RPC crash/shutdown 'vraag bak'

[Anoniem: 1125]

Anoniem: 44568 schreef op 12 August 2003 @ 00:40:
[...]
Een goede installatie mét patches...

offtopic:
Paz: Je kan een router ook op andere manieren onderuit trekken of configs wijzigen...

offtopic:
*grin* vergeet je router dan ook niet te patchen

verder ontopic: de worm is op dit moment serieus hard aan het toe slaan in de VS; verschillende backbone providers melden dat richting de 10% van de traffic bestaat uit port 135 calls...

[ Voor 24% gewijzigd door Anoniem: 1125 op 12-08-2003 00:46 ]

[Vorkie]

goh, nergens last van gehad, weet nu zelfs hoe het werkt heb er xpres ffies een onbeveiligde bak op internet gegooit voor jaa 2 minuten. en hij was al infected.

Maar ik vind het maar vage shit dat ding...

maar sinds ik die patch hebt nu, hoor zie en ruik ik er niets meer van


Bij mij is het allemaal bijna van Planet, die aanvallen dan

[Anoniem: 76473]

2 maten van me die er ook last van hadden.. ik had die van mij wel vrij snel gepatcht.. ik had dit zien aankomen.

[DJkim]

Ik heb msblast.exe even gedelete en minder attacks.

P.S

Sorry moderator... ik had RCP geprobeerdt te zoeken ipv RPC

[Rey Nemaattori]

Nu hebbik er sinds pak um beet een dag of drie er ook veel last van, vanavond was het zelfs zover gekomen dat ik nauwelijks 10 minuten online kon zijn voor dat mijn systeem het nodig vond het opnieuw te starten. ik de i-net kabel eruit getrokken en met mscofig gaan lopen rommelen. blijk nu dat deze rpc een essentiel deel is van windows en de service niet gediabled kan worden. Logisch lijkt me dan dat als ie weg valt je systeem dus moet rebooten.

Gelukkig hebbik win xp prof en hebbik met computerbeheer gezocht naar de properties van deze service. Snel gevonden en wat blijkt: d'r zijn een heleboel zaken die je instellen kunt. Zoals het uberhaubt opstarten van deze service. Hem niet opstarten leek mij een slecht idee

Maar er waren ook extra opties die je instellen kunt zoals wat de doen als de service faalt. d'r zijn 3 opties: 1e fout, 2e fout en volgende fouten. Standaard staan ze alledrie op rebooten.

Nu heb ik de eerste op service herstarten gezet met een timer van 0 minuten, de tweede op het uitvoeren van een programma(die overigens de service herstart met een batchbestand) en als laatste optie het rebooten van de pc, als een soort extra safety ingesteld mocht het herstarten geen nut hebben, dan reboot ie nog gewoon en zit ik niet met een half hangend win-xp systeem.

So far so good, ik heb nu wel de patch gedlled maar ik heb tijdens het dllen tog een paar keer de batch file zien starten :-S

[job]

op mijn e-tech firewall kan ik geen specifieke poorten blokken
ik heb daarom poort 135 t/m 139 doorgemapt naar een niet bestaand lan ip.
is dat nuttig, of overbodig?

[ Voor 126% gewijzigd door job op 12-08-2003 01:43 ]

[blackd]

damster schreef op 12 augustus 2003 @ 01:36:
ik heb daarom poort 135 t/m 139 doorgemapt naar een niet bestaand lan ip.
is dat nuttig, of overbodig?

Dat is overbodig want standaard doet je router niets met de packets die binnenkomen op niet-gemapte poorten. Tenzij je DMZ instelt.

[RedVox]

henkyyyyyyy schreef op 11 August 2003 @ 21:30:
Even een vraagje jongen , hoe komt dat nou ineens dat zoveel mensen tegelijkertijd er last van hebben?

Sinds vanavond is er (officieel dan) een worm virus dat gebruik maakt van deze exploit Alles virusscan fabrikanten hebben het er inmiddels wel opstaan.

De opzet is om op 16/08 de MS update site te gaan dDOS'sen.

[Rey Nemaattori]

Anoniem: 90185 schreef op 12 August 2003 @ 00:40:
[...]


Ik heb zelf BLack ice draaien maarja dies natuurlijk niet gratis maar die back trace die er bij zit is wel heel erg mooi

en hij werkt echt mega goed imho

Ik heb aleen een hele oude versie, maar dies werkte niet(goed) onder win xp, welke versie heb jij???

[Tiiim]

Ik heb er vanavond onwijs veel last van gehad. Na geen minuut werken kreeg ik alweer een melding.

Het was inderdaad MSBLAST.EXE zoals te lezen op http://securityresponse.s...ata/w32.blaster.worm.html

Alles gedelete uit registry, windows\system32, en geheugen....maar toch steeds downloadt mn XP die EXE file..en voert hem uit.

nu mijn oplossing:

een dummy MSBLAST.EXE van 0 bytes aanmaken met attributen archive system EN readonly in windows\system32.

Heb iig geen last meer nu

[job]

ohja, nog een vraagjes volgens de makers van Scanms - MS03-026 RPC Vulnerability Scanner

moet ik zo'n soort output krijgen:

code:

C:\>scanms.exe 192.168.0.1-192.168.0.254
192.168.0.2     [Windows XP] [ptch] [ptch] 5.6
192.168.0.5     [unknown010] [????] [VULN] 0.0

mijn output is echter zo:

code:

IP Address              REMACT  SYSACT  DCOM Version
-----------------------------------------------------
192.168.1.202           [....]  [ptch]  0.0

maakt het nog uit dat er bij het rijtje Remact en Dcom niets staat?

al gevonden, hebben meer mensen last van.
zal wel niets uitmaken.

