Turvallisuusvaroitus!!

[Runar ja Kyllikki]

Nyt on sitten yleisessä jaossa mato, joka saastuttaa _kaikki_ perus-Windowsit, jos niissä ei ole palomuuria tai jos niitä ei ole aivan hiljakkoin päivitetty.

Testaa ettei koneessasi vain ole portti 135 avoimena maailmalle tästä linkistä: https://grc.com/x/portprobe=135

Jos on, niin koneesi on ennemmin tai myöhemmin hakkerien hallussa, avoimena nettiin päin ja sitä käytetään palvelunestohyökkäyksiin, laittoman tavaran palvelimena yms. yms. toimintaan joka saattaa tuottaa sinulle harmia.
Tuo testi on turvallisuusguru Steve Gibsonin sivulla.

 

[Runar ja Kyllikki]

[13:55] <HuimaPaa> toivottavasti tuo otetaan asiaan liittyvällä vakavuudella, koskapa tuon on yksi vaarallisimmista wintoosa-madoista ikinä, koska ei vaadi käyttäjän virheellisiä toimia, kuten e-mailin liitteen vaamista, ohjelman suorittamista yms. vaan pelkkä netissä olo riittää frown

 

[Jami]

Microsoftin päivitys joka on ollut saatavilla jo 16.7.2003 asti...

Noh, blokkikaa tulimuureillanne portit 135, 137, 139 ja 445, muistaakseni, jos näin ensiapua tarttette, mutta ehdottomasti windowsin turvallisuuspäivitykset kuntoon.

Edit: portteja lisää

<small>[ 12-08-2003, 15:11: Message edited by: Jami ]</small>

 

[Jami]

F-securen sivuilta löytyy seloste ja puhdistustyökalu, ja ohjeet.

linkki f-securelle

 

[Tose]

Se tuli jo ennenkuiun ehti kissaa sanoa. Asentelin adsl-ajureita koneeseeni, kun kone sanoi sammuttavansa itsensä. Päivitin sen aukonpaikkauksen ja hain tappovehkeet f-securelta.

<small>[ 15-08-2003, 18:54: Message edited by: Tósé ® ]</small>

 

[Wilpuri]

Runar ja Kyllikki:
saastuttaa _kaikki_ perus-Windowsit

Paitsi että eihän missään virallisissa uutisissa tai tiedotteissa ole mainittu, että alttiina olisivat myös 98 ja ME..?

 

[Jami]

Tällähetkellä tuo virus ei saastuta kuin Windows 2000, Windows 2000 server, Windows XP pro ja home, Windows 2003 server.

 

[Wilpuri]

Jami:
Tällähetkellä tuo virus ei saastuta kuin Windows 2000, Windows 2000 server, Windows XP pro ja home, Windows 2003 server.

No juuh noin siis olen itsekin eri sivustoilta lukenut. R&K mainitsi kalabaliikin alkumetreillä (varmaankin samoihin aikoihin kuin postasi tämän topikin aloitusviestinsä), että joiltain tahoilta oli kuullut hienoista epävarmuutta alttiina olevien käyttöjärjestelmien suhteen, niin ajattelin nyt tiedustella uusiksi.

 

[Sam]

Onko tuosta siis pääteltävä, että siivilääkin reikäisempi NT on suojassa?

 

[Kortteen Topi]

Sam:
Onko tuosta siis pääteltävä, että siivilääkin reikäisempi NT on suojassa?

Tällähetkellä tuo virus ei saastuta kuin Windows 2000, Windows 2000 server, Windows XP pro ja home, Windows 2003 server.

 

[Olga]

Onneksi ehdin juuri ja juuri ennen tätä ongelmaa vaihtamaan susikasini XP:ksi. doubtful Kiirettä piti pitää!

 

[markoj]

Onnea!

 

[Tose]

Mutta missä se mato lymyää? Kun se iski koneeseeni, en ollut vielä edes käynyt netissä ja nyt asennettuani ZoneAlarmin näen koko ajan yrityksiä tulla portin 135 kautta (piti panna ruksi ruutuun "Älä näytä tätä ilmoitusta"). Tuttavan koneeseen iski virus, kun hän sulki ZobeAlarmin saadakseen päivitettyä virustorjuntans.

 

[Axel]

Erittäin paljon yleistettynä ja yksinkertaistettuna:

Se toimii niin, että (käytännössä) saman palveluntarjoajan verkossa on jollakin saastunut kone. Kyseinen kone yrittää siis ensisijaisesti saastuttaa osoiteavaruudessa lähellä olevia koneita. Elisan Arenanet on erityisen arka tuollaiselle. Yksi tartunta verkossa tarkoittaa sitä että koko Arenanet on pommituksen kohteena. Seuraava tartunta taas jatkaa pommitusta. Kyseessä on siis eräänlainen automaattinen porttiskannaus - tosin vain yhteen porttiin. Tänään mato sitten aktivoituu ja kaikki saastuneet koneet kuormittavat yhdessä windowsupdate.microsoft.com -sivustoa.
"käynyt netissä" on hiukan laaja käsite, mutta tartuntaan siis riittää yksi onnistunut hyökkäysyritys ja oma kone alkaa toimia hyökkääjänä.

Axel.

Tósé ®:
Mutta missä se mato lymyää? Kun se iski koneeseeni, en ollut vielä edes käynyt netissä ja nyt asennettuani ZoneAlarmin näen koko ajan yrityksiä tulla portin 135 kautta (piti panna ruksi ruutuun "Älä näytä tätä ilmoitusta"). Tuttavan koneeseen iski virus, kun hän sulki ZobeAlarmin saadakseen päivitettyä virustorjuntans.

 

[Jape]

www.windowsupdate.com on poistettu kokonaan verkosta.

"Microsoft sulkee sivuston kokonaan. Tiedottaja Sean Sundwall totesi Bloomberg Newsille, että ”sivuja ei tuoda enää verkkoon, koska virus on ohjelmoitu hyökkäämään koko loppuvuoden”.

Lähde

 

[Jami]

Mato lymyää jos se koneelle on päässyt c:\winnt\system32\msblast.exe :ssä, jos se sieltä löytyy niin olet saanut tartunnan. Toimi yllä olevien ohjeitten mukaan.

Windowsin (käynnistä -> suorita -> regedit) rekisteriä osaavat voivat tarkistaa sen sieltäkin, mato löytyy kohdasta

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
ja tuolta löytyy kohta windows auto update.

 

[Jami]

Otin printscreenin palomuurin lokista ja se näyttää tältä.
Tossa ei todellakaan ole kaikki tuon lovsanin aiheuttamat koputtelut, mutta esimerkkinä vain vähän.

 

[jaska]

Jami:
Otin printscreenin palomuurin lokista ja se näyttää tältä.
Tossa ei todellakaan ole kaikki tuon lovsanin aiheuttamat koputtelut, mutta esimerkkinä vain vähän.

Mulla ei tule edes palomuurin asti,
tän takia!
Ett silleen!!!!!!!1

 

[Axel]

heh, heh... näyttää olevan tänään mikkisoftan pojilla työpäivä wink Aamulla windowsupdate.microsoft.com oli ensimmäistä kertaa päivitetty uutisella (sen mitä minä olen näitä sivuja katsellut) ja pääsivulla oli erikseen linkit (ja maininta) ko. madon poistamiseksi. En ole aikaisemmin nähnyt turvapäivitysten teksteissä erikseen viitattavan mihinkään tiettyyn virukseen.
Nuo Japen mainitsemat sivut on tosiaan kokonaan hävinneet wink ) Tämä kaikki sen jälkeen kun Gates uhosi uuden yrityksen strategisen suunnan: yritys panostaa uusissa kehityshankkeisaan erityisesti tietoturvan nimiin. Vuoden vaihteessa jopa osa olemassa olevista projekteista laitettiin jäihin tämän päätöksen jälkeen. Massiivista nöyryytystä jälleen Gatesin suuntaan ja siihenhän se viruksen sloganikin viittaa....
Vaikea on Gatesin edes selitellä mitään vanhalla koodilla kun tuo mato iskee aivan uusimpiin versioihin... noh, okay: RPC on varmaan vanhaa koodia, mutta silti.

Axel.

Jape:
www.windowsupdate.com on poistettu kokonaan verkosta.

"Microsoft sulkee sivuston kokonaan. Tiedottaja Sean Sundwall totesi Bloomberg Newsille, että ?sivuja ei tuoda enää verkkoon, koska virus on ohjelmoitu hyökkäämään koko loppuvuoden?.

Lähde

 

[kraatu]

jaska:

Jami:
Otin printscreenin palomuurin lokista ja se näyttää tältä.
Tossa ei todellakaan ole kaikki tuon lovsanin aiheuttamat koputtelut, mutta esimerkkinä vain vähän.

Mulla ei tule edes palomuurin asti,
tän takia!
Ett silleen!!!!!!!1

Elisa on mullakin, mut palomuuri kertoo viimeseltä tunniltakin n. 30 tökkäsyä porttiin 135. ja yhtä paljon on sohittu myös porttiin 137.