Hoofdcategorieën

[RSS] Index » Nieuws » Pro » Internet » Nieuwe worm maakt razendsnel misbruik van lek in RPC

Nieuwe worm maakt razendsnel misbruik van lek in RPC

Door Robin Vreuls, dinsdag 12 augustus 2003 10:37
Bron: CERT Advisory, views: 5.892

Het zal misschien een enkele keer voorgekomen zijn dat de afgelopen dagen een Windows NT-machine opeens een een reboot nodig had vanwege een gestopte Remote Procedure Call-service, maar vandaag is het geweld echt losgebarsten. Systemen waarop sinds 16 juli geen update meer is uitgevoerd, kunnen aangevallen worden door de worm W32.Blaster. Deze komt via TCP-poort 135, 139 of 445 binnen en gebruikt een backdoor shell command waardoor de RPC-service afgesloten wordt en de machine automatisch een shutdown krijgt. Daarnaast zullen geïnfecteerde pc's vanaf 16 augustus DDoS-aanvallen uitvoeren gericht op de Windows Update-site. Computers uitgerust met Windows NT 4.0 of hoger kunnen kwetsbaar zijn. Het gebruik van een firewall kan misbruik van de exploit nog wel enigszins beperken, maar het wordt toch aangeraden de patch te installeren. Microsoft heeft op deze TechNet-pagina alle benodigde informatie bij elkaar gezet:

Internet wormRemote Procedure Call (RPC) is a protocol used by the Windows operating system. RPC provides an inter-process communication mechanism that allows a program running on one computer to seamlessly execute code on a remote system. The protocol itself is derived from the Open Software Foundation (OSF) RPC protocol, but with the addition of some Microsoft specific extensions.
Volgende 11:09
Vorige 10:34

Categorieën

Gerelateerde artikelen

Meuk updates

Reacties

Flat modeFlat mode Sorteer aflopendSorteer aflopend Moderatie FAQModfaq
Niveaufilter: -1 Ongewenst: 247 reacties zichtbaar2470 Neutraal: 241 reacties zichtbaar241+1 Meerwaarde: 70 reacties zichtbaar70+2 Verplicht leesvoer: 22 reacties zichtbaar22
«  1  2  3  4  ...  12  13  »

Door Defo, dinsdag 12 augustus 2003 10:39

Score: 2
Gisteren was het ook erg merkbaar op irc!!

Even wat nuttige links:
Info over de worm:
http://securityresponse.symantec.com/avcenter/venc/data/w32.blaster.wo rm.html

Een removal tool:
http://securityresponse.symantec.com/avcenter/venc/data/w32.blaster.wo rm.removal.tool.html

Microsoft Security Bulletin:
http://www.microsoft.com/technet/treeview/default.asp?url=/technet/sec urity/bulletin/MS03-026.asp

Securityfocus:
http://www.securityfocus.com/bid/8205/info

De patches:
Windows 2000:
http://microsoft.com/downloads/details.aspx?FamilyId=C8B8A846-F541-4C1 5-8C9F-220354449117&displaylang=en

Windows XP:
http://microsoft.com/downloads/details.aspx?FamilyId=2354406C-C5B6-44A C-9532-3DE40F69C074&displaylang=en

Door egeltje, dinsdag 12 augustus 2003 12:57

Score: 2
En voor de mensen die geen RPC nodig hebben in Win2k, je kunt bij de Advanced properties van je TCP/IP protocol instellen welke poorten actief geblokt moeten worden (alles default open), of welke poorten actief geopend moeten worden (alles default dicht). Dat doe je bij de TCP/IP filtering in het Options tabje...

Door EfBe, dinsdag 12 augustus 2003 13:50

Score: 0
Was het maar zo simpel. Microsoft echter heeft daar een subtiele blunder begaan, je kunt nl. NIET zeggen welke poorten je wilt blocken. Je kunt alleen een lijst poorte opgeven (per poort, ook lekker handig) welke je open wilt hebben. Ipv dat je dus opgeeft: block 135, 138, 139, 445, moet je alle poorten opgeven die je open wilt hebben. Als je server mail, ftp, www, terminal server, en nog wat zaken draait, dan ben je nog wel ff bezig om alle poorten in te vullen, plus ik weet bv niet of een uitgaande poort op 34321 oid wel open mag of niet, de documentatie zegt daar weinig over.

