RPC crash/shutdown 'vraag bak'

[Aurelium]

Als je msblast.exe nou niet meer tussen je processes staan na een aantal reboots, is het dan zeker dat het virus iig niet meer schadelijk is. Dus dat het geen gegevens meer doorstuurt en dat het geen DDoS attack gaat uitvoeren op microsoft? Op RTL Z zei die woordvoerster dat het ook een extra programmatje installeerde om de DDoS attack uit te voeren!

[leuk_he]

Verwijderd schreef op 12 August 2003 @ 11:47:
[...]
Tuurlijk,

Maakt geen bal uit wat voor soort verbinding je hebt

Ik heb gezien dat m´n personal firewall inderdaat paketten op poort 145 van mijn inbelverbinding tegenkwam en moest blokkeren. Ik snap alleen niet dat de rpc mapper aan internet hangt. Je geeft toch specifiek op welke services je gebruikt op je internet link. En windows waarschuwt zelfs als je "Client voor Micosoft windows" op je internet poort hangt.

[ Voor 4% gewijzigd door leuk_he op 12-08-2003 12:38 ]

[blackd]

leuk_he schreef op 12 August 2003 @ 12:37:
En windows waarschuwt zelfs als je "Client voor Micosoft windows" op je internet poort hangt.

Tenzij je de systeemcontrole uitzet, of je een ADSL ethernet modem hebt (iirc)...

[juanp]

zit nu op mn werk en krijgen net 3 meldingen, zijn niet zozeer deze meldingen, maar wil graag weten of mensen dit ook zijn tegen gekomen.

bij alle 3 de bedrijven staat een server met windows 2000 server erop, deze draaien een exchange server en de mensen die proberen in te loggen die kunnen beter 3 bakjes koffie een tijdschrift en een nijmeegse 4 daagse gaan lopen want daarna is die pas klaar met inloggen op de server.
Ze kunnen daarna wel internetten, maar geen mail ophalen, dan krijgen ze een fout.

ik vond het wel heel verdacht dat dit bij alle 3 de bedrijven opeens vandaag, krijg nu te horen dat het bij ons ook opeens zo is.

zou idt met deze worm te maken kunnen hebben?
zou een router er ook door geinfecteerd kunnen raken? (lijkt me sterk, maar oke).

[Beamer]

Verwijderd schreef op 11 August 2003 @ 20:55:
[...]


Heel misschien, maar ik kan me natuurlijk vergissen ben jij nogal een naïeve prutser. Verantwoordelijk op het Internet begint bij jezelf lijkt me. Het is JOUW verantwoordelijkheid dat je niet open staat voor aanvallen. Dus firewall installeren, zorgen dat je laatste updates regelmatig installeert of automatisch laat doen, geen verdachte e-mails openen enzovoorts. Kortom jij bent hier diegene die fout bent, stel voor dat je PC gehackt wordt en jij onderdeel gaat maken van een DDOS aanval.

Wat een mannetjes zijn er hier toch ook hé, die voelen zich helemaal de bom omdat ze een firewall hebben en een ander niet en dan die ander maar vertellen hoe lomp die wel niet is.
Je moet gewoon van elkaar zijn spullen afblijven, en dat geld ook voor computers! Het zijn gewoon trieste mannetjes die dit doen, maar je zal ze helaas altijd houden net als dieven,inbrekers etc. Maar als je je raam open laat staan voor de warmte en ze halen je hele zooitje weg wordt je echti niet vrolijk, mag lijen dat dat jij een keer overkomt kijken of je dan nog zegt, ja had je je raam niet open moeten doen. ppfff

[juanp]

Beamer schreef op 12 August 2003 @ 12:45:
[...]blablabla

kunnen we misschien een topic openen waar jullie verder elkaar af kunnen zeiken zodat mensen hier vragen kunnen stellen zoals ik net deed?

[Arfman]

Iedereen lult wel zo leuk over Windows Update, en meteen patchen e.d., maar ik zit thuis met ISDN dus ga niet om de haverklap tig MB downloaden. Ik draai op beide PC's XP SP1, geen hotfixes, niks. Ik had wel Kerio Personal Firewall draaien maar ja, evaluation expired ..

In een werksituatie is het natuurlijk anders, daar moet je bij wijze van spreken dageliks patchen (en is de internetconnectie vaak het probleem niet).

[Luppie]

leuk_he schreef op 12 August 2003 @ 12:37:
[...]


Ik snap alleen niet dat de rpc mapper aan internet hangt. Je geeft toch specifiek op welke services je gebruikt op je internet link.

RPC wordt o.a. ook gebruikt bij messenger en Outlook, het is dus niet zo vreemd dat RPC aan het internet hangt.

[Verwijderd]

Ha, ik zat gisteravond bij een maat van mij een pc te installeren krijg ik daar ook ineens die ongein voor m`n scherm.
Had dus gelijk al door dat niet zo hoort en de XP firewall aangezet om de net send commands en dergelijke (die op het @Home netwerk veel verstuurd worden) uit te schakelen.
Kom ik thuis krijg ook gelijk zo`n ding, hele WinXP aan puin heb gelukkig Norton Ghost 2003 aangeschaft en maak er dankbaar gebruik ervan.
Image terug gedraaid, patch geinstalleerd en binnen 2 min. was ik weer online en gelukkig.

Overigens,
Die aarsen die hier lopen te blaten dat ze zo goed zijn en een firewall hebben, moeten dat maar aan hun moeder gaan vertellen ofzo mij interesseert het geen moer, en de rest van de topic lezers hebben er ook weinig aan.
Zowieso vind ik de "feel" van software (antivirus,firewall enderg.) dikke troep en laat het zoveel mogelijk

Het valt me ook op dat linux freaks hier veel zitten met mooie praat, w8 maar tot de rest van de wereld misschien wel een keer overstapt op dat OS voorlopig staat het nog 98% tegen 2% en daardoor zal linux ook minder problemen krijgen.
Ik bedoel je hebt wel 10 tallen van die OSen hoeveel fouten zullen daar wel niet in zitten ?
Dus w8 maar tot het mainstream word

[Aurelium]

quote
Het valt me ook op dat linux freaks hier veel zitten met mooie praat, w8 maar tot de rest van de wereld misschien wel een keer overstapt op dat OS voorlopig staat het nog 98% tegen 2% en daardoor zal linux ook minder problemen krijgen.
Ik bedoel je hebt wel 10 tallen van die OSen hoeveel fouten zullen daar wel niet in zitten ?
Dus w8 maar tot het mainstream word
/quote

So true!!!

[blackd]

In elk OS (he, wat? In elk softwarepakket) zitten fouten Oude discussie.

[TimMer]

Verwijderd schreef op 12 augustus 2003 @ 12:59:
Het valt me ook op dat linux freaks hier veel zitten met mooie praat, w8 maar tot de rest van de wereld misschien wel een keer overstapt op dat OS voorlopig staat het nog 98% tegen 2% en daardoor zal linux ook minder problemen krijgen.
Ik bedoel je hebt wel 10 tallen van die OSen hoeveel fouten zullen daar wel niet in zitten ?
Dus w8 maar tot het mainstream word

Maak je vooral niet druk over die Linuxfiguren. Nog niet zo lang geleden is er een onderzoek gehouden naar de beveiliging van verschillende OS-en, hier kwam Microsoft beter uit dan Linux. Adios cliché dus...

[paella]

De beveiliging van een willekeurige machine is rechtevenredig met het reactievermogen van de systeembeheerders... Dus je kan een hele veilige Windows machine tegenkomen maar ook Linux machines die hun deuren wagenwijd openzetten...

[elevator]

Cobra_Lup schreef op 12 augustus 2003 @ 12:53:
RPC wordt o.a. ook gebruikt bij messenger en Outlook, het is dus niet zo vreemd dat RPC aan het internet hangt.

