPC-exploit 135 TCP/UDP: DCE Endpoint Resolution Blaster / KaHTII 137 TCP/UDP: Netbios Name Service Blaster / KaHTII 138 TCP/UDP: Netbios Datagram Service Blaster / KaHTII 139 TCP/UDP: Netbios Session Service Blaster / KaHTII 445 TCP/UDP: Microsoft-DS Cirebot / Blaster / KaHTII 593 TCP/UDP: RPC-over-HTTP endpoint mapper RPC-exploit 4444 TCP/UDP: T-FTP Blaster / KaHTII 5555 TCP/UDP: Personal Agent KaHTII 6666 TCP/UDP: IRCU KaHTII 57005 TCP/UDP: unassigned Cirebot NB: Cirebot (AutoRooter) is de eerste RPC-trojan (zonder geactiveerde replication). Blaster/LoveSAN is een afgeleide 2e RPC-worm die wél zichzelf kan verspreiden (op dit moment de grootste boosdoener). KaHTII is een andere RPC-trojan (met oa als doel om virusscanners/firewalls uit te schakelen) die op dit moment nog niet in het wild is gesignaleerd. Er zijn nog meer RPC-worm/trojan versies in omloop (ook voor NT4 etc), maar die hebben (nog) geen significante betekenis. De RPC-Exploit kan ook via DCOM over non-IP protocols zoals IPX/SPX en NetBeui misbruikt worden. Een nieuwe Win32.LovSAN/Blaster worm variant is ontdekt met als bestandskenmerk: TEEKIDS.EXE (5,360 bytes). Het is functioneel exact gelijk aan de originele Win32.LovSAN/Blaster worm. Zie: NAI. Een nieuwe Win32.LovSAN/Blaster worm variant met als bestandskenmerk: PENIS32.EXE is ontdekt. Of de functie gelijk is aan de originele Win32.LovSAN/Blaster worm is nog in onderzoek. Zie: Symantec. Meer over poorten die Windows gebruikt. Handmatig Stappenplan (mochten de removal-tools niet werken): 1) Disable System Restore (Google HowTo's) 2) CTRL-SHIFT-ESCAPE -> kill proces MSBLAST.EXE , TEEKIDS.EXE en PENIS32.EXE 3) Start>zoeken>"MSBLAST.EXE" (bij volgende rondes: "TEEKIDS.EXE" en "PENIS32.EXE") op alle drives en ook verborgen bestanden/folders en elk bestand met de naam MSBLAST.EXE, TEEKIDS.EXE en PENIS32.EXE verwijderen (met name: in de system32 folder, in _restore, in "\System Volume Information\", en in de prefetch folder (*.pf) - als de PC al eerder is gecrasht bevinden zich in de memorydumps "user.dmp", "svchost.exe.hdmp" of "svchost.exe.mdmp" ook wormresten die je zonder problemen mag deleten) 4) Alle verwijzingen naar MSBLAST.EXE, TEEKIDS.EXE en PENIS32.EXE uit register deleten (met name: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run) 5) Virus/Trojanscanner updaten, daarna alle schijven scannen. (F-Secure en Symantec, CA, TrendMicro, NAI, McAfee en KAV herkenen hem al) 6) Update halen van Microsoft om (her)besmetting te voorkomen (zie voor directe downloadlinks bovenin deze post). 7) Reboot 8) Firewall installeren. (Welke Firewall?) en configureren 9) be happy and chill - het is te warm om je druk te maken als je dit binnen 2 minuten kan oplossen. Workaround preventer (voor de huidige Blaster.worm versie) [not recommended]: Met notepad een leeg tekstbestand aanmaken in \System32\ genaamd MSBLAST.EXE en de attributen/bestandskenmerken readonly, hidden & system maken. Tijdelijke RPC-crashworkround Mocht je moeite hebben om de RPC patch te downloaden (omdat RPC elke keer crasht): Start > Instellingen > Configuratiescherm > SysteemBeheer > Services (of start > uitvoeren en "services.msc" intoetsen). Daar Remote Procedure Call (RPC) opzoeken en eigenschappen opvragen. Bij het tabblad SysteemHerstel zitten 3 selectievakken voor 1e, 2e en volgende fouten: "Computer opnieuw opstarten". Zet deze alle 3 op "Service opnieuw starten". Op die manier kun je iig de update binnenhalen. Workaround om DCOM services uit te zetten (als patchen niet werkt): Windows 2000 (alle versies): Start > Uitvoeren > dcomcnfg Tabblad Default PRoperties "Enable Distributed COM on this computer" uitvinken. Windows XP (alle versies): Start > Uitvoeren > dcomcnfg Dubbelklik component services > dubbelklik computers > rechtsklikken op Mijn Computer > Eigenschappen Tabblad Default Properties "Enable Distributed COM on this computer" uitvinken. Symptomen van infectie zijn oa.: Kopiëren/plakken werkt niet meer onder Windows Onmogelijk om Excel / Word / Messenger / Outlook te starten (of welk programma dan ook wat steunt op RPC-services) WindowsUpdate werkt niet meer Foutmeldingen van svchost.exe Foutmeldingen van RPC service (met spontane reboots van het systeem) Iconen in configuratiescherm verdwenen Toevoegen/verwijderen programma's Icoon verdwijnt Firewall start niet meer automatisch / FW-regels zijn gewijzigd (accept 135-138 always). Ongewoon hogere traffic op bovengenoemde poorten Ongewone traffic op 20 opeenvolgende willekeurige poorten (voorbeeld: 2500-2520, 2501-2521, 2502-2522) Het doel van deze actie is onbekend. Aanwezigheid van ongewone TFTP* bestanden op het systeem Aanwezigheid van MSBLAST.EXE, TEEKIDS.EXE of PENIS32.EXE op het systeem (met name in de Windows System32 directory) MSBLAST.EXE, TEEKIDS of PENIS32.EXE draait als process/service in taakbeheer: (CTRL-ALT-DEL, Select “Task Manager”, Select “Processes” tab) Moet ik ook patchen als ik niet besmet ben / een router/firewall heb / een inbelverbinding heb / bijna nooit internet / geen last van crashes heb? Ja ! De sourcecode voor dit type worms is gemakkelijk te vinden (ik heb al meerdere Spaanse, Rusische, Poolse en Engelstalige versies mogen aanschouwen - compleet met documentatie, plugins en generators) en aan te passen door een coder. Het wachten is op de volgende versie die jouw PC wél weet te infecteren. Bovendien duurde het bij een proefPC maar 2 minuten totdat hij besmet was... Soms kan de RPC-Exploit scanner tegenstrijdige uitslag geven "Scanms returns wrong answer when you disabled DCOM on the target box. (run dcomcnfg, uncheck the "Enable Distributed COM on this computer" checkbox)". Zie: - http://archives.neohapsis...cidents/2003-08/0022.html - http://lists.jammed.com/incidents/2003/08/0026.html Lokale Links: Frontpage Tweakers.net: nieuws: Nieuwe worm maakt razendsnel misbruik van lek in RPC WOS Sticky: |||||| ** LEZEN - RPC crash/ windows shutdown ** ||||||