Door pfismvg, dinsdag 12 augustus 2003 15:28

Score: 2
Toch is dit juist 1 van de weinige keren dat MS niet blundert.

Een goed firewall begint met alle poorten dicht. Een juist goede bijwerking ervan is dat een administrator gedwongen wordt te gaan kijken welke poorten waarvoor zijn, in plaats van maar wat prutsen (zoals jij dus nu waarschijnlijk doet)

Door Z!oN, dinsdag 12 augustus 2003 22:21

Score: 0
bij een firewall waar je jezelf trust kun je sowiso al het uitgaande verkeer openzetten en dan komen via de state automatisch de ingaande poorten ook open, tenminste zo gaat het met linux/openBSD..

Maar het principe zal in windows wel hetzelfde zijn.

Door Strijder, woensdag 13 augustus 2003 04:13

Score: 0
@Marcel van Groenigen :
juist wel een grove fout, omdat het merendeel van de huis-, tuin- en keukengebruikers niets van al die poorten afweet. Ikzelf ook niet. Maar je staat wel raar te kijken als je pc opeens reboot ( zoals ik dus ), terwijl ik net daarvoor nog een complete systeemscan heb gedaan nadat ik de virusscanner heb geupdate.

Deze fout was in principe onbekend, totdat bekend werd dat het ook kon. Daarmee is gelijk dit virus gemaakt, maar ik vind het toch wel een grove aanfluiting dat het zo kan gebeuren. Weer eens.

Door rbs, woensdag 13 augustus 2003 05:17

Score: 1
@Strijder:
Dat zijn wereldse opmerkingen hoor hee, MS mag het niet te moeilijk maken (secure), maar het is wel een grove aanfluiting dat dit ineens zomaar kan gebeuren (niet secure.) |:(

Echt zo'n reaktie van: "Ik kan je de details niet vertellen, maar 1 ding is zeker, het wordt een rode."

Door darthdrinker, woensdag 13 augustus 2003 10:35

Score: 0
firewalls goed instellen is ook niet voor de huis tuin en keuken gebruiker, punt. Ik weet niets van auto's dus ga ik de auto van mijn vader ook niet proberen te tunen of in dit geval een inbraak alarm installeren. Als mij dat niet lukt is dat niet de fout van de auto fabrikant, maar dan komt dat omdat ik er te weinig van af weet.

Door Strijder, woensdag 13 augustus 2003 14:23

Score: 1
@rbs :
Het feit dat iemand iets niet zou weten maakt het feit dat het gewoon een grove fout is niet kleiner.
En misschien zijn het wel wereldse opmerkingen, MS had gewoon een beter produkt moeten maken.
Of je het er mee eens bent of niet.
Stel dat je een kluizenmaker bent, maar standaard staan alle kluizen open. Alleen als je verstand hebt van kluizen, dan weet je hoe en waarmee en waarom je die dingen dicht moet doen. Maar als je je produkt aan duizenden en duizenden 'onwetenden' verkoopt, is het dan hun schuld als er toch wat gestolen wordt ? En dan kritiek geven dat het ook nog je eigen schuld is ? Sorry, maar mensen die zo kort door de bocht gaan vallen vanzelf wel een keer om.

Door vormpie, woensdag 13 augustus 2003 20:49

Score: 0
Tja.... als alles van te voren al bekend is en word opgelost... dan hebben we niks te klagen....

Helaas voor ms... hoe goed ze hun product ook maken.... er zal altijd iemand kraken (mooie rijm heh?)

Ons kan dus altijd blijven zeggen dat ms een kutproduct heeft gemaakt...

Daar ben ik het niet mee eens
MS had gewoon een beter produkt moeten maken.
............................................. *diepe zucht...........

Door berzelius, donderdag 14 augustus 2003 00:08

Score: 0
Ok, voor eens en altijd: FOUTEN IN SOFTWARE ZIJN ONVERMIJDELIJK!!!

Als je mij niet gelooft, misschien dat je dan de NSA wel gelooft:
http://www.nsa.gov/selinux/doc/inevitability/inevitability.html

De NSA geeft deze onvermijdelijkheid op als een van de redenen dat softwarefabrikanten meer bekende beveiligingstechnieken zouden moeten ontwikkelen. De vraag is echter of pc's hierna nog wel zo bruikbaar zijn voor 'dummies', oftewel mensen zonder grondige IT-opleiding op universitair niveau.

Anyway, stop alsjeblieft met het vingertje wijzen naar Microsoft.