Alleen in de corporate edities, niemand gebruikt RPC over internet. De afgelopen 5 jaar toch niet

[paella]

Arfman schreef op 12 August 2003 @ 12:49:
Iedereen lult wel zo leuk over Windows Update, en meteen patchen e.d., maar ik zit thuis met ISDN dus ga niet om de haverklap tig MB downloaden.

Tip: Doe dat iig wel voor de Critical Updates voortaan.

[ Voor 3% gewijzigd door paella op 12-08-2003 13:18 ]

[Verwijderd]

Verwijderd schreef op 12 August 2003 @ 12:59:

Die aarsen die hier lopen te blaten dat ze zo goed zijn en een firewall hebben, moeten dat maar aan hun moeder gaan vertellen ofzo mij interesseert het geen moer, en de rest van de topic lezers hebben er ook weinig aan.
Zowieso vind ik de "feel" van software (antivirus,firewall enderg.) dikke troep en laat het zoveel mogelijk

Het valt me ook op dat linux freaks hier veel zitten met mooie praat, w8 maar tot de rest van de wereld misschien wel een keer overstapt op dat OS voorlopig staat het nog 98% tegen 2% en daardoor zal linux ook minder problemen krijgen.
Ik bedoel je hebt wel 10 tallen van die OSen hoeveel fouten zullen daar wel niet in zitten ?
Dus w8 maar tot het mainstream word

Beetje egoistisch he, jij. Misschien dat mensen die firewalls draaien , wat verstandiger met internet omgaan dan mensen zoals jij. In ieder geval
bewuster met internet omgaan, zelfde voor linux mensen. btw
- Ik heb een firewall
- Ik draai linux
- Ik draai Windows XP (2x)
wat voor "aars" ben ik nu volgens jouw ?

Ik denk doordat ik (en vele anderen met mij) bewuster met internet omgaan, er tenminste mensen zijn die de puinhopen bij een ander weer (zoals deze week wel zal moeten gebeuren) kunnen gaan opruimen.

In ieder OS zitten fouten, dit is niet meer dan normaal, maar er zijn maar een paar OS'en die zeer kritische (ofwel zowat alle) services richting Internet opengooien.

Het patchen en zorgen voor de security van een OS is een probleem van de ontwikkelaars van een OS, maar zeker ook van de systeembeheerders (of dat nu thuis is of op een bedrijf).

Omdat sommige mensen wat tips/hints geven, ze gelijk een AARS te noemen gaat nogal ver vind ik.

[Rafe]

Zullen we die Linux vs Windows maar laten voor wat het is? Een systeem is zo (on)veilig als de beheerder het maakt

[Apache]

TimMer schreef op 12 augustus 2003 @ 13:10:
[...]

Maak je vooral niet druk over die Linuxfiguren. Nog niet zo lang geleden is er een onderzoek gehouden naar de beveiliging van verschillende OS-en, hier kwam Microsoft beter uit dan Linux. Adios cliché dus...

hehe, ja, dat ms funded onderzoek herinner ik me nog ja

Vond die vergelijking van de TCP/IP stack net wat beter, waarbij uiteindelijk ms terugtrok dat de naams Windows vermeld mocht worden omdat het niet zo veilig leek, en dat konden ze omwille van het contract dat ze op voorhand hadden afgesloten.

In de linux TCP/IP stack werden 2 "bugs" ontdekt welke daarna door de maintainers werden weerlegd en bewezen dat het geen bugs waren maar gewenst gedrag.

De TCP/IP stack is natuurlijk wel een klein deel van het OS maar is imho een goede maatstaf voor de code quality van linux.

En die 98 - 2 verhouding gaat niet op, dat is enkel de desktop users, in het server segment zijn er nog steeds meer *nix dozen.

Tot nu toe is er 1 worm geweest die een beetje schade aanrichtte onder linux en dat was er een voor wuftpd, the crappiest of ftp deamons, die enkel door redhat (default) gebruikt werd.

[ErA]

Weet je wat ik me nou net afvroeg:

Deze worm is volautomatisch. Hij stuurt geen shells door naar 1 persoon die vervolgens gaat hacken. In plaats daarvan probeert ie gewoon heel de wereld Vs MS te zetten. Dit voorkomt wel dat er mensen gericht misbruik van servers die nt4> draaien gaan maken om er hun fileserver van maken. Ze krijgen namelijk de kans er niet meer voor.

Dit zeg ik toch goed?

[Icey]

Net eventjes met xs4all gechat, die zeggen dat ik rustig kan slapen, want ze hebben die poort dicht staan

[Verwijderd]

ErAdiCToR, min of meer wel (elk besmette machine gaat op zoek naar 20 slachtoffers per scansweep). Daarom is deze worm ook niet gevaarlijk omdat:

• Geen incubatietijd tot eerste actie
• De besmetting niet verborgen is (MSBLAST.EXE als service in taakbeheer, RPC errors)
• Poging tot besmetting teveel alarmbellen laat afgaan bij een goed geconfigureerde firewall (rejects op poorten 69, 135 t/m 139, 445, 4444-tftp, 5555, 6666, 57005)
• Hoge snelheid van besmettingspogingen (20 IP's, multithreaded)
• Desinfectie gemakkelijk gaat (delete MSBLAST.EXE en registryverwijzingen)
• Preventieve oplossingen er al zijn (MS-patch + WindowsUpdate)
• Preventie tot besmetting gedaan kan worden op ISP nivo (poort 135-139, 445 disablen van client <> internet)

[ Voor 39% gewijzigd door Verwijderd op 12-08-2003 15:22 ]

[Verwijderd]

MKay, ik had er last van, patch gedraaid, net scanner gecheckt (positief resultaat), ZoneAlarm geinstalleerd en alles lijkt voorbij, maar:

1) msblast ben ik nergens tegen gekomen, niet tussen de files en ook niet in mn registry, terwijl de rest van de problemen wel degelijk voorkwamen, en
2) nu heeft mn bak spontaan last van rebooten ZONDER waarschuwing vooraf. Gewoon pats-uit-en-weer-aan... Tot eergisteren had ik daar geen last van, maar nu ineens wel? Het is geen tempkwestie want die liggen binnen de marge.

Ik ben bang dat er tussen de spontane reboots en het geleuter hier een bepaald verbanmd ligt, ik weet alleen niet welk...

[Verwijderd]

Verwijderd schreef op 12 August 2003 @ 13:24:
[...]


Beetje egoistisch he, jij. Misschien dat mensen die firewalls draaien , wat verstandiger met internet omgaan dan mensen zoals jij. In ieder geval
bewuster met internet omgaan, zelfde voor linux mensen. btw
- Ik heb een firewall
- Ik draai linux
- Ik draai Windows XP (2x)
wat voor "aars" ben ik nu volgens jouw ?

Omdat sommige mensen wat tips/hints geven, ze gelijk een AARS te noemen gaat nogal ver vind ik.

Hehe, niet teveel aantrekken van mensen op het internet hey .
Ik doelde met dat aarsen meer op mensen die zo lullig zaten te blaten tegen anderen die geen firewall hebben en dat klaarblijkelijk grappig vonden.

Ik heb het probleem in 2 min. opgelost wat wil je nog meer, het gebruik van een firewall en dergelijke vind ik lastig en houd meer van een prestatie/clean systeem, zonder al die poespas, kijk als ik kritieke dingen op m`n pc bewaar dan zou het wel ff andere koek wezen.
Zonder al die dingen bespaart mij dat weer mooi wat boot/laad tijd
Ik heb stage gelopen bij defensie, daar doen ze het heel simpel kritieke/netwerk pc`s zitten niet op internet.... zo geld het bij mij ook. .
Dus word het toch heel moeilijk om mij te hacken, veel suc6 daarmee iig.