[ Voor 8% gewijzigd door job op 12-08-2003 02:05 ]

[Atomsk]

Leuk, denk ik wel een paar dagen met een ongepatcht winxp reservesysteempje te kunnen overbruggen totdat m'n asus mobo terug is.. niet dus.
Ik had trouwens SP1 er op gegooid voor de patch, maar dit hielp niks. Zit deze patch ook al ergens in de windows update? Er staan nogal wat anti "kwaadwillige gebruikers" patches tussen, maar ik kon niets over RPC vinden.

't is iig vrij lullig dat je vanwege de attacks nauwelijks in staat bent je nieuwe install van updates te voorzien. Bij mij hielp het trouwens wel de utp stekker pas na het booten in de netwerkkaart te pluggen. Toch maar eens gaan kijken naar de firewallmogelijkheden van m'n adsl modem..

[rikgoodhart]

ok wat ik heb gedaan is het volgende:

1. dit topic tot nu toe helemaal doorgelezen .
2. in msconfig de msblast.exe niet laten opstarten
3. patch van MS geinstalleerd
4. firewall ( blackice ) ge-updated
5. virusscanner ge-updated ( norton 2003 ).
6. alle schijven gescant maar niets geen infectie gevonden
7. msconfig de msblast.exe laten opstarten
8. de msblast.exe key verwijderd met regedit
9. msblast.exe afgesloten
10. bestand msblast.exe uit /system32 verwijderd
11. alle essentiele updates ge-installeerd van XP Update

klaaar...nergens meer last van.... maar ik las dat msblast.exe een essentieel bestand is??? wat is dat voor onzin? of niet?

[Tiiim]

nee geen essentieel bestand.

wordt steeds opnieuw gedownload als je het bestand delete uit system32.

(nogmaals) ik heb nu een dummy MSBLAST.EXE in die map gezet van 0 bytes met readonly en system attribuut.

werkt perfect! (tot nu toe..dat is 15 minuten...in tegenstelling tot net om de minuut die rebootmelding..)

[Fludizz]

ik heb even zitten kijken, maar zover lijkt het alsof alleen WindowsXP er last van heeft...
Klopt dit ook? of hebben de 2000 mensen hun systeem wel goed lopen updaten? _nofi

[rikgoodhart]

Tiiim schreef op 12 August 2003 @ 01:48:
nee geen essentieel bestand.

wordt steeds opnieuw gedownload als je het bestand delete uit system32.

(nogmaals) ik heb nu een dummy MSBLAST.EXE in die map gezet van 0 bytes met readonly en system attribuut.

werkt perfect! (tot nu toe..dat is 15 minuten...in tegenstelling tot net om de minuut die rebootmelding..)

hmm.. ik heb de computer al ge-restart, en uit gedaan en weer aan gedaan...mareh..hij maakt em niet opnieuw aan hoor. ik heb al gezocht en gezocht maar niets geen trace meer van te vinden

[Tiiim]

rikgoodhart schreef op 12 August 2003 @ 01:50:
[...]

hmm.. ik heb de computer al ge-restart, en uit gedaan en weer aan gedaan...mareh..hij maakt em niet opnieuw aan hoor. ik heb al gezocht en gezocht maar niets geen trace meer van te vinden

Dan heb jij een minder hardnekkige dan die ik had!

[rikgoodhart]

hmm....ik hoop het eigenlijk wel ja haha... of ik heb het goed fout gedaan, en dat me systeem een rotzooitje wordt binnen een mum van tijd!!!

edit: trouwens..mischien belangrijk of handig te weten. toen ik msblast.exe had, duurde het opstarten van de systemtray iets langer dan normaal. toen het vervolgens verwijderd was, en niet meer opnieuw automatisch downloade, deed deze het weer normaal ( systemtray ging weer snel laden dus ).

als je zoekt op msblast dan zie je naast msblas.exe nog een ander bestand verschijnen. deze zit niet in je system32, maar bevat de zelfde naam in het bestand. iets in de trant van: asMSBLAST.EXEaskjd.rf die heb ik ook maar weg gemieterd.. kan zijn dat deze je msblast.exe telkens opnieuw download?

[ Voor 69% gewijzigd door rikgoodhart op 12-08-2003 01:58 ]

[Garrett]

Ik ben eindelijk ook van die melding af, en ook nog van een trojan, Backdoor.OptixPro.12
Leuk dat Norton het bestand gelijk apart houdt, doen gelijk je exe files niks meer

Gelukkig kan je regedit.exe hernoemen naar regedit.com en dan zorgen dat ie de exe files niet meer door die trojan heen wil trekken

Voor diegenen die willen weten waar het zit in je registry:
My Computer\HKEY_CLASSES_ROOT\exefile\shell\open\command
Bij mij stond die value op : winampw "%1" %* en nu gewoon op "%1" %*
die winampw.exe was dus de trojan
(had overigens geen ruk met de echte winamp te maken)

[Milenco]

Misschien dat de vraag al is geweest, maar ik heb dit topic snel ff doorgebladert (en gezocht op "2000" ). Maar is deze lek ook op toepassing voor Windows 2000?

Ik zelf heb namelijk met W2k SP4 nog nergens last van, maar dat komt denk ik omdat ik achter een router zit

[Anoniem: 44568]

Milenco: Ja, Alle NT Based OS vanaf 4.0 en hoger: Anoniem: 44568 in "RPC crash/shutdown 'vraag bak'"

Overigens is het aan te raden te patchen, want het is wachten op de volgende die de huidige worm gaat aanpassen dat hij wél door je router/firewall heen gaat (sourcecode is nl. gewoon te vinden van deze worm).

[ Voor 44% gewijzigd door Anoniem: 44568 op 12-08-2003 02:11 ]

[Emmeau]

Lees net dat msblaster.exe op 16 augustus een DOS attack op windowsupdate.microsoft.com gaat doen door een keer in

code:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run\windows auto update

te plaatsen

[Milenco]

Anoniem: 44568 schreef op 12 August 2003 @ 02:05:
Milenco: Ja, Alle NT Based OS vanaf 4.0 en hoger: Anoniem: 44568 in "RPC crash/shutdown 'vraag bak'"

Thanks, ga ik die patch ook maar eens draaien dan

[Fludizz]

Milenco schreef op 12 August 2003 @ 02:03:
Misschien dat de vraag al is geweest, maar ik heb dit topic snel ff doorgebladert (en gezocht op "2000" ). Maar is deze lek ook op toepassing voor Windows 2000?