Door Max|Burn, vrijdag 15 augustus 2003 09:04

Score: 0
@Strijder

er was in Mei al een fix, ik vind het anders een vrij grove fout dat mensen hun OS-en niet onderhouden.

Door Einzeldrossel, dinsdag 12 augustus 2003 10:40

Score: 0
Ik heb hem hier in de winkel ook al op een demopc (zonder firewall) en heb al 3 klanten aan de telefoon gehad die hetzelfde probleem hadden.. das lekker

Door Outsync, dinsdag 12 augustus 2003 10:41

Score: 0
Gelukkig heb ik alle laatste updates :Y)

Door maartena, dinsdag 12 augustus 2003 18:15

Score: 0
Ik ook! Ik heb een week geleden nog alle servers die een open verbinding hebben met het internet (trouwens nog wel gefirewalled) al voorzien van de patch, en mijn twee thuismachines ook maar meteen voorzien.....

Door Frits Flits, dinsdag 12 augustus 2003 10:41

Score: 1
Poort 445 is voor de HTTPS. Dat is geloof ik een beveiligde internetsite o.i.d.
In mijn router staat deze poort open. Maakt het wat uit met het surfen als ik deze poort dichtgooi?

Inmiddels heb ik wel gepatcht. Van het weekend kreeg ik 2x deze melding namelijk.

Door wildhagen, dinsdag 12 augustus 2003 10:42

Score: 1
Poort 445 is NetBIOS.

HTTPS is poort 443...

Door KatirZan, dinsdag 12 augustus 2003 11:47

Score: 0
Al deze poorten zijn netbios : why : altijd open zonder firewall/router

Door epauli, dinsdag 12 augustus 2003 16:59

Score: 0
Port 137 t/m 139 zijn Netbios, dus niet 445.

Door OverSoft, dinsdag 12 augustus 2003 17:34

Score: 1
445 is toch echt ook netbios...

Door wildhagen, dinsdag 12 augustus 2003 18:26

Score: 1
Helaas voor jou. Port 445 is wel degelijk NetBIOS, alleen zit deze geloof ik alleen in Windows 2000 en hoger, niet in Win9x (NT4 weet ik niet zeker, maar volgens mij ook niet).
The SMB (Server Message Block) protocol is used among other things for file sharing in Windows NT/2000/XP. In Windows NT it ran on top of NetBT (NetBIOS over TCP/IP), which used the famous ports 137, 138 (UDP) and 139 (TCP). In Windows 2000/XP, Microsoft added the possibility to run SMB directly over TCP/IP, without the extra layer of NetBT. For this they use TCP port 445.
En
- UDP on port 445 is NetBIOS Datagram
(equivalent to rfc1001/2 port 138.
see rfc1002 section 5.3 Page 73).


- TCP on port 445 is NetBIOS Session
(equivalent to rfc1001/2 port 139.
see rfc1002 section 5.2 Page 66).

Door epauli, dinsdag 12 augustus 2003 22:29

Score: 0
epauli# cat /etc/services | grep "445"
microsoft-ds 445/tcp
microsoft-ds 445/udp
proxima-lm 1445/tcp #Proxima License Manager
proxima-lm 1445/udp #Proxima License Manager

Bij "microsoft-ds" denk ik niet gelijk aan Netbios.
Maar goed, het zal wel zo zijn :)

Door borft, woensdag 13 augustus 2003 12:28

Score: 0
het is ms domainservice... dat gaat ook via het smb protocol en dus ook netbios... maar je moet eigenlijk dit soort services altijd dichtzetten naar buiten, anders vraag je om narigheid. Bij een goeie firewall, imho, moet je alle inkomend porten vanaf buiten dichtzetten, behalve degene die echt nodig zijn voor services die je draait

Door DutchCommando, dinsdag 12 augustus 2003 17:55

Score: 1
De volgende poorten zijn Netbios:

[*] lpd tcp: 515
[*] MS-SQL TCP: 1433
[*] MS-SQL UDP: 1434
[*] TCP and UDP Ports: 135, 137-139, and 445
[*] UDP Port 593

Door nhimf, dinsdag 12 augustus 2003 10:42

Score: 1
Ik zal hier gelukkig geen last van hebben, die poorten staan lekker dicht op mijn linux servert.
Maar ik denk dat de update center vna ms de 16de wel de lucht uit zal gaan. Weinig mensen hebben enig idee van dit "gevaar" en al helemaal geen kaas gegeten van het oplossen ervan.
Kan nog een leuke zaterdag worden.

nmap benoemd de poorten zo:
135/tcp filtered loc-srv
139/tcp filtered netbios-ssn
445/tcp filtered microsoft-ds

Maar wat 135 nou is?

