RPC Interface Buffer Overrun Vulnerability - MSBLASTER WORM

[][V][ATRIX™]

NOD32? Norton Official Defense? :mrgreen:

 

[Ser_Zile]

VEOMA je losa ideja NEkoriscenja av-programa i firewalla!!!!!!!!

(podesi firewall da te ne pita stalno - mene Kerio pita jednom u tri dana...)

(probaj NOD32 - stvarno malo opterecuje masinu, a vise puta je proglasavan za najbolji av-program!)

Zasto je ideja losa kad za ovih godinu dana nije bilo nikakvih problema sem ovog sada sto je zadesilo i one koji su imali AV? Da sam znao o cemu se radi ne bi on meni ni ovih pet puta restartovao masinu.
Mozda neki firewall i stavim koji nece smarati i iskakati zajedno sa nekim sirenama ali nortona na svojoj masini sigurno ni u snovima vise bas kao i druge AV programe.
Problem je sto ja ne bi da isprobavam sve te silne fw a ne znam koji da stavim i da sam miran jer svako hvali neki drugi

 

[silverglider]

Ako nisi imao ni av ni fw, kako znas da nisi imao nista?
I ovaj put je vise pomogao fw nego av; da si znao o cemu se radi, kako bi bez fw/av sprecio ovaj worm da ti resetuje masinu pet puta? Ubedjivanjem?

Mozda ljudi ovde hvale razlicite firewall programe, ali mnogo ih je free i razlika medju njima nije takva da jedan radi, a drugi ne radi. Tako da ne moras ti da isprobavas 5 razlicitih, nego uzmes jedan od tih preporucenih i zavrsis posao. Naravno, ni sa jednom programom nisi 100% "miran", ali nekakva zastita je sigurno bolja od nikakve. A ako ne zelis da instaliras nijedan av ili fw iz nekog svog predubedjenja, onda je to stvarno samo tvoj problem.

 

[vladojko]

Momci kad vec pricamo o ovome, najbolje resenje je hardverski firewall.
Evo ja imam ADSL, uradio sam upgrade modema SpeedTouch Home na SpeetTuoch510 (softverski), i sada modem radi takodje i kao ruter i NAT uredjaj. Ne moze niko da mi pristupi pa da rodi mecku. A ako hoces da ti neki portovi budu dostupni spolja, i to se podesi kao od sale...

Treba li da napominjem da mi se kompjuter samo jednom ugasio, i to onda kad sam napao sam sebe sa exploitom da vidim kako radi... kod mene tog virusa nigde nema ))

 

[silverglider]

A sta je hardverski firewall nego softver na nekom medijumu - bilo da je eprom, diskOnChip ili neki drugi tip diska?

 

[vladojko]

E sad, mnogo pametujes brale. Razlika je ogromna, to je poseban uredjaj, dok ono sto zovemo softverski firewall u ovoj prici je program koji radi pod Windowsom.

Hajde ti meni lepo reci zasto je PIX cenjen vise nego Checkpoint?

 

[silverglider]

Uff, sad ga ti mnogo pametujes, "brale". Kakve sad veze ima poredjenje dva modela sa ovim sta sam ja rekao? 'Hardverski' firewall jeste zasebni uredjaj, ali u njemu i dalje chuchi 'softverski' firewall koji izvrsava cpu u tom uredaju, a ne cpu klijent PC-ja. Jesi li ikada otvorio taj Cisco PIX da vidis sta ima unutra? Najobicnija PC osnova, samo sto vozi customized OS i njihov FW softver. Dakle, sasvim isti princip kao kada bi izdvojio jedan racunar u mrezi koji treba da sluzi kao internet server i stavio na njega firewall da stiti ostatak mreze od spoljnog sveta. Razlika je samo u tome sto je taj "hw" firewall vec optimalno pripremljen i ima samo tu ulogu. Cak i ovi mali uredjaji kao sto su kombinovani switch/router/firewall/access point predstavljaju isto, samo sto nije x86 cpu unutra i nema veci data storaga, tako da je fw funkcionalnost ogranicena. Cim hoces da dodas podrsku za razne stvari (VPN, DoS defence, itd) treba ti "jaca stvar" sa vecim storidzom na koji staje bolje uradjeni "softverski" firewall. Ali i dalje stoji: ukoliko imas rupu u firewall softveru, sasvim je svejedno da li se on nalazi u zasebnom uredjaju ili na klijent PeeCeeju.
Taj fw softver "hw" i "sw" kombinuje po potrebi potpuno iste fw strategije - packet filtering, application gateway, proxy i/ili masquerading, itd. Pitanje je samo ko ce napraviti bolji softver. Tako da razlika u firewallu nije ogromna, nego postoji razlika u konceptu i to pre svega zatvorenog OS-a fw uredjaja. Zbog te stavke jeste lepse imati izdvojen fw, bilo kao server, bilo kao zaseban uredjaj i to u nekoj mrezi jeste must, zbog najzdravije logike da je mrezu najlakse zastititi na jedinom ulazu/izlazu, nego da svaki klijent ima zaseban fw. Medjutim, za svakog kucnog korisnika sa dialup modemom? Mislim, jeste, imati dzip je svakako najbolje - mozda naidjes na dzombu na putu, ali za obicnog korisnika je i klasicni auto sasvim dovoljan. Jeste, zvuci kao otkrivanje rupe na saksiji, ali tako je i zazvucao tvoj komentar (ne znam kako drugacije da ga shvatim, osim da si hteo da se pohvalis adsl-om ) i to i dalje ne negira da se radi i dalje o softveru spakovanom u zasebno parce lima.