[F_J_K]

Verwijderd schreef op 12 August 2003 @ 13:43:
ErAdiCToR, min of meer wel (elk besmette machine gaat op zoek naar 20 slachtoffers per scansweep). Daarom is deze worm ook niet gevaarlijk omdat:[list][/list]

Inderdaad, wat dat betreft is dit misschien zelfs wel een goed iets te noemen: Zo'n beetje iedereen die vatbaar was, zal er nu iets aan doen (of een constant crashend systeem hebben). Op die manier zullen deze toch moeten patchen en blijven er veel minder mensen over die vatbaar zijn voor echt schadelijke wormen

[disclaimer]
Ik heb er op geen van mijn servers of desktops last van gehad dus spreek een beetje te makkelijk over het probleem
[/disclaimer]

En zoals Rafe al zei: laten we vanaf nu maar geen Windows vs. Linux discussie meer gaan houden in dit topic. Daar is al heel veel over gediscussieerd en als je wat nieuws hebt toe te voegen doe het dan ajb in een apart topic

[Verwijderd]

Abel: Windows XP en 2000 BSOD guide
autoreboot uitzetten en in je logfiles kijken.

offtopic:
F_J_K: Vakantie is over

Yup: topdrukte in WOS vanaf gisterenavond - ik ben er ook maar bijgesprongen, want momania had het er maar druk mee - gelukkig duikelt RPC/MSBLAST nu wel op in de GoT-search

[ Voor 54% gewijzigd door Verwijderd op 12-08-2003 15:24 ]

[F_J_K]

Verwijderd schreef op 12 August 2003 @ 13:54:
[....]
ZoneAlarm geinstalleerd en alles lijkt voorbij, maar:
[....]
2) nu heeft mn bak spontaan last van rebooten ZONDER waarschuwing vooraf. Gewoon pats-uit-en-weer-aan... Tot eergisteren had ik daar geen last van, maar nu ineens wel? Het is geen tempkwestie want die liggen binnen de marge.

Ik ben bang dat er tussen de spontane reboots en het geleuter hier een bepaald verbanmd ligt, ik weet alleen niet welk...

Ik gok dat ZoneAlarm wat aan het zieken is; je ipv. daarvan ook een andere firewall kunnen gebruiken.

Trouwens is de interne FW van Win2k/WinXP (als je dat gebruikt) ook wel genoeg om deze poorten af te sluiten

Maar waarschijnljk krijg je een BSOD en heb je auto reboot aan gezet. Zie Windows XP en 2000 BSOD guide hiervoor.

[edit = zie dus euss ]

[Bananenplant]

ik gebruik zelf geen windows en heb de hele draad dus niet gelezen, maar ik heb op m'n machine ook een proof of concept van deze dcom-exploit die op een engelstalige w2k/xp een shell tevoorschijn tovert. ik zit er vooral mee te prutsen in ons lokale netwerk (nederlandstalige os-es lopen vast, en dat heeft hetzelfde effect als waar de mensen hier last van hebben), de vriend van wie ik de source heb gekregen heeft bij een studiegenoot van ons (een fervent windowsfan) alle porno op z'n machine opgespoord en in een irc-kanaal gespamd waar die gast rondhangt. verder is het puur interesse waaruit ik dat ding heb, weest niet bevreesd (hoewel ik het wel verleidelijk vond alle illegale meuk van z'n hd's af te keilen ).

misschien een extra aansporing voor jullie kwetsbaren om er iets aan te doen !

[Verwijderd]

@ FJK:

Is geen BSOD, gewoon reboot alsof er stroomonderbreking is geweest. Was ook voordat ik ZA draaide, want die heb ik er nml pas een uur geleden opgezet

De standaard FW van XP draait ook (ook pas vanaf eergisteren), ga nu eens kijken hoe ik die poorten dicht moet duwen. (ZA blocked trouwens gewoon alles wat op 135 afkomt, en dat is verbazend veel, ongeveer 7 'attacks' p/m)

[Sluuut]

juanp schreef op 12 August 2003 @ 12:40:

zou een router er ook door geinfecteerd kunnen raken? (lijkt me sterk, maar oke).

Draait een router Windows ? (nee...)

[Hertog_Martin]

Vraagje:

Ik had gisteravond dus die melding.
Had toen die patch van ms gedownload en geinstalleerd.
Daarna niet meer de melding gehad maar had wel toen ik naar mn harde schijf ging dat mn hele beeldscherm lichtgeel werd

toen maar kabel eruit getrokken.

Maar ik keek gister meteen bij processes en zag geen msblast staan?

Maar wat ik nog het vaagst vondt:

bij mn firewall stonden port 137,138,445 ineens op accept forever
en adressen: 169.254.173.71 en 192.168.0.2 stonden ook op accept forever

nu is het zo dat ik perongeluk in alle haast gister mn firewall ff minuutje uit had gezet. Kan het zijn dat een hacker die ports toen open heeft gezet of gaan die ports open vanwege dat lek?

anyway ik heb nu dus die patch geinstalleerd
dummy file msblast.exe (hoewel die gister dus niet in mn processes lijst stond nadat eht gebeurde)
firewall die poorten geblokkeerd

kan er nu nog wat gebeuren?

[MauriX]

elevator schreef op 11 August 2003 @ 20:44:
Je kan de shutdown meestal overigens afbreken door middel van:

code:

shutdown /a

Het mag trouwens opgemerkt worden dat als je nog steeds vatbaar bent voor deze exploit, na de ongelovelijke aandacht die deze bug heeft gehad, dat je dan misschien beter niet op internet kan komen

En waar voer je dit in dan?

[Verwijderd]

Wat ook helpt is je firewall aanzetten onder winxp netwerk verbinding, dat hielp bij mij tenminste, en naja heb nu ook gleerd binnen een minuut dingen binnen te halen

Maargoed, ik had er dus ook last van, norton av 2003 (verse update) heeft nix kunnen oppikken, ook de blast fix heeft nix kunnen vinden, wel heb ik intussen ook windows update gedraaid (jeuj ) maar moet ik me nu nog zorgen maken? ik bedoel had er wel last van maar het is weer net zo mysterieus verdwenen als het er binnen is gekomen.
ca 2 weken geleden had ik er voor het eerst last van, gister continue, format c/fresh install gedaan, en nog steeds last, firewall aangeknalt op de inet verbinding en nix meer, nu getest zonder firewall en nog steeds nix.

Op hoop van zegen maar....

[samo]

MauriX schreef op 12 August 2003 @ 14:30:
[...]
En waar voer je dit in dan?

start > run/uitvoeren

[Verwijderd]

Ik heb de scanner (scanms.exe), om te zien of je kwetsbaar bent, gedownload. Als ik die file scan met Kaspersky AV, dan krijg ik volgende virusmelding: Exploit.Win32.DCom.o

In dit topic wordt toch naar die scanner verwezen. Het kan toch niet de bedoeling zijn om zo een nieuw virus binnen te halen

[Hertog_Martin]

Het is nu trouwens rustig. 2 aanvallen in een uur
had er gister 100 in 1.5 uur:



en dit ziet er niet goed uit: krijg dit al een tijdje en dacht eerst dat het kwam omdat ik netwerk had opgezet met andere pc maar nadat die pc weer weg was bleef ik het krijgen:



feit dat er rode uitroepteken staat maar er geen streep door heeft doet me denken dat ie dus ook niet geblockt is.

wat kan ik hieraan doen? kan moeilijk members.chello.nl blocken toch?

[ Voor 62% gewijzigd door Hertog_Martin op 12-08-2003 14:54 ]

[Dommel]

Verwijderd schreef op 12 augustus 2003 @ 14:43:
Ik heb de scanner (scanms.exe), om te zien of je kwetsbaar bent, gedownload. Als ik die file scan met Kaspersky AV, dan krijg ik volgende virusmelding: Exploit.Win32.DCom.o

In dit topic wordt toch naar die scanner verwezen. Het kan toch niet de bedoeling zijn om zo een nieuw virus binnen te halen

Bitdefender Anti RPC: http://www.bitdefender.com/download/Antimsblast-EN.exe
Symantec Anti RPC: http://securityresponse.symantec.com/avcenter/FixBlast.exe

Die van Symantec is volgens mijn virusscanner (NAV) in elk geval niet besmet

[Sluuut]

Moet je je eens bedenken hoe enormveel dataverkeer Microsoft nu te verwerken heeft,... en daarbij nog bedenken dat ze in de toekomst zowiezo altijd worden gedossed, ik bedoel, zo ontzettend veel pc's hebben Windows en die virus dan ook nog wel geinstalleerd zonder een patch te draaien, je heb admins die als het eenmaal draait er nooit meer naar kijken...
Want het is toch zo dat WindowsUpdate.com gedossed word door elke bak die geinfecteerd is? Of heb ik het mis

PS: Er hebben vandaag tot nu toe maar 6 mensen gebeld over dit virus... Had er veel meer verwacht

Edit: 7 mensen... nog een domme mevrouw. Ze vertellen ook allemala heeldroog eerst 3 minuten lang hun verhaaltje over hun geweldige computer die ze hebben aangeschaft alleen momenteel krijgen ze een foutmelding en word de computer afgesloten... d0h!

Het kwam net ook voorbij op het ANP nieuws.. Volgens XS4All is dit een zeer schadelijk virus.

Volgens mij niet, volgens mij is de exploit gevaarlijk (wat al dagen bestaat) maar het virus niet. Het enige wat het virus doet is zichzelf verspreiden, het is niets voor niets een worm. Oke, je upload snelheid gaat ervan naar de klote omdat je constant paketjes naar windowsupdate.com stuurt maar voor de rest is het virus niet schadelijk voor je systeem ofzo

[ Voor 39% gewijzigd door Sluuut op 12-08-2003 15:06 ]

[Luppie]

Icey schreef op 12 August 2003 @ 13:42:
Net eventjes met xs4all gechat, die zeggen dat ik rustig kan slapen, want ze hebben die poort dicht staan

Dat is dus flauwekul. Ik ben ook klant bij xs4all en hier hen je een deel van mijn logging.

code:

Om security redenen weg gehaald.

Zoals je kan zien komen de pakketjes richting poort 4444 nog steeds aan (Mijn Vuurmuur blocked ze gelukkig wel)

Ik zal dus maar niet al te zeker zijn van wat XS4all zegt.

[ Voor 85% gewijzigd door Luppie op 12-08-2003 15:32 . Reden: IP Lijst verwijderd ]

[Hertog_Martin]

Bij mn ma op dr werk hebben ze op de server windows 98 ( ) paar pc's op het netwerk hebben wel XP, kunnen ze nog last krijgen of hebben ze in dit geval voordeel eraan dat ze nog win98 draaien

owja ik had dat scanms.exe op C: gezet en in uitvoeen> run dit gedaan:

C:\scanms.exe mijnIP

dan komt er wel een dos schermpje maar die flits in een honderste van een seconde weer weg en om nou tienduizend keer te gaan proberen om op goede moment op pauze te drukken...

[ Voor 43% gewijzigd door Hertog_Martin op 12-08-2003 15:03 ]

[Verwijderd]

ChristuS schreef op 12 August 2003 @ 14:53:
[...]

Bitdefender Anti RPC: http://www.bitdefender.com/download/Antimsblast-EN.exe
Symantec Anti RPC: http://securityresponse.symantec.com/avcenter/FixBlast.exe

Die van Symantec is volgens mijn virusscanner (NAV) in elk geval niet besmet

Ik had/heb het virus niet, ik wou gewoon ff testen of mijn pc nog kwetsbaar is na het installeren van de patch. Ik had gewoon niet verwacht dat je op GoT werd aangemoedigd om virussen te downloaden en te runnen

[Verwijderd]

Ik heb de scanner (scanms.exe), om te zien of je kwetsbaar bent, gedownload. Als ik die file scan met Kaspersky AV, dan krijg ik volgende virusmelding: Exploit.Win32.DCom.o

De scanners worden ook gedetecteerd als mogelijk onveilig. Dit is normaal en -bydesign-.

[Verwijderd]

Vraagje:

ik heb hier al 2 machines staan die een error geven met svchost.exe. De virusscanner start niet meer op, office is kapot en windows update wordt niet meer uitgevoerd.

msblaster.exe staat NIET op de 2 machines.

Ik heb alle 14 pagina's al doorgelezen, maar ik kon er niks vinden. Is dit dan ook het virus?

[samo]

Hertog_Martin schreef op 12 August 2003 @ 15:01:
Bij mn ma op dr werk hebben ze op de server windows 98 ( ) paar pc's op het netwerk hebben wel XP, kunnen ze nog last krijgen of hebben ze in dit geval voordeel eraan dat ze nog win98 draaien

owja ik had dat scanms.exe op C: gezet en in uitvoeen> run dit gedaan:

C:\scanms.exe mijnIP

dan komt er wel een dos schermpje maar die flits in een honderste van een seconde weer weg en om nou tienduizend keer te gaan proberen om op goede moment op pauze te drukken...

als de XP machines toegang hebben tot internet, en het verkeer op de eerder aangegeven poorten dan kunnen die pcs hier last van hebben ja... indien de patch van MS nog niet is geinstalleerd

[Verwijderd]

doe eens start > run > cmd

en dan C:\scanms.exe mijnIP

Wedden dat het lukt?

[DeMoN]

SJONGE JONGE JONGE.

Moeten jullie dit eens lezen:

http://teletekst.nos.nl/gif/107-01.html

Hier klopt echt geen ruk van

Echt een beetje erg jammer weer. "Virus, Mailtjes, Hoofdcomputers"

[Hertog_Martin]

removal tool:

http://securityresponse.s...er.worm.removal.tool.html

[Verwijderd]

Cobra_Lup schreef op 12 augustus 2003 @ 14:58:
Dat is dus flauwekul. Ik ben ook klant bij xs4all en hier hen je een deel van mijn logging.

Oftewel, poort 4444 (standaard poort voor TFTP) staat nog open. In tegenstelling tot 135-139 en 445 wordt die TFTP-poort niet gebruikt bij het infecteren van de machine, maar pas daarna, wanneer de machine al ge-infecteerd is en de msblast.exe wordt overgepompt.
Bovendien wordt TFTP voor een hoop andere nuttige dingen gebruikt (BOOTP bijvoorbeeld, een "internet appliance" booten via een boot image die via TFTP wordt opgehaald), dus logisch dat XS4All die poort niet zomaar dichtgooit.

edit:

De standaard poort voor TFTP is 69, en niet 4444. Al gebruikt Blaster wel 4444 voor een TFTP download van msblaster.exe. Maar bij niet-geinfecteerde machines zal op poort 4444 niks zitten, of iets heel anders (Kerberos 4 and 5 ticket translator bijvoorbeeld), dus afgezien van m'n geblaat over BOOTP, etc. blijft 't bericht van kracht.

[ Voor 22% gewijzigd door Verwijderd op 12-08-2003 15:43 ]

[TimMer]

Sluuut schreef op 12 August 2003 @ 14:15:
[...]


Draait een router Windows ? (nee...)

Windows CE
Ja dus.

