Outbreak Exploit-CVE2010-3970

[YellowOnline]

Voor wie het aanbelangt: wij hebben een outbreak van Exploit-CVE2010-3970.

Vulnerable: Win2K en WXP.
Patch van Microsoft: enkel voor WXP SP3 - de patch brengt WXP SP1 en 2 in een reboot loop
McAfee standaard gedrag is delete, op onze vraag wordt momenteel een DAT onderzocht die een clean zou doen in de plaats.

Er zijn nog grote omgevingen behalve de onze waar enkele duizende machines lager dan XP SP3 zitten vermoed ik. Voornaamste boodschap: kijk uit of je hebt net als ons een probleem met enkele honderdduizenden documenten

http://vil.nai.com/vil/content/v_351938.htm

Ik denk dat het risk level binnenkort verandert Ik vertrek binnen 10 minuten naar het buitenland en kan dus niet zoveel uitleg geven, maar ik wil wat mensen problemen besparen.

[ Voor 27% gewijzigd door YellowOnline op 07-04-2011 17:07 ]

[alt-92]

http://www.microsoft.com/...ty/Bulletin/MS11-006.mspx

En XP SP1 of 2 en Win2k is allang unsupported dus dat risico had je kunnen beperken met behoorlijk LCM of patchmanagement

[Verwijderd]

Je stelt dat documenten geinfecteerd zijn geraakt met deze exploit? Dat zou zeer interessant zijn.

Het lijkt me waarschijnlijker dat er sprake is van een companion infector. Hierbij wordt een virus gekopieerd als een al bestaande bestandsnaam (en de originele bestanden eventueel verborgen).

Als voorbeeld in dit geval:
plaatje.jpg --> virus kopieert zich in dezelfde directory als plaatje.jpg.doc
prog.exe --> prog.exe.doc

Dit schema is redelijk populair bij sommige virussen. Het daadwerkelijk infecteren van non-PE bestanden is echter niet populair.

Verder: wat alt zegt. Weg met XP.

[YellowOnline]

(vanuit een warm bed in Berlijn)

We zijn SCCM aan het implementeren en aan het overschakelen naar W7 in dezelfde beweging. Het gaat over 25 000 machines, dus het is wel een serieus werkje. In de huidige situatie was er helaas geen centraal management.

We hebben tienduizenden infected files. Grappig genoeg zijn ze te desinfecteren door ze onder linux in OO te openen en gewoon opnieuw op te slaan. Dat is een workaround die natuurlijk niet voor zoveel files gedaan kan worden, maar al iets dat voor echt dringende dingen kan dienen.

[dutch_camel]

alt-92 schreef op donderdag 07 april 2011 @ 20:01:
http://www.microsoft.com/...ty/Bulletin/MS11-006.mspx

En XP SP1 of 2 en Win2k is allang unsupported dus dat risico had je kunnen beperken met behoorlijk LCM of patchmanagement

Klopt, ware het niet dat er nog steeds leveranciers zijn die nog eisen(!) dat je max XPSP2 of zelfs XPSP1 draait. Of soms Win2K for that matter. Werk zelf in de zorg sector, en geloof het of niet, hier staat nog een Win98 systeem voor een of andere analyzer, omdat de specifieke software simpelweg nergens anders op kan (mag) draaien.
Gelukkig staan deze machines dan wel in een geïsoleerd netwerkje met AV. Maar een verkeerde USB stick oid en je bent de Sjaak.
Gelukkig zijn we bezig met een enorme vernieuwingsslag, en werken we de leveranciers van dat soort systeempjes langzaam aan de toko uit.

[alt-92]

dutch_camel schreef op vrijdag 08 april 2011 @ 16:38:

Gelukkig zijn we bezig met een enorme vernieuwingsslag, en werken we de leveranciers van dat soort systeempjes langzaam aan de toko uit.

Langzaam? Geef eens gas? echt.... een leverancier die jou op die manier bewust vulnerabilities oplevert hoort aan de schandpaal.