 

[Ser_Zile]

Ako nisi imao ni av ni fw, kako znas da nisi imao nista?
I ovaj put je vise pomogao fw nego av; da si znao o cemu se radi, kako bi bez fw/av sprecio ovaj worm da ti resetuje masinu pet puta? Ubedjivanjem?

Pa lepo nisam imao nista jer pogledam po registriju sta ima a kad sam kod nekog sa diskom onda pustim cisto onako sa tudjeg win-a da se skeniraju moji diskovi da bi bio siguran i nije nadjeno nista ali bas nista.
Vidim i sam da je vise pomogao fw nego AV i bas zato mozda i stavim neki, ali opet da sam znao o cemu se radi odma bih ukljucio windows update i resio problem bez dodatnog sw.

 

[vladojko]

"Tako da razlika u firewallu nije ogromna, nego postoji razlika u konceptu i to pre svega zatvorenog OS-a fw uredjaja." Eto vidis da znas. Firewall koji lezi na postojecem operativnom sistemu opste namene je potencijalno ranjiv koliko i taj operativni sistem. Znam ja odlicno sta je i kako rade PIX i Checkpoint i Raptor i Netscreen i jos kojesta, i da to nije za po kuci, ali o tome nisam ni zeleo da pisem

Doci ce dan kada ce i u Srbiji dial-up postati proslost, kao sto je sada u zapadnoj evropi. U normalnim zemljama se i taj softver koji se instalira na PC placa, i kosta manje vise slicno kao i zasebna kutija koja radi NAT, ne treba da bude to firewall uopste. A ako biram izmedju takvog uredjaja (koji uzgred deli jednu ADSL ili kablovsku konekciju na X masina) , i Symantec Desktop Firewall ili slicnog programa koji drlja po PC-iju, izbor je jasan. Eto to sam hteo da kazem a ne da se hvalim ADSL-om, ovde ADSL ima i baba moje devojke koja je teskom mukom naucila sta je to email.

Problem nije ova tema, vec cinjenica da si navikao da odgovaras klincima od 15-16 godina iz neke pticije perspektive. Ne sumnjam ja da puno toga znas i umes, ali dozvoli i ostalima da kazu ponesto a da ne skaces odmah za oci.

 

[silverglider]

Kakva, bre, pticija perspektiva? Sta sam to rekao iz te perspektive? Da u hardverskom firewallu cuci softver koji takodje moze imati gresaka? Ili mozda nisam smeo to kazem? Sta nije tacno u onome sta sam rekao?

Firewall softver se i po tim zemljama placa ako uzimas neke pro verzije - za vecinu takvih programa postoji Personal ili obicna verzija koja je potpuno free, sto je jos uvek jeftinije od takvog hardvera.
Postao dial-up proslost ili ne (valjda si mislio modemska konekcija), najcesce ce ostati opet jedan korisnik sa jednim racunarom kuci i treba mu zastita za tu jednu liniju; tj. racunar-kabl-zid. Bez obzira da li je to modem ili ethernet, ovakav deskop firewall treba da pruzi sasvim ok zastitu za tu jednu ulaznu liniju. 'Ardver je must jedino ako imas vise racunara kuci, odnosno manju kucnu mrezicu.

Pre nego sto nastavis deo teme sa ocima i perspektivama, shvati molim te da ja ovde samo iznosim svoje misljenje, bas kao i ti.

 

[Bane]

Molio bih one kojima se ovo deshava, a da nisu patchovali ili uklonili trojanca, da probaju sledece:
udjite u Services i tamo nadjite sledece tri stavke:

Remote Procedure Call (RPC) - ona ne mozete da iskljuchite, ali se moze staviti da pod Recovery bude za sva tri polja "Take No Action"

Remote Procedure Call (RPC) Locator - ova opcija moze da iskljuchi

Remote Registry - ova opcija moze da se iskljuchi.

Na par rachunara je ovo pomoglo, iako su neki pokupili virus, a drugima se resetovao rachunar i bez virusa.

 

[][V][ATRIX™]

Odlicno objasnjenje o Blasteru ima na http://www.microsoft.co.yu/security

Sve tamo lepo pise - sta, kako, gde i zasto...

 

[ZoNi]

Zasto je ideja losa kad za ovih godinu dana nije bilo nikakvih problema sem ovog sada sto je zadesilo i one koji su imali AV?

zasto zakljucavas svoj stan kad izadjes? dovoljno je da zatvoris vrata i vecina ljudi ce pretpostaviti da je zakljucano... medjutim, mozda neko bas u tom trenutku sedi na stepenicama u mraku i vidi da nisi zakljucao, vec samo zatvorio vrata...

razumes? 8) ja nisam imao nikakvih problema na dva kompa (WinXP SP1 i Win2K SP2), bas zato sto sam "zakljucao vrata" i to sa nekoliko brava (prilicno sigurno, ali ne 100%)... [imam Cel633/256MB i Duron850/256MB i Kerio i NOD32 (ranije Norton2003) ih zanemarljivo malo opterecuju, bas kao kljuc od stana koji nosis u dzepu!]

moram opet da ponovim: aktualan firewall + apdejtovan anti-virus + Win Update = dovoljna kolicina sigurnosti!

 

[Ser_Zile]

...


zasto zakljucavas svoj stan kad izadjes? dovoljno je da zatvoris vrata i vecina ljudi ce pretpostaviti da je zakljucano... medjutim, mozda neko bas u tom trenutku sedi na stepenicama u mraku i vidi da nisi zakljucao, vec samo zatvorio vrata...

razumes? 8) ja nisam imao nikakvih problema na dva kompa (WinXP SP1 i Win2K SP2), bas zato sto sam "zakljucao vrata" i to sa nekoliko brava (prilicno sigurno, ali ne 100%)... [imam Cel633/256MB i Duron850/256MB i Kerio i NOD32 (ranije Norton2003) ih zanemarljivo malo opterecuju, bas kao kljuc od stana koji nosis u dzepu!]

moram opet da ponovim: aktualan firewall + apdejtovan anti-virus + Win Update = dovoljna kolicina sigurnosti!

Mozda si u pravu a mozda i nisi vreme ce pokazati

 

[Ashley]

Ako imas provajdera koji misli na svoje korisnike - ne treba ti nista. Neobee je lepo zatvorio TCP port 135, pa nek' se slikaju

 

[Miroslav]

odem sad kod komsije, racunar nije paljen neka 2 meseca, njegov unuk treba mail na netu. kako smo se konektovali na EUnet, posle 2 sekunde puko svchost.exe ko lubenica! neverovatno da jedan EUnet sebi dozvoljava ovakve situacije.

Zaista sramota...

 

[ZoNi]

...



Mozda si u pravu a mozda i nisi vreme ce pokazati

paaa... svi dosadasnji virusi i slicni smorovi, kao i megabajti skinutog softvera sa raznih sajtova (od kojih vecina nelegalna!), i rad mog PCa bez ikakvih problema, pokazuje da bar nisam u "krivu", ako mozda nisam u pravu type;

 

[Ser_Zile]

...


paaa... svi dosadasnji virusi i slicni smorovi, kao i megabajti skinutog softvera sa raznih sajtova (od kojih vecina nelegalna!), i rad mog PCa bez ikakvih problema, pokazuje da bar nisam u "krivu", ako mozda nisam u pravu type;

Pa ok i meni net sluzi za to isto i nemam problema cak ni kad trazim ono za ono sa onog sajta a dnevno sam makar cetiri sata na netu cheers
Ajde Zoni ubedio si me stavljam Kerio(baci mi na pm koju verziju i ako imas link i da ako imas ono reci)

 

[ZoNi]

evo ti linAk:
http://www.kerio.com/kpf_download.html

ja koristim uvak poslednju verziju, koja nije beta (sad je to 2.1.5), a "ono za ono" ti ne treba - Kerio Personal je free...

("all the best things in life are always free" )

 

[Ser_Zile]

evo ti linAk:
http://www.kerio.com/kpf_download.html

ja koristim uvak poslednju verziju, koja nije beta (sad je to 2.1.5), a "ono za ono" ti ne treba - Kerio Personal je free...

("all the best things in life are always free" )

Skinuto.