[ Voor 5% gewijzigd door TimMer op 12-08-2003 15:19 ]

[elevator]

DeMoN schreef op 12 August 2003 @ 15:09:
SJONGE JONGE JONGE.
Moeten jullie dit eens lezen:

http://teletekst.nos.nl/gif/107-01.html

Hier klopt echt geen ruk van
Echt een beetje erg jammer weer. "Virus, Mailtjes, Hoofdcomputers"

Ik vind het goed uitgelegd

[eNaSnI]

Misschien verstandig om die lijst met ip adressen weg te halen, er staan nog al wat printers geshared met de rest van de wereld

[Sluuut]

Is het zo dat geinfecteerde mailtjes sturen? Ik dacht dat ze DDoS deden richting windows update server...

[DeMoN]

elevator schreef op 12 August 2003 @ 15:13:
[...]

Ik vind het goed uitgelegd

Dan verschillen wij van mening

Ze hadden er van mij ook ff bij moeten zetten dat het de schuld is van "hackers"



Zo blijven de n00bs die dit lezen ook altijd n00bs.

Vanuit tweaker-ogen gezien klopt dit bericht niet, vanuit n00b-ogen gezien is dit bericht te makkelijk geplaatst en veroorzaakt het alleen maar meer verwarring.

[Verwijderd]

ik heb hier al 2 machines staan die een error geven met svchost.exe. De virusscanner start niet meer op, office is kapot en windows update wordt niet meer uitgevoerd.

msblaster.exe staat NIET op de 2 machines.

Ik heb alle 14 pagina's al doorgelezen, maar ik kon er niks vinden. Is dit dan ook het virus?

Verwijderd in "RPC crash/shutdown 'vraag bak'"

[Tweeker]

Hier nog zo'n sukkel.... was vandaag aan het experimenteren om outlook --> exchange te kunnen draaien over internet en daar even poort 135 voor open gezet... nog geen 2 uur later knallen er allerlei services uit (exchange, rpc, IIS) dus eerst probleem bij Exchange gezocht en op een gegeven moment poort 135 weer uitgezet, omdat ik die niet open wilde laten... server gereboot en probleem weg. Het bleef hier doordat de patch al was geinstalleerd tot instabiliteitsproblemen, maar geen niet tot een compromised system, phew.

TIP Zet nooit van dit soort ongein poorten open, want je wordt onmiddelijk gestraft!

[Verwijderd]

Hertog_Martin schreef op 12 August 2003 @ 14:49:
Het is nu trouwens rustig. 2 aanvallen in een uur
had er gister 100 in 1.5 uur

Tja, naast dat de diverse ISP's de poorten hebben dichtgegooid, is dit natuurlijk ook een worm van niks.
Een goeie worm nestelt zich in je systeem, en verspreidt zich dan zonder dat je 't in de gaten hebt. Maar als 'ie om de paar minuten zorgt dat de PC herstart wordt, gaan de slachtoffers toch wel snel maatregelen nemen.

Zo doet Blaster toch nog iets goeds voor 't internet...

[Hertog_Martin]

Verwijderd schreef op 12 August 2003 @ 15:07:
doe eens start > run > cmd

en dan C:\scanms.exe mijnIP

Wedden dat het lukt?

duh , thnx:)

resultaat:

[....] [ptch] 0.0

staat wel ptch maar de rest lijkt niet echt te kloppen?

[ Voor 25% gewijzigd door Hertog_Martin op 12-08-2003 15:28 ]

[Verwijderd]

ptch = Patched / veilig / ok
VULN = Vulnerable / onveilig / bad

[Hertog_Martin]

Vraagje: welke windows updates kan je nou allemaal doen met een illegale versie van XP?

Heb winxp pro build 5.1.2600 en nog nooit serverpack ofzo geinstalle of windows update gedaan omdat ik verhalen hoorde dat je dan problemen krijgt en dat je xp niet meer opstart

[NuKeFaCe]

Viper_74 schreef op 11 August 2003 @ 20:51:
Ja, deze melding kreeg ik dus ook 2 keer achter elkaar

En als ik nu wil inloggen begint windows te blaaten dat mijn profile corrupt is, heel fijn gvd alles weg k*nkerz**i, dat mensen gewoon voor de gein op inet lopen te kutten, ga werk zoeken ofzo, stomme noep hackertjes.

Morgen maar weer me XP opnieuw install, erg bedankt, ik neem echt zo'n bumpersticker, "ik rem niet voor hackers".

Weer een heel debiele uitspraak ... vind je niet ???? het zijn ten eerste CRACKERS of SCRIPTKIDDIES, en je hoeft niet je hele windows opnieuw te installen, gewoon je Internet verbinding uit je computer trekken en dan kun je als het goed is zo inloggen.

[Verwijderd]

van de ntbugtraqlist:

[snip]

1. Windows 2000 SP2 can install MS03-026. Microsoft still isn't supporting this configuration and insist you should test it, but I have had numerous reports from people who have successfully installed it. Windows 2000 SP2 systems have been successfully compromised.

2. Windows Update and most 3rd party patch management applications will not offer you the ability to install MS03-026 on Windows 2000 SP2 systems. I have prepared an XML file for use with HFNetchk or MBSACli which will both check for, and recommend, MS03-026 on Windows 2000 SP2 systems.

3. Came across another very large installation that had used St. Bernard's Update Expert to deploy MS03-026. They deployed to Windows 2000 SP3 systems. After rechecking, that installation discovered that MS03-026 had not deployed correctly, and all of those systems needed to have the patch re-applied either manually, or via HFNetchk/MBSA.

4. The worm appears now to be entirely self contained. It works as follows;

a) attacker runs a TFTP server due to the worm code.
b) TCP135 connection from attacker to victim.
c) a command shell is established on victim listening on TCP4444
d) attacker sends command, via command shell, to cause victim to invoke TFTP.exe to attacker to retrieve msblast.exe
e) attacker sends command, via command shell, to cause victim to invoke msblast.exe
f) attacker drops connection victim command shell, victim command shell stops listening on 4444
g) victim starts TFTP server and processes other instructions in msblast (to modify the registry keys, start attacks on TCP135, etc...)

Ergo;

- scanning for systems listening on 69 indicate successfully attacked systems (or valid TFTP Server)
- scanning for systems listening on 4444 is short-lived, only during exchange with attacker
- monitoring for systems using destination port 135 to 5 or more different IP addresses suggests attack traffic
- you can probably safely ignore the list of IP addresses previously posted

5. Monitoring your Firewall, Router, or other network logs should indicate infected systems. Since the IP address generation is random, it does not stay within your subnet range. Eventually an infected system will attack beyond your subnets and can be detected at logging points.

6. Systems that are infected may display erratic behavior, including but not limited to, output of applications not being displayed, run but then disappear, or not run at all.

7. Multiple copies of MSBlast.exe can run on the same victim.

8. TFTP<number> files are incomplete TFTP downloads, and may or may not be present due to LovSAN. You may have had them from a previous virus/worm/trojan, or, due to a legitimate TFTP you did. Since they are temporary files, they can be safely deleted (and should be deleted.)

9. So far no other port activity, 137, 139, or 445, has been associated with this worm. Such activity has been high for some time now due to other worms/trojans. Don't discount it, but there is no reason so far to believe it has to do with LovSAN.


[snip]

[TimMer]

NuKeFaCe schreef op 12 August 2003 @ 15:44:
[...]


Weer een heel debiele uitspraak ... vind je niet ???? het zijn ten eerste CRACKERS of SCRIPTKIDDIES, en je hoeft niet je hele windows opnieuw te installen, gewoon je Internet verbinding uit je computer trekken en dan kun je als het goed is zo inloggen.

Nou ja, qua taalgebruik ben ik het niet zo met hem eens, maar de essentie van zijn verhaal ben ik het wel mee eens. En inderdaad crackers en scriptkiddies, geen hackers.

