*** LEZEN - RPC crasht/ shutdown gestart ***

[Cpt.Morgan]

Oude versie, nieuwe sticky staat bovenaan:
|||||| ** LEZEN - RPC crash/ windows shutdown ** ||||||

_{Je vind het vast niet erg als ik dit even edit}

Problemen met RPC - shutdowns

Voor iedereen die deze melding op z'n scherm krijgt: Dit is het gevolg van een lek in Windows, waar ook een patch voor uitgebracht is. Voor je dus hier een topic opend, pas eerst die patch toe: MS03-026 N.B.: Deze patch werkt niet altijd. Ook is er een scanner om te zien of je (nog) kwetsbaar bent, of een andere computer in je netwerk. Die kan je hier downloaden. Probeer die dus, ook als je patch toegepast hebt. En ook niet onbelangrijk: zorg voor een firewall ! Meer info over deze vulnerability: * CERT/CC Vulnerability Note VU#326746 - http://www.kb.cert.org/vuls/id/326746 * Microsoft Security Bulletin MS03-026 - http://microsoft.com/technet/security/bulletin/MS03-026.asp * Microsoft Knowledge Base article 823980 - http://support.microsoft.com?kbid=823980 http://www.cert.org/advisories/CA-2003-19.html Heb je het na deze patch nog, kan je je probleem kwijt in dit topic: *** RPC crash/shutdown 'vraag bak' *** Geen nieuw topic er over openen dus

[ Voor 125% gewijzigd door Rafe op 12-08-2003 12:59 ]

[Han]

OS in titel gezet. Volgende keer zelf even direct je OS vermelden in de titel

[Anoniem: 12353]

99% zeker dat iemand je zit te hacken dmv een recent bekend geworden bug in windows.

http://www.microsoft.com/...ty_bulletins/ms03-026.asp

[ Voor 41% gewijzigd door Anoniem: 12353 op 28-07-2003 18:38 ]

[Cpt.Morgan]

Anoniem: 12353 schreef op 28 July 2003 @ 18:37:
99% zeker dat iemand je zit te hacken dmv een recent bekend geworden bug in windows.

http://www.microsoft.com/...ty_bulletins/ms03-026.asp

Waarom weet je dat zo zeker? Het treedt nu ook in meer accounts op....

edit:
Verwijderd: Het lijkt alleen op te treden in accounts die gebruik maken van MSN 6.0...

[ Voor 10% gewijzigd door Cpt.Morgan op 28-07-2003 19:52 ]

[Anoniem: 12353]

Omdat ik die exploit gister op m'n eigen pc heb los gelaten en die geeft *Precies* de zelfde symtomen als die jij omschrijft..

[Cpt.Morgan]

Anoniem: 12353 schreef op 28 July 2003 @ 21:15:
Omdat ik die exploit gister op m'n eigen pc heb los gelaten en die geeft *Precies* de zelfde symtomen als die jij omschrijft..

Ah... dat verklaart een hoop ... Ik heb daarstraks Windows Update maar weer eens op mijn PC losgelaten en sindsdien is het (nog) niet voorgekomen....

Heb je ergens meer informatie over die exploit trouwens? Is er al kans op schade aan de PC of bestanden en is Windows Update voldoende om het op te lossen?

[ Voor 21% gewijzigd door Cpt.Morgan op 28-07-2003 21:34 ]

[Cpt.Morgan]

Update: Er lijkt niets met de PC aan de hand te zijn (gelukkig), maar ik zou toch wel graag willen weten wat er in de praktijk (dus niet theoretisch) allemaal mogelijk is via deze exploit. Zelf heb ik alleen gevonden dat het in theorie mogelijk is om alle gewenste code te laten draaien.

[mrsar]

http://microsoft.com/tech...ity/bulletin/MS03-026.asp

dit zou de link moeten zijn,heb em namelijk hier op et werk vorige week deze patch op alle systemen laten installeren

[Cpt.Morgan]

mrsar schreef op 30 July 2003 @ 10:46:
http://microsoft.com/tech...ity/bulletin/MS03-026.asp

Die link was inderdaad hierboven ook genoemd, maar daar in staat dus:

An attacker who successfully exploited this vulnerability could gain complete control over a remote computer. This would give the attacker the ability to take any action on the server that they want. For example, and attacker could change Web pages, reformat the hard disk, or add new users to the local administrators group.

Met andere woorden: deze dingen zijn theoretisch mogelijk. Maar welke exploit(s) bestaan er nu al werkelijk voor en wat zijn daar de mogelijkheden van? En welk risico heb ik dus gelopen? In totaal is de bovenstaande foutmelding een keer of 10 verschenen in een periode van 24 uur...

[Anoniem: 76473]

Ok ik heb deze melding sinds gister ook opeens, er was toevallig wel gister een JAVA_nocheat.A aangetroffen op mn pc.. ik weet niet of dat er iets mee te maken heeft..
MAar hoe kom ik hier vanaf..

