Blaster Worm Entfernung / Information / Links

Wurde ja schon ziemlich viel geschrieben, denke es lohnt sich mal alles zusammenzufassen:

VIRINFO 03/007 vom 13.08.2003

Entfernung des Wurms W32.Blaster.Worm alias W32/Lovsan.worm
Der Wurm W32.Blaster.Worm greift Rechner aus dem Internet an.
Dabei wird ein Angriffsversuch auf alle moeglichen Betriebssysteme
durchgefuehrt.

Angreifbar sich jedoch nur NT-basierende Betriebssysteme. Dies sind
speziell Windows NT, Windows 2000, Windows XP und Windows 2003.
Windows 98 und Windows Me sind von dem Wurm nicht betroffen.
W32.Blaster.Worm nutzt dabei eine bekannte Sicherheitsluecke in den
genannten Betriebssystemen aus.

Weitere Informationen finden Sie in der Beschreibung zum Wurm unter
<http://www.bsi.bund.de/av/vb/blaster.htm>.

Der Download der Programme wird insbesondere bei Windows XP-Rechnern
immer wieder durch einen Neustart unterbrochen. Dieser Prozess kann
abgebrochen werden. Sobald eine Meldung erscheint, dass der Rechner
heruntergefahren werden muss, klickt man im Startmenue auf
"Ausfuehren...". In der dann angezeigten Eingabezeile wird der Befehl
"shutdown -a" eingeben und mit OK bestaetigt:

Vorgehensweise beim (moeglichen) Befall:

1. Schliessen der Sicherheitsluecke des Betriebssystems:
Microsoft stellt ein sog. Hotfix fuer die Sicherheitsluecke bereit.
Informationen dazu und das Hotfix-Programm finden Sie bei
Microsoft:
<http://www.microsoft.com/technet/sec...n/MS03-026.asp>

2. Suchen und Entfernen des Wurms
Laden Sie eines der speziellen Entfernungstools von Symantec
oder NAI. Mit diesen Programmen koennen Sie den Rechner nach dem
Wurm durchsuchen und moegliche Infektionen entfernen.
<http://vil.nai.com/vil/stinger/>
<http://securityresponse.symantec.com...ter/venc/data/
w32.blaster.worm.removal.tool.html> (Achtung Zeilenumbruch!)

3. Setzen Sie ein aktuelles Viren-Schutzprogramm ein.

4. Zusaetzlichen Schutz bietet eine Firewall, die derartige Angriffe
verhindern kann. Hierbei muss eine Regel definiert werden, die
den Port 135/TCP (incoming) blockiert. Darueberhinaus sollten die
Ports 69/UDP und 4444/TCP ueberwacht werden, welche vom Wurm zur
Kommunikation ueber das Internet genutzt werden.

Symantec hat ein Tool zur Entfernung rausgebracht. Den Exploit den der Wurm verwendet lässt sich mit einem MS-Patch ausbügeln.

Links:
symantec

Microsoft Patch/Information

So, und rumjammern hilft nichts. Wer mit offenem Netbios surft ist selber Schuld. Oder nicht patcht. Aber wem sag ich das eigentlich.

greetz
out