Wat ik niet uit de info kan halen is, zodra iemand deze melding krijgt, ben je dan gelijk "gehacked" ?

Ja, ook als het niet succesvol is geweest om je bak onderuit te trekken. Als de services MSBLAST.EXE, TEEKIDS.EXE of PENIS32.EXE draaien ben je overigens wel gehackt, want tot zover ik kan overzien gaat het om een worm die op zoek gaat naar andere gewillige
slachtoffers, jouw PC gaat gebruiken om de WindowsUpdate server te DDOS'en (van de 16e t/m de laatste dag van de maanden januari t/m augustus - en op elke dag in september t/m december) en elk onbekend (bij)doel(en) kan hebben. Voor een PC die niet gepatcht is duurt het luttele minuten om besmet te raken...

[ Voor 255% gewijzigd door Anoniem: 44568 op 13-08-2003 20:43 ]

[Vipertje]

oke ik heb msblast effe verandert in een txt bestand en als je effe tussen de zooi door leest staat er

LOVE YOU SAN!! bill gates you make

en dan nog meer zooi die ik niet krijg ge ontcijfert dit is dus duidelijk foute boel

[elevator]

Wat er gebeurt is dat er een process misbruikt wordt om SYSTEM rechten te krijgen op jouw systeem. De SYSTEM user heeft meer rechten op jouw PC, dan jij als Administrator.

De exacte scriptkiddie tool die hier gebruikt wordt kennen we nog niet, en dus is het moeilijk te zeggen wat er precies gebeurt. Zoals een aantal mensen hier zeggen zien ze het process MSBLAST.EXE er tussenstaan - dit zou er op kunnen wijzen dat ze inderdaad de bug succesvol uitbuiten, en dus dat ze je PC "gehacked" hebben.

[Anoniem: 33568]

Anoniem: 50683 schreef op 11 augustus 2003 @ 21:11:
[...]


Dat vind ik nu ook.

Wat ik niet uit de info kan halen is, zodra iemand deze melding krijgt, ben je dan gelijk "gehacked" ?

* Anoniem: 50683 Denkt dat ie het morgen na het werk erg druk krijgt met z'n kenissenkring....

Jij toevallig ook msblast.exe in je processen cq System32 folder staan?

Of beter gezegd: Wie heeft deze allemaal draaien plotseling op zijn systeem??

[Anoniem: 45837]

Anoniem: 50683 schreef op 11 August 2003 @ 21:11:
[...]


Dat vind ik nu ook.

Wat ik niet uit de info kan halen is, zodra iemand deze melding krijgt, ben je dan gelijk "gehacked" ?

* Anoniem: 50683 Denkt dat ie het morgen na het werk erg druk krijgt met z'n kenissenkring....

Tja een paar dagen geleden had ik het gevoeld dat ik gehacked werd
het begon allemaal toen een persoon uit me lijst een bestand wilde versturen (weet niet meer welk bestand), en zelfs als ik het niet deed accepteren kreeg ik die error en steeds als hij dat bestandje wilde versturen..

en ik kan me nu niet echt voorstellen dat ik gehacked word omdat volgens mij bijna iedereen er nu last van heeft

[ Voor 14% gewijzigd door Anoniem: 45837 op 11-08-2003 21:15 ]

[Anoniem: 39993]

Hier geen msblast.exe. Windows 2k NL, al een poosje met patch....

[Anoniem: 33568]

elevator schreef op 11 augustus 2003 @ 21:13:
Wat er gebeurt is dat er een process misbruikt wordt om SYSTEM rechten te krijgen op jouw systeem. De SYSTEM user heeft meer rechten op jouw PC, dan jij als Administrator.

De exacte scriptkiddie tool die hier gebruikt wordt kennen we nog niet, en dus is het moeilijk te zeggen wat er precies gebeurt. Zoals een aantal mensen hier zeggen zien ze het process MSBLAST.EXE er tussenstaan - dit zou er op kunnen wijzen dat ze inderdaad de bug succesvol uitbuiten, en dus dat ze je PC "gehacked" hebben.

Nog mooier,

Kill het proces en weg blijft het....

Totdat je opnieuw boot

[zandpaddo]

voor de guys die de nl versie hebben van windows:

http://download.microsoft...wsXP-KB823980-x86-NLD.exe

[Solomon]

Even m'n excuses voor het zoveelde topic hierover Maar ik wist niet hoe die "countdown" te beeindigen, dus moest ik heeel snel mijn verhaaltje copy/pasten op GoT (voordat m'n systeem resette). Daarom had ik geen tijd om te zoeken

Maar heel erg bedankt voor het oplossen

[elevator]

Anoniem: 33568 schreef op 11 August 2003 @ 21:15:
Nog mooier,
Kill het proces en weg blijft het....
Totdat je opnieuw boot

Kil dat process. Doe in je registry even een search naar alles waar msblast.exe in voorkomt, en schrijf ze allemaal eventjes op.