Ik zelf heb namelijk met W2k SP4 nog nergens last van, maar dat komt denk ik omdat ik achter een router zit

zie hier: Fludizz in "RPC crash/shutdown 'vraag bak'"
ik had er geen last van, was niet gepatched, maar just to be sure maar wel gepatched...

win2kSP4 hier ook

maar ik lees met me slaperige rotkop over deze reply heen: Anoniem: 44568 in "RPC crash/shutdown 'vraag bak'"

Heb btw logging nu ruim 2 uur aanstaan, en nog niks binnengekregen... Ik zit in de 213.46.*.* range van chello, maar zo te merken is die nog niet aangevallen...

[ Voor 29% gewijzigd door Fludizz op 12-08-2003 02:13 ]

[job]

Emmeau schreef op 12 August 2003 @ 02:07:
Lees net dat msblaster.exe op 16 augustus een DOS attack op windowsupdate.microsoft.com gaat doen door een keer in

code:

HKLM\Software\Microsoft\Windows\CurrentVersion
\Run\windows auto update

te plaatsen

misschien een domme vraag.
maar heeft dat dan niet tot gevolg dat de patch dan geinstalleerd wordt?

[ Voor 5% gewijzigd door job op 12-08-2003 02:15 ]

[Milenco]

Fludizz schreef op 12 August 2003 @ 02:12:
[...]

zie hier: Fludizz in "RPC crash/shutdown 'vraag bak'"
ik had er geen last van, was niet gepatched, maar just to be sure maar wel gepatched...

win2kSP4 hier ook

maar ik lees met me slaperige rotkop over deze reply heen: Anoniem: 44568 in "RPC crash/shutdown 'vraag bak'"

Heb btw logging nu ruim 2 uur aanstaan, en nog niks binnengekregen... Ik zit in de 213.46.*.* range van chello, maar zo te merken is die nog niet aangevallen...

idd

euss is liev

Het is sowieso handig als je achter een router zit, vooral met dit soort dingen

[Emmeau]

damster schreef op 12 August 2003 @ 02:14:
[...]

misschien een domme vraag.
maar heeft dat dan niet tot gevolg dat de patch dan geinstalleerd wordt?

zeker geen domme vraag. Maar als miljoenen mensen die dag tegelijk bij windowsupdate.microsoft.com komen, dan gaat de site geheid plat.
DOS = Denial of Service attack.

[Fludizz]

Milenco schreef op 12 August 2003 @ 02:16:
[...]


idd

euss is liev

Het is sowieso handig als je achter een router zit, vooral met dit soort dingen

niet als je router ook Windows moet draaien ivm onbekend zijn met File en Printer sharing via Samba

[Anoniem: 4629]

Grappig. Ik heb dit welgeteld 1 of 2 keer gehad, en dat was al ergens halverwege vorig jaar.

Dus óf ze waren toen die bug aan het uitproberen óf je kunt dus wel degelijk om een andere reden die melding krijgen.

Ik heb het trouwens opgelost door die service op herstarten te zetten ipv reboot. Als er iets mocht gebeuren dan hoef ik helemaal niet opnieuw de PC te starten maar start te service zichzelf gewoon weer na een paar tellen.

[Anoniem: 44568]

misschien een domme vraag.
maar heeft dat dan niet tot gevolg dat de patch dan geinstalleerd wordt?

Nee, de patch wordt dan niet gedownload.

DDOS is niet downloaden.

Door foutieve pakketjes te sturen (DOS) vanaf meerdere PC's (Distributed-DOS) wordt getracht de WindowsUpdate offline te gooien (waardoor juist NIET de patch gedownload kan worden).

[ Voor 11% gewijzigd door Anoniem: 44568 op 12-08-2003 02:31 ]

[MikeN]

Nog wat leuks van Bugtraq over de worm:

A Bugtraq user has already pointed out that a worm has been
discovered in the wild that exploits the Microsoft Windows DCOM RPC
Interface Buffer Overrun Vulnerability (Bugtraq ID 8205) to infect
host systems. Symantec has been tracking its activity and is
currently conducting analysis/full disassembly of the malicious code,
which has been named "Blaster". The results of our analysis are
being made available to the public at the following location:

https://tms.symantec.com/...030811-Alert-DCOMworm.pdf

It is expected that this report will be updated frequently as more
information is discovered. Readers are advised to download/refresh
it throughout the day to ensure that any new information is not missed.

David Mirza Ahmad
Symantec

De PDF is wel leuk om te lezen. Weinig nieuws echter.

[pres_lincoln]

En daar komt www.waarschuwingsdienst.nl aan met de melding

http://www.waarschuwingsd...ender.html?it=425&cid=264

't Was nogal veel tekst om de hele email hier op GoT te plaatsen

[pasz]

Lekker op tijd idd.
Ik ben mn eigen waarschuwingsdienstje maar gestart in mn eigen omgeving. Hopen dat iedereen netjes zn patch installeert, anders kan ik morgen weer langs al mn kennissen rijden.

[jan-marten]

Toch even mijn bevindingen hier neerzetten.

Tot vanavond (11 op 12 augustus) nooit nergens last van.

Prompt na 1 minuut internetten dat ie gaat rebooten, dus ik maar rebooten.
Nog een keer proberen en ja hoor, weer rebooten. Dit snel omzeilen met shutdown -a waarna windows niet meer kon knippen/plakken

Dus hier snel gekeken en ja hoor, ik was gelukkig niet de enige.

Patch gedownload met Mozilla.
Patch Geinstalleerd.
Een oude versie van Zone Alarm geinstalleerd (ja, 56k en lui)
Reboot

* PLOINK * blauw scherm (3 x)

Safe modus, zone alarm eraf
Reboot, dan maar de firewall van windows.

En nu werkt het (met patch) weer goed. Ben nu bezig een stel firewalls te downloaden (sygate en outpost).

offtopic:
Tiny Personal Firewall is niet meer freeware...

[FlashBlue]

hmmzz; heb er geen last van (hardware router/firewall); maar de log staat wel vol met

Unrecognized access from 61.176.xx.xx:1025 to UDP port 137

wa is nu het beste; gewoon laten doen en mense depannere in de omgeving die het wel hebben; of per dag mailtje naar isp doen met ip lijsten om te klagen over "hackers" (in wezen oliedomme oersaaie forumlezende scriptkiddies die ik graag tussen 2 bussen zou uit elkaar trekken; maar kom )

ik denk dat isp's toch niks doen met die lijsten ; ook al gaat iedereen ze doorgeven.
vermits elke besmette bak andere bakken gaat scannen; ben je waarschijnlijk onwetende mensen aan het beschuldigen.

[Sir_Killalot]

Ik zat net ff via google naar "RPC exploit" te zoeken en kwam deze .RAR file tegen:


^clickable^

Is dit het programmatje om de exploit/worm te verspreiden

[Sluuut]

Sir_Killalot schreef op 12 August 2003 @ 06:03:
Ik zat net ff via google naar "RPC exploit" te zoeken en kwam deze .RAR file tegen:

[afbeelding]
^clickable^

Is dit het programmatje om de exploit/worm te verspreiden

Dat was ooit linux source die voor windows is geport en dat gebruiken de 'hackers' om binnen te komen ja.

Ik heb al heel veel mensen gister aan de telefoon gehad die kwamen met de melding uit dit topic, oftewel de worm is zich heerlijk aan het verspreiden.

Ik vind het ook alleen maar leuk, heb zelf een hardware + software matige firewall, en zo ziet de wereld maar weer eens hoe vulnerable microsoft windows kan zijn

[@r!k]

gister thuis nergens last van gehad, ik kom op mijn werk en al mij collega's klagen erover
. Tja. ik heb nou eenmaal wel een goede firewall blijkbaar.

[Anoniem: 23534]

Sluuut schreef op 12 August 2003 @ 07:09:
[...]
Ik vind het ook alleen maar leuk, heb zelf een hardware + software matige firewall, en zo ziet de wereld maar weer eens hoe vulnerable microsoft windows kan zijn

Wat een trieste opmerking , je hoeft enerzijds alleen maar de ICF (eigen firewall) van XP Pro aan te zetten, anderzijds is de kracht van Windows de toegankelijkheid, zonder een grote userbase voor Windows krijg je ook nooit een userbase voor Linux.

Op zich is mijns inziens het probleem dat er zoveel kleuters zijn die niets leukers weten te verzinnen dan het plegen van computer-vandalisme. Mijns inziens moet daar de aandacht op worden gericht.

Op zich heeft MS ook genoeg publiciteit verzorgt voor de patch en was de patch ook al een tijdje beschikbaar. Misschien dat ze nu ook moeten overwegen om een soort profiel te maken, waarin standaard ICF wordt aangezet voor iedere Internet vrbinding. De vraag blijft natuurlijk wel, hoeveel hoort een gebruiker wel of niet te weten van een PC?

Ik vind het triest als door dit soort acties mensen niet meer van Internet gebruik kunnen maken of, zo kun je het ook zien, mensen denken anderen dat te mogen ontzeggen.

[Anoniem: 86479]

ik heb een vaag probleem. Ik heb die patch op me servertje geinstald maar daarna deelt hij internet niet meer. Als ik die patch eraf pleur doet hij het wel

[Sluuut]

Anoniem: 23534 schreef op 12 augustus 2003 @ 09:42:
[...]

Wat een trieste opmerking , je hoeft enerzijds alleen maar de ICF (eigen firewall) van XP Pro aan te zetten, anderzijds is de kracht van Windows de toegankelijkheid, zonder een grote userbase voor Windows krijg je ook nooit een userbase voor Linux.

Op zich is mijns inziens het probleem dat er zoveel kleuters zijn die niets leukers weten te verzinnen dan het plegen van computer-vandalisme. Mijns inziens moet daar de aandacht op worden gericht.

Op zich heeft MS ook genoeg publiciteit verzorgt voor de patch en was de patch ook al een tijdje beschikbaar. Misschien dat ze nu ook moeten overwegen om een soort profiel te maken, waarin standaard ICF wordt aangezet voor iedere Internet vrbinding. De vraag blijft natuurlijk wel, hoeveel hoort een gebruiker wel of niet te weten van een PC?

Ik vind het triest als door dit soort acties mensen niet meer van Internet gebruik kunnen maken of, zo kun je het ook zien, mensen denken anderen dat te mogen ontzeggen.

Daar verschillen onze meningen dan in

Ik zie het nut er zeker wel van in dat het bekend word dankzij dit nieuwe virus, want een maand geleden werd dit al door bepaalde personen gebruikt om te hacken, en nu word de patch tenminste volop gedownload.

Was het virus er niet geweest dan waren er zat mensen geweest die geen windows update zouden hebben gedraait, en nu zien ze waarschijnlijk de ernst ervan in.

[paella]

Zie ook http://www.sophos.com/virusinfo/analyses/w32blastera.html

[GrumpyGamerDad]

blackd schreef op 11 August 2003 @ 21:40:
[...]

goed firewallen helpt ook.

Ik heb zonealarm Pro maar krijg toch steeds de melding en ja ik heb de poorten gedisabled

Emmeau schreef op 12 August 2003 @ 00:02:
@home blokkeert port 135 niet. Rakapul heeft waarschijnlijk gelijk. Andere ISP's hebben de ellende mischien voorzien, en hun maatregelen getroffen?

Nee, Wanadoo heeft er waarschijnlijk ook nog niets aan gedaan.

Zonealarm vraagt of tftp op het internet mag, nu heb ik daar ja op gezegt maar nu lees ik dat dat een van de UDP poorten is die de Worm gebruikt Dus moet ik die weer afsluiten.
Dat zal dan vanmiddag worden als ik thuis kom.

[Cpt.Morgan]

Anoniem: 4629 schreef op 12 August 2003 @ 02:21:
Grappig. Ik heb dit welgeteld 1 of 2 keer gehad, en dat was al ergens halverwege vorig jaar.

Dus óf ze waren toen die bug aan het uitproberen óf je kunt dus wel degelijk om een andere reden die melding krijgen.

Ik heb het trouwens opgelost door die service op herstarten te zetten ipv reboot. Als er iets mocht gebeuren dan hoef ik helemaal niet opnieuw de PC te starten maar start te service zichzelf gewoon weer na een paar tellen.

Ik heb je topic daarover gelezen toen ik zelf voor de eerste keer hier last van had (eind juli), maar jouw oplossing resulteerde in dit geval in een enorm langzaam systeem, dat vooral heel erg traag afsluit. Bovendien is je systeem daardoor natuurlijk nog niet beveiligd tegen de exploit (eind juli was er alleen een handmatige exploit, nog geen worm)... Ik denk dus inderdaad dat de foutmelding bij jou een andere oorzaak had...

[Vorkie]

Rey Nemaattori schreef op 12 August 2003 @ 01:41:
[...]


Ik heb aleen een hele oude versie, maar dies werkte niet(goed) onder win xp, welke versie heb jij???

Version 3.6.cbd

Die werkt voortreffelijk in windows Xp

www.iss.net

[Sluuut]

Als je al je SVCHOST.EXE processes afsluit krijg je deze melding ook...

Overigens hebben Demon.nl ADSL (via bbnet) en XS4ALL Adsl (via kpn) poorten 135 standaard geblocked voor de buitenwereld, dus als het goed is zijn deze mensen standaard niet vulnerable ook zonder patch

[Pepper]

woei!!! leuk hoor ...

Hierzo win2k (zo lek als een zeef ) (ISDN verbinding)
ook last van..

Ik heb geen reboots gehad alleen wel dat die RPC in gebruik is ofzo bij het installeren van een softwareprogramma.

Alleen het leuke is:
Als ik ben ingebeld op internet en ik wil mijn inbelverbinding verbreken.. gaat dan niet hij blijft gewoon aanstaan en geeft geen fout melding.
Moet dus echt de stekker er uit steken ... iemand hier ook last van?


Ik nu maar ff patch/update/viruscleanen etc

[Gophlin]

Sluuut schreef op 12 August 2003 @ 10:32:
Als je al je SVCHOST.EXE processes afsluit krijg je deze melding ook...

Overigens hebben Demon.nl ADSL (via bbnet) en XS4ALL Adsl (via kpn) poorten 135 standaard geblocked voor de buitenwereld, dus als het goed is zijn deze mensen standaard niet vulnerable ook zonder patch

Ik heb XS4ALL ADSL via KPN, maar mijn firewall log van vannacht is 1 grote aanval

[Dinictus208]

Hier ook een victim. Gelukkig dat er al zoveel over bekend is, kan ik vanvond aan de slag.
Wat mij inderdaad ook opgevallen is is dat als ik online ga en ga netten, dat ik dan mijn verbinding niet meer kan verbreken!

Goed, ik ga ff patchen, checken of ik die msblast heb etc. Firewall aangooien.

[pisart]

P3PP3R schreef op 12 August 2003 @ 10:34:
woei!!! leuk hoor ...

Hierzo win2k (zo lek als een zeef ) (ISDN verbinding)
ook last van..

Ik heb geen reboots gehad alleen wel dat die RPC in gebruik is ofzo bij het installeren van een softwareprogramma.

Alleen het leuke is:
Als ik ben ingebeld op internet en ik wil mijn inbelverbinding verbreken.. gaat dan niet hij blijft gewoon aanstaan en geeft geen fout melding.
Moet dus echt de stekker er uit steken ... iemand hier ook last van?


Ik nu maar ff patch/update/viruscleanen etc

Yep, had er ook last van. Ik wou mijn internetverbinding uitschakelen maar ging niet. Dus kabel er maar uitgetrokken.

Als het een worm is, waarom vind NAV 2002 het niet met laatste updates?

Hebben er nog andere mensen zo 2 of 1 map dat lijkt op windows update (hier heette die sp1 en sp2)?
Want mensen dat ik ken hadden geen mappen ofwel 1 map

[ Voor 9% gewijzigd door pisart op 12-08-2003 10:54 ]

[Sluuut]

watnou.com schreef op 12 August 2003 @ 10:40:
[...]

Ik heb XS4ALL ADSL via KPN, maar mijn firewall log van vannacht is 1 grote aanval

Ik heb ze bijde afgescanned maar er stond geen enkele pc open op poort 135,
wellicht zijn ze stealth?
dit scannen moest overigens van een bedrijfsinstelling van het ministerie en is 100% legaal (uit voorzorg voor reacties...).

[Devster]

Ik krijg hier op bergen machines dit:



De removal tool vindt niks....

[pasz]

devster > staat er msblast in je processes ? die vern**kt namelijk nogal wat proggies

[samo]

P3PP3R schreef op 12 August 2003 @ 10:34:
...
Alleen het leuke is:
Als ik ben ingebeld op internet en ik wil mijn inbelverbinding verbreken.. gaat dan niet hij blijft gewoon aanstaan en geeft geen fout melding.
Moet dus echt de stekker er uit steken ... iemand hier ook last van?


Ik nu maar ff patch/update/viruscleanen etc

heb idd het zelfde... Tis erg vreemd...
Draai NAV+nieuste updates (gisteren de laatste update) + zonealarm pro, en toch die aanval...

edit:
op norton.com

THREAT: W32.Blaster.Worm

CATEGORY: 3

W32.Blaster.Worm is a worm that will exploit the DCOM RPC vulnerability using TCP port 135. It will attempt to download and run a file, msblast.exe.

STEP 1: Read Critical Information
http://securityresponse.s...ata/w32.blaster.worm.html

STEP 2: Update your Virus Definitions

[ Voor 33% gewijzigd door samo op 12-08-2003 11:09 ]

[Devster]

PaszWerken schreef op 12 augustus 2003 @ 11:05:
devster > staat er msblast in je processes ? die vern**kt namelijk nogal wat proggies

geen msblast... removal tool vindt nix...

[Mystery]

Devster: dat heeft weinig met RPC te maken denk ik.
Bij die machine kan je beter het geheugen even testen of fysiek in een ander slot plaatsen.

[Devster]

Mystery: Ik heb heb op bijna alle machines hier. Windows update wordt geblock, ctrl-v werkt niet meer, SAP Gui is fucked up....

dus dat ligt echt niet aan een geheugenbankje of zo

[Anoniem: 87070]

weet iemand eigenlijk of en hoe je een windows nt 4 workstation kunt beschermen tegen deze worm want ms ondersteunt win nt geloof ik nou een paar maanden niet meer maarja het staat nog wel op een stel pc's hier

[Anoniem: 55140]

Anoniem: 87070 schreef op 12 August 2003 @ 11:13:
weet iemand eigenlijk of en hoe je een windows nt 4 workstation kunt beschermen tegen deze worm want ms ondersteunt win nt geloof ik nou een paar maanden niet meer maarja het staat nog wel op een stel pc's hier

Alleen windows xp en 2000 zijn target van dit beestje.

[paella]

En waarom dan:

Affected Software:

Microsoft Windows NT® 4.0
Microsoft Windows NT 4.0 Terminal Services Edition
Microsoft Windows 2000
Microsoft Windows XP
Microsoft Windows Server™ 2003

(van http://www.microsoft.com/...ity/bulletin/MS03-026.asp)

[ Voor 22% gewijzigd door paella op 12-08-2003 11:16 ]

[Sir_Killalot]

Anoniem: 55140 schreef op 12 August 2003 @ 11:14:
[...]


Alleen windows xp en 2000 zijn target van dit beestje.

http://www.microsoft.com/...ity/bulletin/MS03-026.asp

Goh, zie ik daar nou 2x NT4 tussenstaan?

[Anoniem: 87070]

Anoniem: 55140 schreef op 12 augustus 2003 @ 11:14:
[...]


Alleen windows xp en 2000 zijn target van dit beestje.

hmmmmz..... als dat zo is dan is het ook goed maar op die windows update site stonden wel patches voor nt4.0 server en terminal server dus ik d8 dat nt 4 nog wel kwetsbaar was maar dat windows er alleen geen patch meer voor maakt

[Anoniem: 55140]

paella schreef op 12 August 2003 @ 11:16:
En waarom dan:

Affected Software:

Microsoft Windows NT® 4.0
Microsoft Windows NT 4.0 Terminal Services Edition
Microsoft Windows 2000
Microsoft Windows XP
Microsoft Windows Server™ 2003

(van http://www.microsoft.com/...ity/bulletin/MS03-026.asp)

De rpc/dcom exploit ja, maar deze worm alleen 2k en xp. Er worden alleen offsets voor 2k en xp gebruikt. En als de verkeerde offset gebruikt wordt, crasht de rpc service...

van symantec:

Systems Affected: Windows 2000, Windows XP

[Pepper]

http://www.microsoft.com/...ity/bulletin/MS03-026.asp

Goh, zie ik daar nou 2x NT4 tussenstaan?

heej verrekt IK ook!

[ Voor 73% gewijzigd door Pepper op 12-08-2003 11:19 ]

[Anoniem: 87070]

Anoniem: 55140 schreef op 12 August 2003 @ 11:18:
[...]


De rpc/dcom exploit ja, maar deze worm alleen 2k en xp. Er worden alleen offsets voor 2k en xp gebruikt. En als de verkeerde offset gebruikt wordt, crasht de rpc service...

van symantec:

[...]

hmmmmz... dus dan zou ik op de router al die poorten dicht moeten keilen om dat te blocken

[Wokschotel]

Bij standaard routertjes als Sitecom staan deze poorten toch default dicht meen ik?

[paella]

Standaard thuisroutertjes gebruiken NAT en hebben geen port-forward voor die poorten.

[Anoniem: 55140]

Anoniem: 87070 schreef op 12 augustus 2003 @ 11:20:
[...]


hmmmmz... dus dan zou ik op de router al die poorten dicht moeten keilen om dat te blocken

Als de poorten niet gemapped zijn, gebeurt er niets.

Dit had je trouwens pas een keer of tig kunnen lezen in dit draadje..

[Anoniem: 87070]

Anoniem: 55140 schreef op 12 August 2003 @ 11:22:
[...]


Als de poorten niet gemapped zijn, gebeurt er niets.

Dit had je trouwens pas een keer of tig kunnen lezen in dit draadje..

sja eigenlijk wel ja...... maar zo weet ik het ook iig bedankt voor jullie snelle antwoord

[Gophlin]

paella schreef op 12 August 2003 @ 11:16:
En waarom dan:

Affected Software:

Microsoft Windows NT® 4.0
Microsoft Windows NT 4.0 Terminal Services Edition
Microsoft Windows 2000
Microsoft Windows XP
Microsoft Windows Server™ 2003

(van http://www.microsoft.com/...ity/bulletin/MS03-026.asp)

Iets verderop staan ook links naar patches voor Windows NT 4.0 Server en Windows NT 4.0 Terminal Server Edition

[Dinictus208]

Dit zou ik eigelijk zelf uit moeten zoeken maar kan iemand mij vertellen hoe je precies alles dat met msblast.exe te maken heeft van je systeem gooit?

[Anoniem: 86479]

Anoniem: 86479 schreef op 12 August 2003 @ 09:46:
ik heb een vaag probleem. Ik heb die patch op me servertje geinstald maar daarna deelt hij internet niet meer. Als ik die patch eraf pleur doet hij het wel

weet niemand hier een oplossing voor

[Anoniem: 33568]

Dinictus schreef op 12 augustus 2003 @ 11:29:
Dit zou ik eigelijk zelf uit moeten zoeken maar kan iemand mij vertellen hoe je precies alles dat met msblast.exe te maken heeft van je systeem gooit?

Ze staan onder /System32 en /Prefetch onder je Windows directory.

Verder is het mogelijk dat ie onder je registry staat.

Als je ff het topic doorgelezen had, dan had je kunnen lezen wat iedereen tot nu toe gedaan had

Weet je wat grappig is? Ik ben de eerste persoon als het goed is hier @ GoT die het ontdekt heeft (msblast.exe)

[DeMoN]

Anoniem: 86479 schreef op 12 August 2003 @ 11:32:
[...]


weet niemand hier een oplossing voor

Staat meerdere malen in dit topic.

Kill het process, zoek je hardeschijven af, delete het, gooi het uit je register.

[Dinictus208]

idd ik zag dat jij zei: vreemd process msblast.exe anyone?

Kijk weet je wat het is, ik maak in dit soort gevallen graag gebruik van beproefde methoden. Ik weet het zelf eigelijk ook wel maat ik raak aitjd echt in de stres als er iets met mijn pc is. Kan daar gewoon niet tegen en dan vind ik het relaxt als ik de oplossingen kan lezen. Dan heb je gewoon 0 twijfels en dat voelt goed.

Trouwens: begrijp ik uit de bovenstaande post dat MSBLAST.exe ook verantwoordelijk is voor het niet meer kunnen verbreken van je verbinding??

[ Voor 16% gewijzigd door Dinictus208 op 12-08-2003 11:39 ]

[Anoniem: 26232]

Anoniem: 33568 schreef op 12 August 2003 @ 11:34:
[...]
Weet je wat grappig is? Ik ben de eerste persoon als het goed is hier @ GoT die het ontdekt heeft (msblast.exe)

Ik vond die 20 topics die erover gingen en meteen weer gesloten werden ook wel erg leuk. Vooral de droge opmerkingen van momania..

[Anoniem: 33568]

Anoniem: 26232 schreef op 12 August 2003 @ 11:39:
[...]
Ik vond die 20 topics die erover gingen en meteen weer gesloten werden ook wel erg leuk. Vooral de droge opmerkingen van momania..

Idd,

Ik zie ze zelfs nu nog voorbijvliegen

[Anoniem: 57490]

ik heb windows xp helemaal up to date maar wil voor de zekerheid toch ff die patch installeren maar hoe weet ik nu welk ik moet hebben de 32 bit of de 64 bit versie

[Wilke]

Alle NT-based systemen zijn vulnerable. Echter, deze worm lijkt alleen te gaan voor Windows XP en Windows 2000 systemen, omdat deze het meest gebruikt zijn. Dat weerhoud natuurlijk in principe niemand ervan om vandaag of morgen een modded versie te releasen die ook Windows 2003 systemen pakt, ofzo.

De worm springt naar een bepaalde offset in het geheugen om code te gaan uitvoeren. Deze lokaties verschillen voor Windows 2000 en Windows XP. Omdat OS detectie blijkbaar niet kan in die paar bytes code die je hebt op de plek waar je de jump kunt veroorzaken, gebruikt de worm een veel simpeler methode: hij neemt 80% kans dat het Win XP is, en 20% dat het Win 2000 is, en springt aan de hand van die gok naar 1 van beide lokaties. Als hij fout gokt, werkt de exploit natuurlijk niet en crasht er waarschijnlijk hooguit iets.

Daarom kan het dus zijn dat de worm lijkt te falen, met name in Win2k. Toch betekent dat niet dat je veilig zit!

Lees ook het verslag van Symantec over de werking van deze worm.

Bron: BugTraq

[DeMoN]

Ik vind het trouwens opmerkelijk dat iedereen last heeft van die msblast. Een echt worm dus.

Als je niet gepachted ben heb je ook de kans dat de attacker volledige controle over jouw computer krijgt. Kijk maar wat ik al een week geleden poste.

DeMoN in "VS-regering waarschuwt voor Microsoft bu"

En een week daarvoor had ik ook al die exploit van packetstorm gehaald (iets andere) toen was er nog geen windows port en kon ik vanuit linux iop het interne netwerk testen op een win2k bak.

[Beaves]

Anoniem: 57490 schreef op 12 August 2003 @ 11:43:
ik heb windows xp helemaal up to date maar wil voor de zekerheid toch ff die patch installeren maar hoe weet ik nu welk ik moet hebben de 32 bit of de 64 bit versie

Heb jij een Opteron + een 64-bit Windows? Ik neem aan van niet, dus de 32-bit versie dan maar he

[YoG]

Hebben mensen met een inbelverbinding hier ook last van?

[Anoniem: 33568]

YoG schreef op 12 augustus 2003 @ 11:47:
Hebben mensen met een inbelverbinding hier ook last van?

Tuurlijk,

Maakt geen bal uit wat voor soort verbinding je hebt

[Anoniem: 87070]

ik zie net op de ms site dat die patch voor nt4.0 server ook werkt voor de gewone windows nt zeg maar dus als je die instaleert is het goed neem ik aan

[Icey]

Ik draai iedere week windows update, en net ff gechecked maar er staat niks tussen... dat betekend dat ik die patch dus al heb?

[Anoniem: 39997]

Hmm, ook leuk.. 'n server die continu reboot. Net even die patch geïnstalleerd (ja, ik weet het; ik ben een n00b, omdat ik mijn systeem niet up-to-date hou, bla, maar ik ga pas patchen/updaten als ik problemen krijg en ik heb tot nu toe alleen dit gehad) , maar die msblast.exe komt nergens voor in m'n processenlijst en die Symantec tool zegt ook dat ik niet geïnfecteerd ben. Zit ik nu compleet veilig of moet ik nog bepaalde dingen afschermen in bijv. m'n firewall?

[Anoniem: 31556]

hmmm, ik zit hier achter een router en heb het laatste uur 133 calls naar poort 135 gemeten, zouden dat allemaal van die aanvallen zijn?

DIt is een regelrecht drama, en ik vermoed dat ik binnenkort ook erg druk wordt met het oplappen van andermans pc na zo'n infectie

[Anoniem: 49705]

Misschien een handige tool om evt."rare" files zoals msblast.exe te verwijderen:

http://vil.nai.com/vil/stinger/

[Anoniem: 51002]

Ik maak me zorgen over het aantal huis- tuin- en keukengebruikers die dit ook krijgen. En van GoT nog nooit gehoord hebben.
Wordt druk @ helpdesken en winkels...

[Aurelium]

Ik heb er 3 weken geleden voor het eerst last van gehad. Dat was eenmalig dus heb er verder niks mee gedaan. de 2e keer afgelopen vrijdag. de derde keer was zondag of maandag en gisteravond barste de hell los Toen ben ik maar gaan zoeken hier en zag deze topic. heb vervolgens die patch gedownload die 2 seconden voordat het systeem zichzelf weer eens afsloot, klaar was met downen Die geinstalleerd en toen had ik nergens last meer van. Net gelezen over msblast. Met regcleaner msblast uit start up list gehaald. vervolgens gezocht op msblast en toen msblast uit de system32 verwijderd en uit de prefetch folder ofzo. Nu al 2 keer mn systeem gereboot en msblast zit niet meer bij de processes. Lijkt me dat ik ervan af ben. De eerste keer voor mij dat ik ooit door een virus worm of attack ben getroffen. Dacht altijd dat het mij niet zou gebeuren
Ik ben zeer benieuwd hoe dit gaat aflopen. Zou mij niet verbasen als er net zoon chaos ontstaat als toen met het i love you virus. hoewel de schade die deze worm doet natuurlijk veel kleiner is, kan de gemiddelde Xp gebruiker zijn systeem maar 1 minuut gebruiken voor het afgesloten wordt.
Ik wens microsoft alvast veel succes voor 16 augustus

[Anoniem: 50683]

Anoniem: 31556 schreef op 12 August 2003 @ 11:57:
hmmm, ik zit hier achter een router en heb het laatste uur 133 calls naar poort 135 gemeten, zouden dat allemaal van die aanvallen zijn?

DIt is een regelrecht drama, en ik vermoed dat ik binnenkort ook erg druk wordt met het oplappen van andermans pc na zo'n infectie

Hier ook zoiets, tussen de 4 en 8 per 5 minuten, ben benieuwd wat er na 17.00/18.00 gaat gebeuren.

Je ziet het grafiekje nu al mooi (na vannacht) tussen 08.00 en 09.00 enigzins oplopen.



Groen = alle rejects
Blauw = MS RPC Rejects (poorten 135,139 en 445)

[ Voor 7% gewijzigd door Anoniem: 50683 op 12-08-2003 12:05 ]

[Devster]

Dit kreeg ik van US Collega's

Symptoms of this virus include the following:

1.      You can no longer copy and paste in Windows environment
2. Unable to open Excel or Word application(s)
3.      You receive an error in your svchost.exe
4.      The icons in your control panel disappear
5.      Your add/remove programs icon disappears
6.      mblast.exe runs as a process (CTRL-ALT-DEL, Select “Task Manager”, Select “Processes” tab)

Alleen zie ik msblast.exe dus niet....

Verder wordt o.a. Windows Update geblokt...

[rikgoodhart]

nou...16 augustus wordt er dus een aanval gedaan op de update servers.. Maar...hoe dan als de computers maar 1 minuut kunnen aanblijven?

[ReCreator]

de bitdefender stand alone tool specifiek voor de msblast.exe virus....

http://www.bitdefender.com/download/Antimsblast-EN.exe

[Anoniem: 32413]

Das lang genoeg om de microsoft server te neuken..

[Anoniem: 86479]

DeMoN schreef op 12 augustus 2003 @ 11:36:
[...]


Staat meerdere malen in dit topic.

Kill het process, zoek je hardeschijven af, delete het, gooi het uit je register.

doet me netwerk het dan ook weer gewoon zoals het hoort, want daar ging het me meer om.
die patch zorg voor ongemak bij mij ipv de oplossing.
met ''het proces'' bedoel je dat msblast.exe? toch

[ Voor 15% gewijzigd door Anoniem: 86479 op 12-08-2003 12:15 ]

[Anoniem: 30762]

Me hele router firewall loopt vol met @home ips op port 135, gelukkig niet geinfecteerd.

[Aurelium]

De worm heeft RTL Z nieuws al gehaald. Was net op tv met de woordvoerder van ax4all over de telefoon.

[Anoniem: 89870]

Logisch toch....is hier nog niet voorbij. Zit nu op het moment hier de pagina's te lezen en t zijn er 12, en dan heb je er zo'n irritante neuzel tussenzitten die blurinfo waarin bijna alleen eigen meningen staan. Ik heb nu twee van die nuzelinfo's hier gegeven, Im outtie.

[Gophlin]

Voor alle mensen die wat moeite hebben om de patch te downloaden binnen de minuut die ze hebben, nog even een leuke tip.
start, settings, control panel, administrative tools, services
Daar Remote Procedure Call (RPC) opzoeken, settings opvragen. Bij het tabblad recovery zit een grote knop onderin met Restart Computer Options. Daar kan je de tijd veranderen tot herstart.
Wellicht handig voor de mensen zonder mozilla klonen geinstalleerd en een trage verbinding.