[XP] Collega belaagd door script-kiddie

[Kaastosti]

Vandaag was het ineens dikke pret op de PC van een collega van me. We zitten vrolijk te proggen en ineens wordt zijn muis door iemand anders bestuurd. Hij opent allerlei programma's, bekijkt data en is niet weg te krijgen. Aangezien hij maar bleef blaten 'i own' en 'you suck' neem ik aan dat het een kleutertje geweest moet zijn.

Voordat ik alles dichttimmerde kwam hij nog met de mededeling dat m'n collega de dupe was van een vulnerability van XP. Daarna niets meer van 'm vernomen (gelukkig).

Aangezien deze kiddie ook meteen controle had over z'n muis, neem ik aan dat het iets met remote desktop vandoen heeft. Remote desktop zelf gaat niet, aangezien je dan maar met 1 persoon tegelijk ingelogged kan zijn. Of is het eerder iets met MSN en desktop sharing oid?

Ik vind 't best interessant, aangezien ik zelf thuis (op werk win2k) ook XP draai en dit soort activiteiten liever niet heb.

[The Dolf]

Misschien was het een trojan?

[Tux]

Zou het iets te maken hebben met de bug waarvoor de patch WindowsXP-KB-823980-x86-ENU is uitgekomen. Ik zag namelijk vorige week op campzone op het intranet het bericht dat iedereen deze patch zo snel mogelijk moest installeren. Het zat geloof ik ook in oudere versies (2000 / NT)

[Kaastosti]

Maar hoe gaat het in z'n werk dan? Ik bedoel... mooi dat er een patch voor is, maar ik wil toch wel graag weten waar de fout nu in zat en wat er precies ge-exploit wordt. Anders blijft je afhankelijk van al die patches.. ik wil toch zelf ook wel een idee hebben van waar de risico's liggen

[Stinger666]

Misschien een Sub7 Trojan ofzo? Gewoon goeie firewall en virusscanner en je Windows dichtspijkeren en Remote Desktop uitzetten.

[Verwijderd]

Jah hoe leren ze hacken dan? Vraag ik me toch af. Neem aan dat het iets te maken heeft met programmeren ofzo iets .. zou leuk zijn als iemand me dit zou willen uitleggen

Mod-break

---

zulke vragen hoe zelf "te hacken" zijn echt NIET de bedoeling

---

[ Voor 53% gewijzigd door momania op 07-08-2003 19:43 ]

[Verwijderd]

Tux schreef op 07 August 2003 @ 18:03:
Zou het iets te maken hebben met de bug waarvoor de patch WindowsXP-KB-823980-x86-ENU is uitgekomen. Ik zag namelijk vorige week op campzone op het intranet het bericht dat iedereen deze patch zo snel mogelijk moest installeren. Het zat geloof ik ook in oudere versies (2000 / NT)

Ik ben deze niet tegen gekomen op de Windows Update site, kan dat kloppen?

[F_J_K]

Verwijderd schreef op 07 August 2003 @ 19:23:
Ik ben deze niet tegen gekomen op de Windows Update site, kan dat kloppen?

http://support.microsoft.com/?kbid=823980. Of deze er stond kan ik zo uit m'n hoofd niet zeggen maar Windowsupdate geeft niet alles. http://www.microsoft.com/...ty_bulletins/decision.asp + http://www.cert.org/contact_cert/certmaillist.html is wat dat betreft ook handig

[Verwijderd]

F_J_K schreef op 07 August 2003 @ 19:44:
[...]

http://support.microsoft.com/?kbid=823980. Of deze er stond kan ik zo uit m'n hoofd niet zeggen maar Windowsupdate geeft niet alles. http://www.microsoft.com/...ty_bulletins/decision.asp + http://www.cert.org/contact_cert/certmaillist.html is wat dat betreft ook handig

Ik heb 'm al, maar als het zo'n belanrijke update is, snap ik nie tdat ie niet in Windowsupdate komt,

[Maestro.mosjuh]

Verwijderd schreef op 07 August 2003 @ 19:23:
[...]