Ga vervolgens naar een cmd.exe prompt, en type in:

code:

cd %systemroot%
findstr /s /i /c:"msblast" *.ini

in alle ini files waar het in voorkomt, schrijf je op, en haal je de reference weg.

Vervolgens doe je:

code:

cd %userprofile%
findstr /s /i /c:"msblast" *.*

alle bestanden waar dit in voorkomt, gooi je weg of zet je apart. Als je daarna reboot heb je een kans dat ze idd niet meer terug komen

Op eigen risico, uiteraard

[Mitt3nz]

Wazig joh.. mn pc werd dus net ook twee keer gereboot met die melding.. had nog nooit van deze exploit gehoord

Maarja, meteen poorten 135,139 en 445 dichtgegooid.. zijn er nog andere die dichtmoeten ivm deze exploit?

[Emmeau]

zou per definitie ALLE poorten die zomaar van buitenaf aangesproken worden uitzetten.

ik bedoel dus, jouw pc initieert een verbinding. Als er zomaar iets van buitenaf jou kant op komt, dan is it of a) ongewenst, of b) gewenst (web, ftp, whatever).
gewenste poorten weet je, dus de rest kan dicht voor de buitenwereld.

[ Voor 59% gewijzigd door Emmeau op 11-08-2003 21:26 ]

[Anoniem: 50683]

Anoniem: 33568 schreef op 11 August 2003 @ 21:13:
[...]


Jij toevallig ook msblast.exe in je processen cq System32 folder staan?

Of beter gezegd: Wie heeft deze allemaal draaien plotseling op zijn systeem??

ik niet hier, maar ik denk een aantal kennissen wel.
Jammergenoeg zit daar iemand bij met een zakelijke ADSL aansluiting met een W2KSBS server, ga ik morgen gelijk ff langs na m'n werk.

[Anoniem: 44568]

Maarja, meteen poorten 135,139 en 445 dichtgegooid.. zijn er nog andere die dichtmoeten ivm deze exploit?

ALLE die je niet nodig hebt. Hij kan namelijk ook andere poorten gebruiken (135, 139, 445 zijn de defaults)...

To exploit this vulnerability, the attacker would require the ability to send a specially crafted request to port 135, 139, or 445 or any other specifically configured RPC port on the remote machine.

[ Voor 33% gewijzigd door Anoniem: 44568 op 11-08-2003 21:28 ]

[Mitt3nz]

Uhh sorry.. ik ben een beetje een n00b wat dit betreft

Ik laat mn firewall alles blocken op een paar programma's die ik zelf gebruik na + DNS .. is dat goed genoeg?

[ Voor 5% gewijzigd door Mitt3nz op 11-08-2003 21:29 ]

[henkyyyyyyy]

Even een vraagje jongen , hoe komt dat nou ineens dat zoveel mensen tegelijkertijd er last van hebben?

[blackd]

henkyyyyyyy schreef op 11 August 2003 @ 21:30:
Even een vraagje jongen , hoe komt dat nou ineens dat zoveel mensen tegelijkertijd er last van hebben?

Emmeau in "*** RPC crash/shutdown 'vraag bak' ***"

[Vipertje]

omdat msblast volgens mij andere pc's laat chrashen ik denk dat wij het zelf verspreiden toen ik msblast weer los liet probeerde hij het internet op naar zomaar wildvreemde pc's en steeds andere

[Emmeau]

Omdat de scriptkiddies de rootexploit kids ontdekt hebben, en er nu een grote groep bezig is om een hoop pc's the infecten.
Leuke manier om een hoop bots te krijgen voor een goede DOS attack.