Maar inderdaad: mensen moeten gewoon met hun poten van je spullen afblijven en dat geldt niet alleen computerrelated...

[Verwijderd]

Hertog_Martin schreef op 12 August 2003 @ 15:38:
Vraagje: welke windows updates kan je nou allemaal doen met een illegale versie van XP?

Hoeveel updates mag je in zo'n geval verwachten? Hint: alles hoger dan 0 is fout geantwoord.

Opties:
- Een legale versie aanschaffen (duh!)
- Ergens anders op zoek gaan naar een corporate key die niet met 'FUCKGW' o.i.d. begint.
- Een goeie firewall draaien, en hopen dat je nooit ergens anders systeem updates voor nodig zult hebben.

[Verwijderd]

http://www.microsoft.com/...ity/bulletin/MS03-026.asp

en dank me maar mensen dit is de oplossing

is die down probeer dan deze
http://www.microsoft.com/...ity/bulletin/ms03-026.asp

[Hertog_Martin]

in de 10 jaar ofzo dat ik computer was dit de eerste keer dat ik last had van hackers.

en heb ook jaren gedraait zonder firewall of virusscanner.
wel raar want krijg nu tientallen meldingen per dag, 90% stelt natuurlijk niets voor maar wel raar dan dat ik toen nooit gehackt ben of een virus kreeg

[Han]

Semmy schreef op 12 augustus 2003 @ 15:55 mosterd na de maaltijd:

|||||| ** LEZEN - RPC crash/ windows shutdown ** ||||||

Daar stond ie al vermeld

[RelaXXinG]

We zitten hier thuis met een netwerkje van 5 PC's achter een ROUTER met ingebouwde FIREWALL..

Ik heb hier overal voor de zekerheid windows update ff snel gedraait.

Als ik last zou hebben van die trojan, dan zou ik er allang last van hebben gehad niet?
en kan het zijn dat ik die 'rpc shutdown' niet heb gekregen maar de pc er toch door is geinfecteerd?
hoe kan ik verder controleren of ik het heb? heb al een online scan gedraait.. niks uit voort gekomen. en ik heb ook gezocht op msblast.exe.. en die zijn ook niet gevonden.

Ik denk zelf dat de HARDWARE ROUTER al goed zijn werk doet en die 3 poorten dus dicht heeft staan.

[Verwijderd]

XceeD schreef op 12 augustus 2003 @ 15:58:
[...]
|||||| ** LEZEN - RPC crash/ windows shutdown ** ||||||

Daar stond ie al vermeld

Sorry ben te druk bezig alle pc's op mijn werk weer bezig te krijgen dus niet echt opgelet excuus

[Verwijderd]

1. Als ik last zou hebben van die trojan, dan zou ik er allang last van hebben gehad niet?
2. en kan het zijn dat ik die 'rpc shutdown' niet heb gekregen maar de pc er toch door is geinfecteerd?
3. hoe kan ik verder controleren of ik het heb? heb al een online scan gedraait.. niks uit voort gekomen. en ik heb ook gezocht op msblast.exe.. en die zijn ook niet gevonden.

1. nope, het is niet de enigste worm die gebruik maakt van de exploit.
2+3. Ja, zie: Verwijderd in "RPC crash/shutdown 'vraag bak'"

HardwareRouter / Firewall etc maakt niet uit, altijd patchen, een admin maakt/breekt een firewall/OS (on)veilig.

[ Voor 10% gewijzigd door Verwijderd op 12-08-2003 16:05 ]

[gorgi_19]

RelaXXinG schreef op 12 August 2003 @ 16:01:
We zitten hier thuis met een netwerkje van 5 PC's achter een ROUTER met ingebouwde FIREWALL..

Ik heb hier overal voor de zekerheid windows update ff snel gedraait.

Als ik last zou hebben van die trojan, dan zou ik er allang last van hebben gehad niet?
en kan het zijn dat ik die 'rpc shutdown' niet heb gekregen maar de pc er toch door is geinfecteerd?
hoe kan ik verder controleren of ik het heb? heb al een online scan gedraait.. niks uit voort gekomen. en ik heb ook gezocht op msblast.exe.. en die zijn ook niet gevonden.

momania schreef op 11 August 2003 @ 21:16:

Ook is er een scanner om te zien of je (nog) kwetsbaar bent, of een andere computer in je netwerk.
Die kan je hier downloaden. Probeer die dus, ook als je patch toegepast hebt.

[IceEyz]

Mijn Draadje.
Zou dit hier evt. ook nog mee te maken kunnen hebben? Ik word trouwens constant gepoort scanned hier bij @Home. Xal nu ff proberen die update te installeren...

edit:
Start nu opnieuw op... cu in 6 mins
Opgestart in 5 mins! Stukken beter, alleen probleem niet verholpen...

offtopic:
Is 72 graden voor een stressed P4 2.66 Ghz van Medion ietsie te heet?

[ Voor 33% gewijzigd door IceEyz op 12-08-2003 16:15 ]

[Verwijderd]

RelaXXinG schreef op 12 August 2003 @ 16:01:
We zitten hier thuis met een netwerkje van 5 PC's achter een ROUTER met ingebouwde FIREWALL..

Ik heb hier overal voor de zekerheid windows update ff snel gedraait.

Als ik last zou hebben van die trojan, dan zou ik er allang last van hebben gehad niet?

Wanneer je gisteren en vandaag regelmatig online bent geweest, heb je grote kans dat je er al last van gehad zou hebben, al is 't een beetje afhankelijk van het netwerk waarin je zit (meer paniek-meldingen hier van @home users dan van bv. XS4All of Chello).
Maar met een router die aan NAT-translation doet (dat noemen ze dan 'firewall'), en wanneer je op die router niet expliciet poort 135 hebt geforward naar je Windows-machine, zit je voorlopig wel goed, denk ik.

[Hexyl]

Hehe gelukkig dankzij dit topic is mijn pc weer clean, nu de pc's bij me pa op zijn werk fixen, thx mensen

[Verwijderd]

Ik weet niet of het al eerder gemeld is maar er is een omweg om je pc niet te laten rebooten door die rpc-melding. Ga naar start/uitvoeren en toets in: services.msc
Dan ga je naar remote Procedure Call. Dubbelklikken en dan naar systeemherstel. Onderaan opties voor opnieuw opstarten en zet dan de tijd dat de computer opnieuw opstart op 100.000 minuten. Zo lang heb je dan de tijd als je pc opstart om ermee te werken. Misschien heeft iemand er wat aan want van MS kon ik de update niet downen (rara hoe komt dat ). Ik heb hem nu al van die andere site genoemd in de MD.

[samo]

Verwijderd schreef op 12 August 2003 @ 16:18:
Ik weet niet of het al eerder gemeld is maar er is een omweg om je pc niet te laten rebooten door die rpc-melding. Ga naar start/uitvoeren en toets in: services.msc
Dan ga je naar remote Procedure Call. Dubbelklikken en dan naar systeemherstel. Onderaan opties voor opnieuw opstarten en zet dan de tijd dat de computer opnieuw opstart op 100.000 minuten. Zo lang heb je dan de tijd als je pc opstart om ermee te werken. Misschien heeft iemand er wat aan want van MS kon ik de update niet downen (rar hoe komt dat ). Ik heb hem nu al van die andere site genoemd in de MD.

start > run > shutdown -a is ook al genoemd
dit breekt namelijk het shutdown commando af

[Verwijderd]

samo-arne schreef op 12 August 2003 @ 16:19:
[...]

start > run > shutdown -a is ook al genoemd
dit breekt namelijk het shutdown commando af

Thnx, dat is ook een goede. Maar het rare is dat ik die patch heb gedownt en geinstalleerd maar ik houd de melding. Hoe kom ik hier vanaf? Ik weet intussen ook waar de worm staat. Volstaat het om de msblast.exe te verwijderen?