Current version: 2.1.5
Release date: May 9, 2003

Nadam se lep poklon za rodjendan :mrgreen:

 

[ica]

Kod mene je problem nastao prvi put pre nedelju dana a valjda sam danas izasao na kraj sa njim - instalirao sam patch. Imam XP SP1, AVP 3.5 i Zone Alarm 3.5 i Worm se ipak provukao na EUnet konekciji. Moram napomenuti da ja nisam nasao nikakav fajl msblaster.exe. Doduse, AVP je nasao inficiran fajl koji se zvao tftp123.exe u Windows/System32 folderu.

 

[Ser_Zile]

Kod mene je problem nastao prvi put pre nedelju dana a valjda sam danas izasao na kraj sa njim - instalirao sam patch. Imam XP SP1, AVP 3.5 i Zone Alarm 3.5 i Worm se ipak provukao na EUnet konekciji. Moram napomenuti da ja nisam nasao nikakav fajl msblaster.exe. Doduse, AVP je nasao inficiran fajl koji se zvao tftp123.exe u Windows/System32 folderu.

Kod mene je u istom folderu bio msblast.exe

 

[srki]

OBAVESTENJE ZA SVE!!!!!!!!!
Danas je u CH novinama bila jedna vest da je bio napad na Microsoft server preko microsoft update sa 4 blastera i sa trojancem.cetiri osobe su napale u isto vreme iz 4 zemlje od kojih je jedna bila CH.Tip iz CH je uhvacen i pc su spaljeni a on je inace iz Indije.Za ostale nista.U CH je bilo napadnuto oko 120000-130000 pc.Ali sto je gore od toga je da krece jos jedan worm"relativtrival".Rekli su da cim bude uradjen patch bice na microsoft.ch.
Pozdrav (D)

 

[srki]

Samo jos nesto da dodam.Ima jos jedan sistem za dobijanje Blastera.Dobije se e-mail kao od microsofta u vezi Blastera i salje vas na update da bi se zastitili.Medjutim cim odete dobijate trojanca.
Email ne brisite vec ga vratite nazat i blokiraj te tu email adresu.
Evo jos i isecak iz novina.

 

[delimir]

Inace, koliko je ozbiljna stvar sa MSBlast crvom (po M$, naravno - sa njime ionako zele da obore M$-ove servere) svedoci i podatak da su na naslovnoj strani Windows Update stranice dali step-by-step (Copyright (C) New Kids On The Block :mrgreen: ) upustvo kako da se otarasite MSBlast-a

Dakle...

Steps to Protect Yourself from the Blaster Worm

To protect yourself from the Blaster Worm and its variants, users of the following products: Microsoft Windows® 2000 Service Pack 2 or greater, Microsoft Windows XP, and Microsoft Windows Server(tm) 2003, should install "MS03-026: Security Update for Windows XP (823980)". Microsoft Windows NT4 users are also vulnerable and should click here for more information.

Users of Windows 2000 RTM or Windows 2000 SP1 should upgrade to the latest service pack and then install "MS03-026: Security Update for Windows XP (823980)".

Your computer is not vulnerable to the Blaster Worm if either of these conditions apply to you:

If you have already downloaded and installed the security update that was addressed by Security Bulletin MS03-026. The MS03-026 update will not be listed on Windows Update in this case.

If you are using Microsoft Windows 95, Windows 98, Windows 98 Second Edition (SE), or Windows Millennium (Windows Me).
For more information click here

 

[silverglider]

Mislim da sam negde procitao da su ms update server prebacili (ili prebacuju) na lindzu da bi mogli da pruzaju i dalje uslugu, a da sam server nije 'bushan' na ovaj napad.

 

[BeastMaster]

Kakva ironija, MS-ov server radi pod Linux-om

 

[silverglider]

Pa i hotmail im je radio pod bsd-om neko vreme (ne znam da li jos uvek radi), tako da im ne bi bilo prvi put. Valjda su mislili da im je to najbrze resenje za problem. Licno ni sam nisam iskljucivo za ovog ili onog, nego za mix - uzmes najbolje iz oba sveta i vozi...

 

[deka]

I do sada sam sumnjao da "najopasnije" viruse pravi Microsoft, ali posle procitanog clanka da isti planiraju (da probaju) da u Longhorn stave automatski update bez mogucnosti intervencije korisnika (non-stop "skeniranje" svakog racunara!!!!!!), sada sam definitivno siguran da je sve ovo samo uvod u tako nesto, a sa ciljem da se vrsi globalna kontrola svih korisnika na mrezi, a verovatno od strane CIA-a zajedno sa M$!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

 

[ZoNi]

deko, vid'o sam te u X-Files!