Het is altijd hetzelfde, de goede moeten weer lijden onder de slechten (waarbij slechten -> script kiddies en naievelingen die niks aan updates/beveiliging doen)

[Anoniem: 50683]

henkyyyyyyy schreef op 11 August 2003 @ 21:30:
Even een vraagje jongen , hoe komt dat nou ineens dat zoveel mensen tegelijkertijd er last van hebben?

Er zal wel een of ander standaard scan/hack proggie in omloop zijn gebracht.
Doet me denken aan het nuken eind jaren 90, met de ping of death etc.
Maar die gooide tenminste alleen de verbinding plat, dit is een graadje erger
denk ik.

[Emmeau]

Mitt3nz schreef op 11 augustus 2003 @ 21:29:
Uhh sorry.. ik ben een beetje een n00b wat dit betreft

Ik laat mn firewall alles blocken op een paar programma's die ik zelf gebruik na + DNS .. is dat goed genoeg?

Waarom blokkeer je DNS? tenzij je een eigen DNS service runt die voor de buitenwereld toegankelijk moet zijn?

[Anoniem: 73631]

Ja ik werk bij een helpdesk van een computer fabrikant.

Omstreeks 19:45 vandaag belde er ongeveer 10 mensen met dit probleem, de oplossing die wij gaven Netwerkkabel eruit halen firewall inschakelen voor die verbinding, netwerkkabel erweer indoen en dan de update downloaden.

Daarna nog iets van 20 mensen die belde met dat probleem.
bla moes ik ff kwijt

[Mitt3nz]

Ok.. krijg dus nu een zooi hits binnen op die "verboden" ports..

Kan ik die IP's ergens reporten ofzo?

[MUSTIS]

hijs dwars door me firewall heengegaan. kzat midden in een spel dus ik moest wel ja doen.

[Anoniem: 50683]

Mitt3nz schreef op 11 August 2003 @ 21:34:
Ok.. krijg dus nu een zooi hits binnen op die "verboden" ports..

Kan ik die IP's ergens reporten ofzo?

Abuse bij je provider, meestal abuse@<providernaam>.nl ofzo.

[blackd]

Mitt3nz schreef op 11 augustus 2003 @ 21:34:
Kan ik die IP's ergens reporten ofzo?

Abuse afdeling van de provider.
IP kun je natrekken via www.arin.net of www.ripe.net.

[Anoniem: 50683]

MUSTIS schreef op 11 August 2003 @ 21:34:
hijs dwars door me firewall heengegaan. kzat midden in een spel dus ik moest wel ja doen.

Welke firewall is dat dan??

ik heb nu 235 vermeldingen in m;n syslog ervan staan, vanaf 06.30 uur vanochtend. valt wel mee als je het op de hele dag bekijkt

[ Voor 24% gewijzigd door Anoniem: 50683 op 11-08-2003 21:38 ]

[Emmeau]

MUSTIS schreef op 11 August 2003 @ 21:34:
hijs dwars door me firewall heengegaan. kzat midden in een spel dus ik moest wel ja doen.

Tijd voor een a) goede firewall of b) betere configuratie.

[Mitt3nz]

Emmeau schreef op 11 August 2003 @ 21:33:
[...]


Waarom blokkeer je DNS? tenzij je een eigen DNS service runt die voor de buitenwereld toegankelijk moet zijn?

Ik bedoel dat ik alleen maar die programmas + DNS toelaat

[Xhale]

Ik weet ook niet wat het is, maar ik ga het dus ook druk krijgen, al 2 in de kennisen kring met dit probleem. Met 1 even aan de telefoon gezeten, en inderdaad die msblast.exe erop. Maar na het stop zetten van process, krijg je nog steeds dat afsluit scherm. Morgen er maar naar toe om zelf eens erachter te zitten. Maar stiekem hoop toch wel dat dan al een fix voor is die ik zelf thuis kan downloaden. want echt vrolijk van de 56k lijntjes word ik niet

[Anoniem: 50683]

Xhale schreef op 11 August 2003 @ 21:39:
Ik weet ook niet wat het is, maar ik ga het dus ook druk krijgen, al 2 in de kennisen kring met dit probleem. Met 1 even aan de telefoon gezeten, en inderdaad die msblast.exe erop. Maar na het stop zetten van process, krijg je nog steeds dat afsluit scherm. Morgen er maar naar toe om zelf eens erachter te zitten. Maar stiekem hoop toch wel dat dan al een fix voor is die ik zelf thuis kan downloaden. want echt vrolijk van de 56k lijntjes word ik niet

ff die fix apart downloaden, en op USB diskje zetten.

[blackd]

Xhale schreef op 11 August 2003 @ 21:39:
Maar stiekem hoop toch wel dat dan al een fix voor is die ik zelf thuis kan downloaden. want echt vrolijk van de 56k lijntjes word ik niet

1) er is een patch beschikbaar, zie sticky topic in Windows Operated Systems
2) goed firewallen helpt ook.

[Anoniem: 44169]

Hehe, ben ik ff een Ubernoob. Zit ik met me vriendin een filmpie te kijken, krijg ik die 'Remote Procedure call service onverwacht gestopt' melding. Zeg tegen der: gewoon negeren en wegklikken. Hmmm, tot dat de bastaard opnieuw opstartte.

Patch geinstalleerd en tot nu toe geen problemen (20 min nu)

[elevator]

Mitt3nz schreef op 11 August 2003 @ 21:24:
Maarja, meteen poorten 135,139 en 445 dichtgegooid.. zijn er nog andere die dichtmoeten ivm deze exploit?

Ehmm block de REEKS 135-139. Dus niet 135 en 139, op 137 zit bv. ook een en ander. Blokkeer gewoon poort 135, 136, 137, 138, 139, en 445, voor zowel TCP als UDP.

[elevator]

Mitt3nz schreef op 11 August 2003 @ 21:34:
Ok.. krijg dus nu een zooi hits binnen op die "verboden" ports..
Kan ik die IP's ergens reporten ofzo?

Vermoeden is dat het programma wat geinstalleerd wordt zelf een trojan is. Je gaat dus als het ware jezelf rapporteren (want toen jij dat programma draaide, was je zelf ook pc's aan het infecteren geweest)

[Anoniem: 50683]

443 ?? da's https ?
Ik las net toch echt 443 ???
(moet toch eens een bril gaan laten opmeten )
maargoed wa's dit dan:

code:

Filter network traffic
Sites are encouraged to block network access to the RPC service at network
borders. This can minimize the potential of denial-of-service attacks originating
from outside the perimeter. The specific services that should be blocked include

135/TCP 
135/UDP 
139/TCP 
139/UDP 
445/TCP 
445/UDP

[ Voor 143% gewijzigd door Anoniem: 50683 op 11-08-2003 21:52 ]

[elevator]

Anoniem: 50683 schreef op 11 August 2003 @ 21:45:
443 ?? da's https ?
Ik las net toch echt 443 ???

443 ?

[Anoniem: 72809]

Hoi, wij ook hier gehackt. Met patch idd alles weer goed. Maar ik heb een vraagje.....ik heb hier Winroute draaien met poorten 21,80, 1071 en 8080 open. Heb ik het dan goed dat het gekomen is door poort 1071 of 8080 (open gezet vanwege projectje op school)?

Kan verder iemand mij vertellen wat misschien verandert kan zijn zonder dat ik het in de gaten heb wat schade kan doen? Misschien lastige vraag maar ben errug nieuwschierig.

Trouwens iemand enig idee of zeg maar de hele wereld er last van heeft?

[Anoniem: 40392]

http://securityresponse.s...ecurity/Content/8205.html

[blackd]

Anoniem: 72809 schreef op 11 August 2003 @ 21:47:
Trouwens iemand enig idee of zeg maar de hele wereld er last van heeft?

Kijk eens naar de slotjes hier in WOS
Kijk eens naar de 'affected systems' bij de security bulletins van MS
dan kun je wel een inschatting maken

[MUSTIS]

Emmeau schreef op 11 August 2003 @ 21:36:
[...]


Tijd voor een a) goede firewall of b) betere configuratie.

nee tis waarschijnlijk me eigen schuld. omdat ik in zon morpg zat dacht ik dat et daarvan was. dus ik heb al die scvhosts doorgelaten

edit: blast eruit gewerkt, firewall er weer op (tiny firewall) en alle inbounds tegenhouden

[ Voor 14% gewijzigd door MUSTIS op 11-08-2003 21:55 ]

[momania]

Anoniem: 72809 schreef op 11 augustus 2003 @ 21:47:
Trouwens iemand enig idee of zeg maar de hele wereld er last van heeft?

Kijk voor de gein eens onderin Windows Operated Systems

[Emmeau]

Momania, je hebt goed werk gedaan.
Hoop dat de ellende een beetje voorbij is.

Anders kan er altijd nog een filter gebouwd worden welke topics met woorden RPC reboot Authority weigert eheh

[Mitt3nz]

elevator schreef op 11 August 2003 @ 21:45:
[...]

Vermoeden is dat het programma wat geinstalleerd wordt zelf een trojan is. Je gaat dus als het ware jezelf rapporteren (want toen jij dat programma draaide, was je zelf ook pc's aan het infecteren geweest)

Nee, ik heb dat programma niet op mn systeem.

[Anoniem: 87260]

Anders moet je naar computer beheer gaan, daar staat een service... Remote Procedure Call (RPC) en dan staat er bij wat je pc moet doen.. bijv. First failure: Restart Computer second failure etc... dat kun je allemaal uitzetten

[elevator]

Anoniem: 50683 schreef op 11 August 2003 @ 21:45:
443 ?? da's https ?
Ik las net toch echt 443 ???

maargoed wa's dit dan:

code:

Filter network traffic
Sites are encouraged to block network access to the RPC service at network
borders. This can minimize the potential of denial-of-service attacks originating
from outside the perimeter. The specific services that should be blocked include

135/TCP 
135/UDP 
139/TCP 
139/UDP 
445/TCP 
445/UDP

C:\WINDOWS\system32\drivers\etc>findstr /i /c:"137" services
netbios-ns 137/tcp nbname #NETBIOS Name Service
netbios-ns 137/udp nbname #NETBIOS Name Service

die wil jij toch echt niet open hebben staan naar internet toe hoor.

[Anoniem: 72809]

momania schreef op 11 August 2003 @ 21:48:
[...]

Kijk voor de gein eens onderin Windows Operated Systems

Bedoelde niet alleen Nederland, heb in de gaten dat het hier ene grote lol is
Maar bedoelde meer is het op dit moment ook errug hot over de hele wereld? Of is dat al een beetje geweest? Aangezien het al per 16-07 ontdekt is.

Ben nog niet eerder met zo'n trojan in aanraking geweest, vandaar denk ik.

[elevator]

Anoniem: 87260 schreef op 11 August 2003 @ 21:52:
Anders moet je naar computer beheer gaan, daar staat een service... Remote Procedure Call (RPC) en dan staat er bij wat je pc moet doen.. bijv. First failure: Restart Computer second failure etc... dat kun je allemaal uitzetten

lijkt me niet precies de oplossing

[Anoniem: 86479]

is de patch voor elke windows versie?

[ Voor 14% gewijzigd door Anoniem: 86479 op 11-08-2003 22:00 ]

[Anoniem: 28377]

Heb ook net last gehad van dit gedoe. Patch geïnstalleerd en alles lijkt goed. Ook MSBLAST.EXE gevonden in mijn System32. Ik moet ze niet tegen het lijf lopen.....

[Anoniem: 55140]

Anoniem: 72809 schreef op 11 August 2003 @ 21:56:
[...]


Bedoelde niet alleen Nederland, heb in de gaten dat het hier ene grote lol is
Maar bedoelde meer is het op dit moment ook errug hot over de hele wereld? Of is dat al een beetje geweest? Aangezien het al per 16-07 ontdekt is.

Ben nog niet eerder met zo'n trojan in aanraking geweest, vandaar denk ik.

Er komen nu, lijkt het, dat er meer dan 5 proggies per dag uitkomen hiervoor, niet bij te houden voor de AVs...
Het is nog wel een stukje erger in USA dan hier lijkt het.

[elevator]

F-Secure heeft hem gevonden: http://www.f-secure.com/v-descs/msblast.shtml

F-Secure is currently analysing a possible new RPC worm, known currently as MSBLAST.

This 6176 byte executable contains about 11kB of uncompressed code, which apparently exploits the MS03-026 DCOM/RPC hole,"Buffer Overrun In RPC Interface", http://www.microsoft.com/...ity/bulletin/MS03-026.asp This vulnerability was discovered on July 16th, 2003.

The worm contains these texts:


I just want to say LOVE YOU SAN!!
billy gates why do you make this possible ? Stop making money and fix your software!!

The worm adds a key called "windows auto update" to HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

[ Voor 83% gewijzigd door elevator op 11-08-2003 22:03 ]

[Mitt3nz]

Anoniem: 87260 schreef op 11 August 2003 @ 21:52:
Anders moet je naar computer beheer gaan, daar staat een service... Remote Procedure Call (RPC) en dan staat er bij wat je pc moet doen.. bijv. First failure: Restart Computer second failure etc... dat kun je allemaal uitzetten

Computer beheer? Hoe kom ik daar?

[Fantomas]

Er is ook een handig tooltje uitgebracht waardoor de kiddie's zelf niets meer hoeven te doen.
Twee keer klikken en je zit erin, met een leuke GUI en zo. Ik denk dat dat er ook wel iets mee te maken heeft dat het nu ineens zo keihard gaat met al die attacks.

[Strider]

Is hij nu wel of niet gepatched?

http://home.wanadoo.nl/thomas.peters/Untitled-1%20copy.jpg

[ Voor 57% gewijzigd door Strider op 11-08-2003 22:23 ]

[Vipertje]

elevator schreef op 11 August 2003 @ 22:01:
F-Secure heeft hem gevonden: http://www.f-secure.com/v-descs/msblast.shtml


[...]

jah die tekst was ik ook al achter paar bladzijdes terug maar kon niet alles ontcijferen

[elevator]

martijnf schreef op 11 August 2003 @ 22:10:
jah die tekst was ik ook al achter paar bladzijdes terug maar kon niet alles ontcijferen

strings van www.sysinternals.com kan hier handig van pas komen

[Exterminator]

aaa heb er ook net last van gehad, kwerd er helemaal gek van,khoop snel dat hier n oplossing voor komt,behalve die patch dan,ben benieuwt wat met die msblast gaat gebeuren

Greetz

[Anoniem: 12019]

Ook ik heb last van rpc en zelfs een nieuwe image hielp niet,gelukkig ook nog een oude image van 98lite liggen en die geinstalleerd en gelijk naar Tweakers voor een oplossing kijken en zie dat ik gelukkig niet de enigste was,nu nog even deze topic goed doorlezen voor de oplossing.:*)

[Anoniem: 72809]

Is het trouwens nodig om alle computers in een thuis netwerkje (die er overigens geen last van hebben) te patchen. Weet dat het geen kwaad kan maar moet het?

[Anoniem: 7094]

pff, wat een gezeik was dah, had et net elke minuut, en steeds die pc opnieuw opstarten, maja, nu ef firewall aangezet en patch, en hopen dat ie wegblijft

[blackd]

Kurvers schreef op 11 August 2003 @ 22:15:
khoop snel dat hier n oplossing voor komt

Er zijn al 2 oplossingen voor hoor.