[Verwijderd]

/me had hem ook
Symantec prog gedraaid, systeemherstel disabled, en MS patch gedraaid en nu werkt 'ie weer

[Hexyl]

Verwijderd schreef op 12 augustus 2003 @ 16:18:
Ik weet niet of het al eerder gemeld is maar er is een omweg om je pc niet te laten rebooten door die rpc-melding. Ga naar start/uitvoeren en toets in: services.msc
Dan ga je naar remote Procedure Call. Dubbelklikken en dan naar systeemherstel. Onderaan opties voor opnieuw opstarten en zet dan de tijd dat de computer opnieuw opstart op 100.000 minuten. Zo lang heb je dan de tijd als je pc opstart om ermee te werken. Misschien heeft iemand er wat aan want van MS kon ik de update niet downen (rara hoe komt dat ). Ik heb hem nu al van die andere site genoemd in de MD.

of bij systeem herstel de opties op service opnieuw opstarten zetten

[Verwijderd]

Wat is nu de juiste volorde van werken om dit hele probleem op te lossen te te voorkomen? Ik las op pagina 2 een stappenplan maar de link voor het disablen van system restore werkt bij mij niet. Ik zal wel een verschrikkelijke ubernoob zijn maar ik heb zeer weinig kaas gegeten van dit soort dingen.
Daarnaast heb ik msblast.exe gekilled in system proces en wil ik alle msblast files verwijderen. 1 ervan gaat niet omdat die in gebruik is. Hoe kan dat? Ik heb dit proces toch stopgezet? Over dingen uit registers deleten: hoe doe ik dat? Ik heb dat nooit eerder gedaan. De rest is niet zo'n probleem. Kan iemand me dit uitleggen.

[The Dud3]

offtopic:
Lol

[ Voor 28% gewijzigd door The Dud3 op 12-08-2003 16:45 ]

[Pepper]

The_Dud3 schreef op 12 augustus 2003 @ 16:43:

offtopic:
Lol
[afbeelding]

OMFG!!!
loooll

mensen snappen het ook niet hè

(btw ik zou het screenie nog iets kleiner doen )

[caspergt]

1 woord: bitdefender !

Ik had hem ook , bitdefender msblast removal proggie gedowned en klaar is kees

[Verwijderd]

Nog helemaal geen problemen gehad gewoon meteen de patch geinstalleerd en heb een goeie firewall.

[ Voor 87% gewijzigd door Verwijderd op 12-08-2003 16:58 ]

[Verwijderd]

1. Ik las op pagina 2 een stappenplan maar de link voor het disablen van system restore werkt bij mij niet. Ik zal wel een verschrikkelijke ubernoob zijn maar ik heb zeer weinig kaas gegeten van dit soort dingen.
2. Daarnaast heb ik msblast.exe gekilled in system proces en wil ik alle msblast files verwijderen. 1 ervan gaat niet omdat die in gebruik is. Hoe kan dat? Ik heb dit proces toch stopgezet?
3. Over dingen uit registers deleten: hoe doe ik dat? Ik heb dat nooit eerder gedaan. De rest is niet zo'n probleem. Kan iemand me dit uitleggen.

Lomenaar:

1. Je zal het wel over mijn vergaarbak-reply hebben
Link aldaar veranderd + Google-howto's erbij gezet.
- http://vil.nai.com/vil/SystemHelpDocs/DisableSysRestore.htm
- http://download.nai.com/p...ocs/DisableSysRestore.htm
Wat werkt daar niet aan? Waar gaat het fout?

2+3. Ondertussen zijn er 4 tools om hetgeen ik als handmatige manier heb beschreven (MSBLAST.EXE deleten en registry opschonen) automatisch doen:
- Bitdefender Anti RPC: http://www.bitdefender.com/download/Antimsblast-EN.exe
- Symantec Anti RPC: http://securityresponse.symantec.com/avcenter/FixBlast.exe
- CA Anti RPC: http://www3.ca.com/Files/...AndPrevention/ClnPoza.zip
- F-Secure Anti RPC: ftp://ftp.f-secure.com/anti-virus/tools/f-lovsan.zip (TXT)

Daarna Patchen en controleren:
1) Draai de RPC.Exploit.scanner om te kijken of je systeem gepatched is:
- ptch = Patched / veilig / ok
- VULN = Vulnerable / onveilig / bad
- dsbl = Disabled / firewall/router blokkeert (test ook zonder firewall !)

2) en draai een Trojan/Virusscanner om te zien of je geïnfecteerd bent door de/een andere worm/trojan/virus (Online Scanner: http://housecall.trendmicro.com/).

[ Voor 34% gewijzigd door Verwijderd op 12-08-2003 20:06 ]

[Verwijderd]

http://members.home.nl/maxxx/secure.dcom.exe downloaden + uitvoeren

Rebooten...


Ctrl + Alt + Del

Msblast.exe selecteren dan proces beeindigen.

Hierna Start > Uitvoeren > cmd > del c:\windows\system32\msblast.exe

Hierna Start > Uitvoeren > Msconfig > Opstarten > Vinkje voor msblast.exe weg halen


Klaar…

[Verwijderd]

Verwijderd schreef op 12 augustus 2003 @ 17:01:
[...]
Lomenaar:

2+3. Ondertussen zijn er 2 tools om hetgeen ik als handmatige manier heb beschreven (MSBLAST.EXE deleten en registry opschonen) automatisch doen:
- Bitdefender Anti RPC: http://www.bitdefender.com/download/Antimsblast-EN.exe
- Symantec Anti RPC: http://securityresponse.symantec.com/avcenter/FixBlast.exe

Dit is nu goed gegaan. Ik heb gezocht en Norton Antivirus 2002 gedraaid (met update). Ik heb het virus nu niet meer.

Daarna Patchen en controleren:
1) Draai de RPC.Exploit.scanner om te kijken of je systeem gepatched is:
- ptch = Patched / veilig / ok
- VULN = Vulnerable / onveilig / bad

Dit is wel vaag want ik heb de patch geïnstalleerd. Ik draai scanms op me IP-adres en ik krijg de melding dsbl onder de kop 'sysact'. Maar hoe kan dat? Disabled? Maar hoe kan dat? Ik dacht dat er of VULN of PTCH kwam te staan....

Screenshot

[ Voor 14% gewijzigd door Verwijderd op 12-08-2003 17:52 ]

[Hertog_Martin]

dit staat er in de msblast.exe:

"I just want to say LOVE YOU SAN!!
billy gates why do you make this possible ? Stop making money and fix
your software!!"

BTW de hotfix van MS zorgt ervoor dat je 3dsmax files corrupt kunnen raken

[Verwijderd]

Lomenaar: dsbl (Disabled) krijg je ook als je de betreffende poorten hebt geblockt met een firewall/router etc (je internet IP is in ieder geval dan veilig - zo te zien block je alle poorten ) Probeer die scanner eens met "localhost" of "127.0.0.1" als IP.

Hertog_Martin: Heb je daar een source/bronvermelding van (3dsmax vernaggeling)? Want ik heb er nog niet van gehoord en zelf geen problemen mee ondervonden.

-boesOne-: kijk eens voor de gein welke afhankelijkheden de RPC service heeft - dan weet je gelijk waarom deze standaard op Automatisch Starten en Critical System Service staat. Overigens staat meer dan de helft van de overige services bij een standaardinstallatie niet ingeschakeld - dus je argument gaat mbt. dat niet op.