Ok net win update gedaan.. en nu nog nix gezien..

[ Voor 13% gewijzigd door Anoniem: 76473 op 30-07-2003 17:34 ]

[Cpt.Morgan]

Anoniem: 76473 schreef op 30 July 2003 @ 17:06:
Ok ik heb deze melding sinds gister ook opeens, er was toevallig wel gister een JAVA_nocheat.A aangetroffen op mn pc.. ik weet niet of dat er iets mee te maken heeft..
MAar hoe kom ik hier vanaf..

Ok net win update gedaan.. en nu nog nix gezien..

Na die Windows Update moet het probleem voorbij zijn, want daar zit ook de patch bij die hierboven beschreven staat als oplossing...

[Anoniem: 76473]

Ik heb verder geen rare zooi geopend.. kan dit door een of ander java applet gekomen zijn ? anders weet ik het ff niet..
O ja ik had gister wel een filmpje van kazaa geopend die automatisch ook een website opende.. filmpje werd gewoon geopend in mediaplayer..

[Cpt.Morgan]

Het heeft niets met rare zooi te maken... Het is een lek in de Remote Procedure Call (RPC), waarin door naar een bepaalde TCP poort data te zenden vanaf een andere PC een buffer overrun veroorzaakt kon worden. Iemand anders kon daardoor (theoretisch) van buitenaf vanalles op je PC doen, zonder dat daar een trojan of virus voor nodig was...

[casapira]

Hmm ik heb hetzelfde met mn mohaa-server die op een welgewilde range zit voor hackers en ik heb windows 2003 erop zitten maar ik ben net zelf gestopt met hacken enzo maar ik heb nog een aantal kameraden die die exploit wel kennen (welke ik hier niet ga noemen) en zij zeiden dat windows 2003 niet vulnerable was... hoewel de windows site dat wel zei. Zal ik toch zijn gehacked?

[Cpt.Morgan]

casapira schreef op 30 July 2003 @ 21:21:
Hmm ik heb hetzelfde met mn mohaa-server die op een welgewilde range zit voor hackers en ik heb windows 2003 erop zitten maar ik ben net zelf gestopt met hacken enzo maar ik heb nog een aantal kameraden die die exploit wel kennen (welke ik hier niet ga noemen) en zij zeiden dat windows 2003 niet vulnerable was... hoewel de windows site dat wel zei. Zal ik toch zijn gehacked?

Een update kan geen kwaad, vooral omdat zowel Microsoft als de ontdekkers van de hack ( http://lsd-pl.net/ ) zeggen dat Windows 2003 wel vulnerable is... Maar aangezien jij bekend bent met de hack, zou jij dan misschien mijn eerdere vraag kunnen beantwoorden:

Met andere woorden: deze dingen zijn theoretisch mogelijk. Maar welke exploit(s) bestaan er nu al werkelijk voor en wat zijn daar de mogelijkheden van? En welk risico heb ik dus gelopen? In totaal is de bovenstaande foutmelding een keer of 10 verschenen in een periode van 24 uur...

[casapira]

Nou dat risico is wel degelijk aanwezig. Ik ken mensen die ff wilden laten zien hoe stoer ze wel niet waren door te zeggen dat ze met 50 threads tegelijk hacken. Dit is net zo'n grote bedreiging als de sql-weak-pass hack en de SQL buffer overflow waarmee toen een grote worm is gemaakt die veel van het bedrijfsleven heeft getroffen. Het is nog net niet vergelijkbaar met IIS wat toch wel het meest bug-rijke programma aller tijden is
Er zijn al exploits dus die worden gebruikt. Ik weet niet of ik hier een link mag plaatsen ernaar om voor de systeembeheerders de mogelijkheid te geven dat ze het testen op hun eigen pc, aangezien de exploits ook in verkeerde handen *kuch**kuch* kunnen vallen.

[gluiperd]

Mijn comp heeft precies hetzelfde gehad, ik heb de update geinstalleerd en nog niet weer problemen gehad. Ik ben ook wel benieuwd wat de gevolgen voor m'n comp zijn, weet iemand hoe en of ik kan nagaan of men iets veranderd heeft?

[xoror]

het leuke is dat na het patchen je nog steeds de computer remote kan laten crashen...(zelf getest en ook door anderen gerapporteerd.) overigens is het niet gelukt om een cmd shell te krijgen. maar je bent nog steeds kwetsbaar voor een DoS. als die scvhost gecrashed is, werken er heel veel dingen niet meer zoals copy paste, sleur en pleur etc.

maw, verrotte patch. beter om bepaalde poorten met firewall af te schermen.

win server 2003 is wel degelijk kwetsbaar, er is zelf al een exploit voor uit.

[ Voor 43% gewijzigd door xoror op 31-07-2003 12:30 ]

[Cpt.Morgan]

casapira schreef op 31 July 2003 @ 01:14:Er zijn al exploits dus die worden gebruikt. Ik weet niet of ik hier een link mag plaatsen ernaar om voor de systeembeheerders de mogelijkheid te geven dat ze het testen op hun eigen pc, aangezien de exploits ook in verkeerde handen *kuch**kuch* kunnen vallen.

Een link hoeft van mij niet perse, maar is er een manier om te zien wat er in die periode van 24 uur gebeurd is op mijn PC van buitenaf?

[Sjah]

Bij mij ook een crash met psies die foutmelding, net gepatched maar. Weet iemand of die attacker de pc laat crashen, of dat het buiten zijn wil om is gegaan (dus terwijl die probeerde te rotzooien).

[Anoniem: 12353]

De exploit geeft je een normale cmd.exe shell. op Het moment dat 'de attacker' er genoeg van heeft en z'n verbinding met je pc sluit, ziet rpc het niet meer zitten en steft wat bovengenoemde melding geeft.

[Cpt.Morgan]

Anoniem: 12353 schreef op 02 August 2003 @ 03:25:
De exploit geeft je een normale cmd.exe shell. op Het moment dat 'de attacker' er genoeg van heeft en z'n verbinding met je pc sluit, ziet rpc het niet meer zitten en steft wat bovengenoemde melding geeft.

Hmmm das wel heftig.... En kan ik ergens nazoeken wat die perso(o)n(en) allemaal op mijn pc hebben uitgespookt?

[paella]

Een beetje exploiter wist zijn sporen ook uit, dus nee, niet terug te vinden. Hooguit zou je kunnen zoeken op welke bestanden zijn bewerkt in de periode waar we over spreken (dus zoek naar alles bestanden met bewerkingsdatum van de aflopen dagen).

[mcbadass]

hmm, toevallig, ik heb sinds vandaag hier ook steeds last van en heb toevallig ook die JAVA_nocheat.A aangetroffen
ook maar eens wat patches installen

[Martinus]

zelfde gedonder hier... nog meer mogelijkheden behalve de patch?

[Cpt.Morgan]

Martinus schreef op 11 August 2003 @ 06:35:
zelfde gedonder hier... nog meer mogelijkheden behalve de patch?

Is het daarmee niet voorbij bij jou dan? Zorgen dat je een firewall (bv die van XP zelf) aan hebt staan...

[Anoniem: 49705]

Helpt een firewall hier tegen?

[Anoniem: 90136]

Dit had ik vanochten dus ook(Xp). Na het rebooten gaf windows aan dat sommige systeembestanden gewijzigd waren. Kan ik er vanuit gaan dat er gekloot is? Of zijn de bestanden gewoon beschadigd(klinkt onwaarschijnlijk...).

[blackd]

Anoniem: 49705 schreef op 11 augustus 2003 @ 08:57:
Helpt een firewall hier tegen?

Als je de RPC poorten blokkeert voor internet wel ja

[Cpt.Morgan]

Anoniem: 90136 schreef op 11 August 2003 @ 10:02:
Dit had ik vanochten dus ook(Xp). Na het rebooten gaf windows aan dat sommige systeembestanden gewijzigd waren. Kan ik er vanuit gaan dat er gekloot is? Of zijn de bestanden gewoon beschadigd(klinkt onwaarschijnlijk...).

Ik zou ze laten herstellen door SFC.EXE (opstarten via commandprompt), kans is groot dat er een Trojan of backdoor op je PC is gezet..

[Anoniem: 90136]

Denk dat het toch maar tijd word voor een firewall.....
Bedankt voor de tip gaan we zeker even proberen.

[Anoniem: 50683]

Anoniem: 90136 schreef op 11 augustus 2003 @ 12:44:
Denk dat het toch maar tijd word voor een firewall.....
Bedankt voor de tip gaan we zeker even proberen.

Yup, zie hier:

code:

followme:/var/log# cat syslog.0 | grep INPUT-REJECT | grep DPT=445 -c
282
followme:/var/log# cat syslog.0 | grep INPUT-REJECT | grep DPT=135 -c
11
followme:/var/log# cat syslog.0 | grep INPUT-REJECT | grep DPT=139 -c
2

is de log van gister tot vanochten 06.00 uur !

hier van vanochtend tot nu:

code:

followme:/var/log# cat syslog | grep INPUT-REJECT | grep DPT=139 -c             
7
followme:/var/log# cat syslog | grep INPUT-REJECT | grep DPT=135 -c
17
followme:/var/log# cat syslog | grep INPUT-REJECT | grep DPT=445 -c
59

* Anoniem: 50683 Gaat eens ff kijken of er @home ranges tussen zitten,
en die gaan regelrecht naar [e-mail]

[ Voor 32% gewijzigd door Anoniem: 50683 op 11-08-2003 20:09 ]

[momania]

RPC als afkorting in de titel gezet in de hoop dat iedereen nu eerst in dit topic gaat kijken

[Anoniem: 87260]

ik heb het nu elke 2 minuten\

[momania]

Patch al gedownload?

MS03-026