Ik ben deze niet tegen gekomen op de Windows Update site, kan dat kloppen?

ik heb hem op 27-7 al van de update site gehaald....

Om te controleren of de beveiligingspatch op de computer is geïnstalleerd moet u controleren of de volgende sleutel in het register staat:

Windows XP:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP1\KB823980

Windows XP met Service Pack 1 (SP1):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP2\KB823980

[Verwijderd]

hm, moet een bril halen denk ik:
Installatie geschiedenis:

code:

Geslaagd vrijdag 25 juli 2003 823980: Beveiligingsupdate voor Windows XP Website

[Kaastosti]

Mjah maar nou weet ik nog steeds niet waar die update specifiek voor dient. Ik wil graag weten wat er gedicht moet worden om dit soort dingen tegen te gaan. Hoe te hacken wil ik niet eens weten, maar ik vind 't wel interessant om te weten waar de zwakke plekken in m'n systeem zitten...

[blackd]

Kaastosti schreef op 07 August 2003 @ 20:14:
Mjah maar nou weet ik nog steeds niet waar die update specifiek voor dient. Ik wil graag weten wat er gedicht moet worden om dit soort dingen tegen te gaan.

* CERT/CC Vulnerability Note VU#326746 -
http://www.kb.cert.org/vuls/id/326746
* Microsoft Security Bulletin MS03-026 -
http://microsoft.com/technet/security/bulletin/MS03-026.asp
* Microsoft Knowledge Base article 823980 -
http://support.microsoft.com?kbid=823980

[ Voor 11% gewijzigd door blackd op 07-08-2003 20:19 ]

[Verwijderd]

FF de info lezen die hier boven is gegeven:

http://support.microsoft.com/?kbid=823980

code:

MS03-026: Door een bufferoverloop in de RPC-interface kan er code worden 
uitgevoerd


Symptomen

....
...

[Kaastosti]

Okies bedankt dan weet ik waar ik op moet letten!

[Verwijderd]

Zoek es naar Dameware NT Utilities, hiermee kan je remote een systeem overnemen zonder dat de persoon die erachter zit iets merkt.
Het progje kan je zelfs installeren op afstand als je het admin password weet.

[Verwijderd]

Verwijderd schreef op 07 August 2003 @ 19:18:
Jah hoe leren ze hacken dan? Vraag ik me toch af. Neem aan dat het iets te maken heeft met programmeren ofzo iets .. zou leuk zijn als iemand me dit zou willen uitleggen

<blockquote>
<font color=red size=-2>Mod-break</font><hr color=blue><font size=-2>zulke vragen hoe zelf "te hacken" zijn echt NIET de bedoeling</font>
<hr color=blue>
</blockquote>

Hacken leren ze door af te kijken van de echte hackers die alleen maar een fout in de software aanhankelijk maken en publiceren. Ze weten in feite niets en varen mee op de kennis van anderen.

[RedVox]

Als je nog "extra" info wilt... of gewoon leuk leesvoer over internet security moet je eens kijken op www.grc.com . Staan handige tools op.. en veel info.

[Icey]

Meestal weten die gastjes helemaal niks van echt hacken, dat zeggen ze enkel maar op hun cu2/ chatbox en tegen vriendjes... zo kunnen ze ook hotmail hacken enzo... yeah right, hotmail hacken

Vaak maken ze gebruik van de stomheid van gebruikers, niet update van dingen die bekend zijn, of van gebruikers die zomaar dingen openen (virussen, trojans en sub7).

En die dingen zijn wijd verspreid via bijv. kazaa. Opletten dus.

[Verwijderd]

Of een simpel wachtwoord, of wat je vaak met XP ziet een leeg wachtwoord voor de Administrator account.

Daar draaien ze Xscan overheen en tadaa mooi resultje met jouw IP