smashIt hat geschrieben:und wegen patch: ich glaub das sasser-loch war bereits über n monat VOR erscheinen des wurms gestopft. es warn blos alle zu faul den patch zu installiern.
Ja, war es, ebenso wie bei Blaster. Programme wie XP Antispy, die erstmal lustig das Autoupdate deaktivieren, taten zusammen mit dem Desinteresse der Nutzer ein Ãœbriges dazu, dass Blaster funktioniert hat. Traurig ist, dass sich EXAKT DAS GLEICHE SPIEL mit Sasser wiederholt hat.
You guess they'd learn...
Clow Leed hat geschrieben:Blaster nutzt TFTP - "Trivial File Transfer Protocol", was in XP als "TFTP.exe" heisst. Wenn ihr den Blaster XP Patch nicht habt, achtet mal auf eure Prozesse
. Win98 ist sicher, da kein TFTP!
Quark. Blaster nutzt im häufigsten Fall eine Sicherheitslücke im RPC-Dienst von Windows NT seit einschließlich Version 4.0 aus - somit sind die alten, DOS-basierten Windowse, die keinen NT4-basierten RPC haben, natürlich nicht betroffen. TFTP läuft auf Windows XP und 2000 standardmäßig nichtmal und ist somit relativ irrelevant für die Verbreitung von Blaster.
Der RPC-Dienst dagegen ist sehr wohl relevant und durchaus nützlich - RPC, Remote Procedure Call, ist ein für die Kommunikation zwischen Programmen sowohl lokal als auch über Netzwerke verwendetes Verfahren. Durch einen Bug im RPC-Dienst ist es unter ungepatchten NT-Systemen möglich, den RPC-Dienst zum Absturz zu bringen (was auch der Grund ist, wieso Rechner bei einem Infektionsversuch neu starten - NT bemerkt, dass ein wichtiger Dienst abgeschmiert ist und startet deshalb den Rechner neu) und eigenen Programmcode ins System einzuschleusen - dies ist genau das, was Blaster tut.
Der eigene Code bei Blaster ist an sich sogar relativ harmlos - er tut nichts anderes, als zufällig generierte IP-Adressen über die exakt gleiche Sicherheitslücke anzugreifen (sprich, sich selbst zu verbreiten) und an einem vorgegebenen Datum zu versuchen, eine Anfrage an die (damalige) Webseite von
SCO zu schicken. Wenn das ein paar hunderttausend Rechner auf einmal tun, wäre der Server, auf dem die Seite liegt, natürlich ruck-zuck überlastet gewesen. Die Lücke könnte natürlich auch bösartiger ausgenutzt werden, aber weder Blaster noch Sasser haben "richtige" Schadroutinen außer der Infektion.
Sasser nutzt eine Lücke aus, die prinzipiell genau gleich funktioniert wie die bei Blaster, nur dass sie in einem anderen Dienst steckt - dem Local Security Authority Service (LSASS - fragt mich nicht, woher das zweite S am Ende kommt). Der LSASS ist grundsätzlich mal dafür da, die Gültigkeit von Benutzerlogins zu überprüfen und somit auf NT-Systemen, die für Mehrbenutzerbetrieb ausgelegt sind, standardmäßig aktiv und ebenfalls durchaus wichtig. Auch hier zeigt sich deshalb das gleiche Verhalten mit dem System, das sich selbst neu startet, weil ein wichtiger Dienst abgestürzt ist.
Informationen zum
LSASS und zu
RPC 
)
!
Sicher? Selbst getestet?