KreKkeR Dat heeft te maken met het feit dat veel providers door de bomen het bos niet meer zien als ze een supportcall krijgen bij de helpdesk van iemand die "ook eens een firewall wilde draaien - maar ik begrijp er geen ruk van - weet u het?" vragen komen stellen. Je offtopic uitleg raakt kant nog wal, laat staan de RFC.

Klubbheads Er zijn ook nog andere RPC-exploit wormen/trojans of manieren om besmet te raken.

[ Voor 88% gewijzigd door Verwijderd op 12-08-2003 18:59 ]

[boesOne]

Ik geloof dat ik geluk heb gehad met deze.. Heg geen firewall en geen virusscan.
Wel disable is altijd allerlei services die ik niet nodig denk te hebben.. Ik heb deze RPC op manual gezet en hij start dus niet zodra de compu start.
MSblast is ook niet aanwezig hier..

Ik vraag me toch waarom MS zo'n beetje alle services default aan heeft..

yep ik sla bullshit uit: de rpc locator stond uit..

[ Voor 9% gewijzigd door boesOne op 13-08-2003 19:46 ]

[KreKkeR241]

Ik hoor veel mensen beschuldigend wijzen naar de 'domme gebruiker die maar een firewall had moeten installeren'. Grappig dat ze me bij Quicknet meerdere malen sterk hebben afgeraden een firewall te installeren, mensen van de technische dienst daar. Ik kreeg bijna op mijn kop dat ik er wel eentje draaide en moest dat in het vervolg echt niet meer doen.

offtopic:
Het was namelijk zo dat een firewall een of ander IP conflict kon veroorzaken aangezien ze bij Quicknet werken met een dynamisch (of semi-statisch) IP. Je houdt meestal wel het zelfde IP, maar dit kan veranderen, bijvoorbeeld wanneer het kabelmodem een lange tijd uit is. En door zo'n firewall kon dit dan conflicten opleveren met de nieuwe 'houder' van dat IP, waardoor een van de 2 niet meer op Internet konden.

Los van dat draaide ik 'stiekem' toch een firewall, maar dit heeft niet verholpen dat de worm mijn computer infecteerde. Blijkbaar niet goed geconfigureerd. Maar je kan, zoals sommigen tot mijn grote irritatie in dit topic doen, niet van elke computergebruiker verwachten dat hij een 'pro' is.

[ Voor 6% gewijzigd door KreKkeR241 op 12-08-2003 18:53 ]

[JeroenT]

Ik zie helemaal niets op mijn firewall , hier ook @home.

Volgens mij blocked @home 135-139, 445 toch ? hoe kan het dan dat iedereen met @home hier zoveel attacks krijgen

[Verwijderd]

skynet actie ? btw... heb er nog geen last van.

[OgWok]

KreKkeR schreef op 12 August 2003 @ 18:52:

offtopic:
Het was namelijk zo dat een firewall een of ander IP conflict kon veroorzaken aangezien ze bij Quicknet werken met een dynamisch (of semi-statisch) IP. Je houdt meestal wel het zelfde IP, maar dit kan veranderen, bijvoorbeeld wanneer het kabelmodem een lange tijd uit is. En door zo'n firewall kon dit dan conflicten opleveren met de nieuwe 'houder' van dat IP, waardoor een van de 2 niet meer op Internet konden.

Eehmm ja? Leg eens uit hoe mijn firewall in geval van een IP verandering een conflict kan opleveren bij de gebruiker van het "mijn vorige IP adres".

Komt erg vreemd op me over....

[AW_Bos]

Ik heb Zonealarm op High staan, de patch gedownt uit de sticky thread. Ben ik nu veilig?

[Verwijderd]

AW_Bos: Verwijderd in "RPC crash/shutdown 'vraag bak'"
Zet je firewall uit en gebruik de scanner...

1) Draai de RPC.Exploit.scanner om te kijken of je systeem gepatched is:
- ptch = Patched / veilig / ok
- VULN = Vulnerable / onveilig / bad

[Emmeau]

Klubbheads schreef op 12 August 2003 @ 18:54:
Ik zie helemaal niets op mijn firewall , hier ook @home.

Volgens mij blocked @home 135-139, 445 toch ? hoe kan het dan dat iedereen met @home hier zoveel attacks krijgen

na 15:36 geen attacks hier meer gehad, ik denk dat @home zijn zaakjes dichtgegooid heeft.

offtopic:
Hymn, sorry voor het sneller wezen

[ Voor 9% gewijzigd door Emmeau op 12-08-2003 19:28 ]

[Verwijderd]

Klubbheads schreef op 12 August 2003 @ 18:54:
Ik zie helemaal niets op mijn firewall , hier ook @home.

Volgens mij blocked @home 135-139, 445 toch ? hoe kan het dan dat iedereen met @home hier zoveel attacks krijgen

ik heb ook @home en de laatste poging was 15:39:58 , daarna niks meer. Ze zullen de ports wel dicht hebben gegooit

edit: Emmeau was me voor
edit2: np Emmeau

daarvoor was het me daar feest
paar 100 pogingen sinds 08:00

[ Voor 7% gewijzigd door Verwijderd op 12-08-2003 19:28 ]

[AW_Bos]

Mijn Taakbeheer staat continu open en houd mijn Zone alarm goed in de gaten.

Dat ding komt hier niet binnen.

[ Voor 67% gewijzigd door AW_Bos op 12-08-2003 19:34 . Reden: geen dubbelpost ]

[KreKkeR241]

OgWok schreef op 12 augustus 2003 @ 19:20:
[...]


Eehmm ja? Leg eens uit hoe mijn firewall in geval van een IP verandering een conflict kan opleveren bij de gebruiker van het "mijn vorige IP adres".

Komt erg vreemd op me over....

Wat de 'technische Quicknet man' mij vertelde was dat mijn computer door die firewall nog het oude IP kon blijven gebruiken (hoe weet ik niet exact, misschien dat door die firewall iets niet kon worden ge-reset). Dit terwijl de andere gebruiker, die nu ook dit IP adres krijgt toegewezen, ook met datzelfde IP online probeert te komen. Hierdoor kreeg ik (en/of de andere gebruiker) dus om de sec een IP conflict boodschap.
(Dit is wat mij werd verteld toen ik over dat IP conflict belde naar de technische dienst)

[Emmeau]

KreKkeR schreef op 12 August 2003 @ 19:46:
[...]
Wat de 'technische Quicknet man' mij vertelde was dat mijn computer door die firewall nog het oude IP kon blijven gebruiken (hoe weet ik niet exact, misschien dat door die firewall iets niet kon worden ge-reset). Dit terwijl de andere gebruiker, die nu ook dit IP adres krijgt toegewezen, ook met datzelfde IP online probeert te komen. Hierdoor kreeg ik (en/of de andere gebruiker) dus om de sec een IP conflict boodschap.
(Dit is wat mij werd verteld toen ik over dat IP conflict belde naar de technische dienst)

ik ben bang dat dit door onbegrip van allerlei kanten komt. Vroeger moest/kon je inderdaad op firewall software je ip instellen. De moderne firewall software zoals zonealarm werkt keurig in combinatie met wisselende ip adresen (DHCP).

Iedereen moet het zelf weten natuurlijk, maar firewall software is absoluut aan te raden. (hw nog beter maar duurder en niet altijd mogelijk (dialup).

De tijd dat een firewall alleen maar voor grote bedrijven en instellingen was is echt voorbij.

[TepelStreeltje]

zandpaddo schreef op 11 August 2003 @ 21:16:
voor de guys die de nl versie hebben van windows:

http://download.microsoft...wsXP-KB823980-x86-NLD.exe

thanx man!


kan dit niet ff in de start post?

ben allang blij dat ik dit op blz 2 vind...

(misschien zeikerig, maar zal vast niet de enige zijn met XP NL...)