Heeft iemand een lijst van de well known ports?

[edit]
reactie op redfoxert:

Dit had ik eigenlijk zelf ook kunnen verzinnen |:(
De iana is verantwoordelijk voor het gezeur van de well known ports (alles onder de 1024)

Door Suleika, dinsdag 12 augustus 2003 11:08

Score: 0
135, daarmee werkten al de oudste scriptkiddie programmaatjes die gebruik maakten van Win95 exploits enzo, daar ken ik het van. Ook werd ik destijds regelmatig op die poort gescand, misschien werkten trojans er ook wel op...

Door packman, dinsdag 12 augustus 2003 11:24

Score: 0
Poort 135 is de poort waarop de RPC service zelf draait...

Door Olaf van der Spek, dinsdag 12 augustus 2003 12:18

Score: 0
Als je OS om de paar mins reboot dan hebben de meeste mensen wel door dat er iets niet in order is hoor.

Door Lord_BeeJee, dinsdag 12 augustus 2003 19:47

Score: 0
Niet als je met windows 95 werkt :D

Door TomR, woensdag 13 augustus 2003 00:15

Score: 1
Waren anders op irc genoeg mensen die het niet wisten.

Door nhimf, dinsdag 12 augustus 2003 10:50

Score: 0
Er zullen nog vele volgen, maar nu linux in opmars is, zullen er voor linux ook nog vele volgen.

Linux lijkt minder lek, doordat er minder wordt gedaan om de lekken te vinden.
Maar bijv windows 2000 (server?) heeft een certificaat gekregen dat het een bepaalde status heeft kwa beveiliging. Zoek maar eens in het nieuwsarchief hier. Dus zo heel lek is windows niet (meer). Het lijkt alleen maar zo.

Door DavidAxe, dinsdag 12 augustus 2003 14:28

Score: 1
Het is onzin om te denken dat er minder naar Linux exploits wordt gezocht, maar doordat het Open Source is zullen de ontwikkelaars veel eerder attent gemaakt worden op de fouten die ze gemaakt hebben.

Verder kan iedereen wel een certificaat maken dat waarin verklaart wordt dat bepaalde software veilig is. Het is verstandiger te kijken hoeveel gaten er gedicht zijn in het verleden, dat zegt tenminste nog iets over de robuustheid.

Inderdaad, Windows lijkt alleen maar lek B-)
Code Red, SQL worm .... etc.

Door L4m0r, dinsdag 12 augustus 2003 10:54

Score: 2
ik denk niet echt dat dit de topic is vind je ook niet?

hou de 'windows zuigt' en 'linux rulez' opmerkingen lekker voor je.

Verder weet ik ook nog wel een leuke exploit te vinden in zo ongeveer elke linux distributie die gebruik maakt van de realpath(3) routine... DAT is pas een lek.

Dat je een linux server hebt betekent niet meteen dat je weet wat security is goed? Denk daar even aan volgende keer als je post.

Door deadinspace, woensdag 13 augustus 2003 14:21

Score: 1
Verder weet ik ook nog wel een leuke exploit te vinden in zo ongeveer elke linux distributie die gebruik maakt van de realpath(3) routine...
Dat is onzin; de recentelijk ontdekte realpath() off-by-one bug treft NetBSD, FreeBSD en OpenBSD, maar niet GNU/Linux systemen. Lees de bugtraq advisories maar eens goed door, en doe dat voortaan ook voordat je wat begint te roepen.

O, en overigens: NetBSD, FreeBSD en OpenBSD hebben er al lang updates voor uitgebracht (to be fair: MS heeft ook al enige tijd updates voor dit RPC lek).
DAT is pas een lek.
Nou doe je alsof het lek erger is dan het Windows RPC lek, wat simpelweg niet waar is.

De realpath() bug is een local root exploit. Je moet al een user op de machine hebben om van die exploit gebruik te kunnen maken. Dit is zeker een ernstige exploit, maar de Windows RPC exploit is een remote root exploit... Een aanvaller kan complete rechten over een machine krijgen, zonder dat een lokale user hebben vereist is. Dat is aanzienlijk ernstiger.

Door Suleika, dinsdag 12 augustus 2003 11:11

Score: 1
Kerel je bent 28, gedraag je daar eens naar.

Door ZenithalRavage, dinsdag 12 augustus 2003 10:43

Score: 2
Krijg nou tiete, daar heb ik dus gisteren en vanochtend veel last van gehad (spontane reboots), dit scherm kreeg ik te zien:
http://www.a-base.dds.nl/temp/shutdown.jpg

Heb ook patch nu installed en probleem lijkt eindelijk weg. (Had eerst NAT op router uitgeschakeld maar toch bleef het komen :o )

Door hott, dinsdag 12 augustus 2003 10:47

Score: 0
Je bedoelt je had NAT ingeschakeld (als hij uit staat is het logisch dat er iets doorkomt :+)

Door Cartewn, dinsdag 12 augustus 2003 11:42

Score: 0
[off-topic]Lijkt me niet, als ik NAT uitschakel op mijn router, worden de adressen niet meer vertaald en dus komt er helemaal niks meer aan op mijn interne netwerk.
[/off-topic]

Je zou zeggen dat mensen met een NAT router er weinig last van zouden hebben, die van mij stuurt alleen poorten door die ik nodig heb, en daar vallen deze drie volgens mij niet onder?

Door wauwwie, dinsdag 12 augustus 2003 12:55

Score: 2
Ookal gebruik je NAT (wat ik ook gebruik) dan nog zet je standaard alle poorten dicht die je niet gebruikt. Altijd de eerste defensie tegen onuitgenode gasten op je bak. Had je deze poorten dicht gezet dan ben je op het eerste gezicht al redelijk veilig bezig en had het niet uitgemaakt of je deze patch nou geinstalleerd had of niet.

Gebruik je de NAT functie van Routing and remote Access van Win2k dan kun je de betreffende poorten blokkeren in je filter list.

Kijk eens op www.grc.com en controleer of je poorten openstaan.

Door ]eep, dinsdag 12 augustus 2003 17:53

Score: 1
yup ik ook (bij mijn vriendin). Ik voelde mij al zo stom!

Ik heb het opgelost door de netwerkkaarten ut te schakelen. Maarja, dan heb je geen internet meer.

Je doet er niks aan, je kunt net 1 minuut na opstarten wat doen en dan krijg je die melding. NIks helpt (ik d8 1st svchost killen, maar dat werkt natuurlijk niet.)

[edit]
grappig: ik schijn het verholpen te hebben door het netwerk te deinstalleren. Mijn vriendin was ineens weer gewoon online. XP had natuurlijk een nieuwe netwerkkaart gevonden en zelf vast maar weer geinstalleerd. Maar met het tooltje blastfix was geen worm meer te bekennen!

Door TWBMS, dinsdag 12 augustus 2003 10:44

Score: 0
gisteravond had een maatje van mij al problemen met dit virus. we dacht eerst aan een trojan, maar toen ik later op de norton site keek ging er een lichtje branden bij mij.

symptomen zijn kon stand rebooten met een waarschuwing van te voren. tussen de processen staat een process genaamd msblast.exe. Beide zijn een teken van het virus.

* 786562 TWBMS

Door Henkie Penkie, dinsdag 12 augustus 2003 13:39

Score: 0
kon stand

Ik hoop toch niet dat je hier bedoelde "constant" ? :?

Door Mav ©, dinsdag 12 augustus 2003 10:45

Score: 0
Systemen waarop sinds 16 juli geen update meer is uitgevoerd, kunnen aangevallen worden
Jaja, 8 aug systeem opnieuw geinstalleerd en ge-updated. Maar mooi dat het gisteren raak was hier.

Gelijk gepatched en poorten dichtgetimmerd maar m'n pc is compleet over de flos.

Vrijdag installed met:

-Messenger
-Word
-McAfee 7.0

Door RIP-airco, dinsdag 12 augustus 2003 11:09

Score: 0
de patch staat nochtans toch al sinds 16 Juli online :)

Teken dat je op 8 aug niet goed geupdate hebt :)
«  1  2  3  4  ...  12  13  »

Op dit item kan niet meer gereageerd worden.

Volgende 11:09
Vorige 10:34
VNU Media logo Powered by True

© 1998 - 2008 Tweakers.net - Alle rechten voorbehouden

Uitgever van: