W32.Blaster

W32.Blaster

W32.Blaster (auch W32.Lovsan oder MSBlast genannt) ist ein Computerwurm aus dem Jahre 2003, der sich durch Ausnutzung einer Sicherheitslücke in der RPC-Schnittstelle von Microsoft Windows verbreitet. Die Verbreitung findet ausschließlich auf den Betriebssystemen Windows 2000, XP und Windows Server 2003 über den TCP-Port 135 statt.

Das Distributed Computing Environment (DCE), das auf einer Vielzahl verschiedener Betriebssysteme installiert sein kann, verwendet auch RPCs über Port 135. In Folge einer Schwachstelle in der Implementierung einiger Hersteller kann auf manchen Plattformen der DCE-Dienst durch den Wurm zum Absturz gebracht werden.

Der Wurm kann bei einem Angriff nicht erkennen, ob das Angriffsziel bereits befallen ist. Er bremst sich deshalb in der Verbreitung selbst aus, da er auch bereits befallene Windows-Rechner zum Absturz bringt. Erst wenn der Angriff erfolgreich war, wird überprüft, ob die Datei msblast.exe bereits auf der Festplatte vorhanden ist.

Der Wurm sollte am 16. August 2003 einen Distributed-Denial-of-Service-Angriff auf die Updateseiten der Firma Microsoft durchführen, auf denen auch der Patch für die Sicherheitslücke lagert.

Varianten

Mittlerweile tritt der Wurm in zahlreichen Varianten auf; einige von ihnen kombinieren den Wurm mit Trojanischen Pferden.

Diese Entwicklung stellt auch eine direkte Bedrohung für die Systemsicherheit dar, da der Wurm sich nicht mehr auf die Verbreitung beschränkt, sondern die Systeme für einen künftigen Angriff vorbereitet.

Der Wurm tritt mittlerweile in sechs Varianten auf:

  • Variante A
  • Variante B, bei dem die Wurmdatei in „penis32.exe“ umbenannt wurde
  • Variante C, bei dem die Wurmdatei in „teekids.exe“ umbenannt wurde
  • Variante D in Kombination mit dem Trojaner BKDR_LITH.103.A, der eine Backdoor installiert
  • Variante E trägt unter anderem die Bezeichnungen Nachi, Welchia und Lovsan.D. Der Schädling sucht auch auf dem TCP-Port 135 nach verwundbaren Windows-Systemen im Internet. Alternativ sendet der Wurm Daten über den TCP-Port 80, um das im März 2003 entdeckte WebDAV-Sicherheitsloch zur Verbreitung zu nutzen. Über das RPC-Leck greift der Wurm nur Maschinen mit Windows XP an, während über die WebDAV-Lücke sowohl Systeme mit Windows 2000 als auch XP attackiert werden. Zu erkennen ist er an massiv vielen ICMP-Floodings im lokalen Netz.
  • Variante G

Funktionsweise

  1. Der Angreifer startet einen TFTP-Server, um so den Wurm auf den Computer einzuschleusen.
  2. Eine Verbindung zwischen dem Angreifer und seinem Opfer wird auf dem TCP-Port 135 hergestellt.
  3. Eine Shell wird auf dem Opfer hergestellt, welche auf den TCP-Port 4444 lauscht.
  4. Der Angreifer führt einen Befehl über die Shell aus, um das Opfer zu veranlassen, den Wurm zu installieren.
  5. Der Angreifer beendet die Verbindung zur Shell des Opfers, anschließend stoppt die Shell das Lauschen auf dem TCP-Port 4444 des Opfers.
  6. Das Opfer startet einen TFTP-Server und Prozesse anderer Anweisungen (z. B. zur Änderung der Registrierungsschlüssel usw.).

Weblinks


Wikimedia Foundation.

Игры ⚽ Нужно сделать НИР?

Schlagen Sie auch in anderen Wörterbüchern nach:

  • W32.Lovsan — W32.Blaster (auch W32.Lovsan oder MSBlast genannt) ist ein Computerwurm aus dem Jahre 2003, der sich durch Ausnutzung einer Sicherheitslücke in der RPC Schnittstelle von Microsoft Windows verbreitet. Die Verbreitung findet ausschließlich auf den… …   Deutsch Wikipedia

  • Blaster (компьютерный червь) — У этого термина существуют и другие значения, см. Бластер (значения). Blaster, так же известный как Lovsan, Lovesan или MSBlast  компьютерный червь, распространявшийся на компьютерах, работавших с операционными системами Windows 2000 и… …   Википедия

  • Blaster (computer worm) — The Blaster Worm (also known as Lovsan or Lovesan) was a computer worm that spread on computers running the Microsoft operating systems: Windows XP and Windows 2000, during August 2003. The worm was first noticed and started spreading on August… …   Wikipedia

  • Lovsan — W32.Blaster (auch W32.Lovsan oder MSBlast genannt) ist ein Computerwurm aus dem Jahre 2003, der sich durch Ausnutzung einer Sicherheitslücke in der RPC Schnittstelle von Microsoft Windows verbreitet. Die Verbreitung findet ausschließlich auf den… …   Deutsch Wikipedia

  • MSBlast — W32.Blaster (auch W32.Lovsan oder MSBlast genannt) ist ein Computerwurm aus dem Jahre 2003, der sich durch Ausnutzung einer Sicherheitslücke in der RPC Schnittstelle von Microsoft Windows verbreitet. Die Verbreitung findet ausschließlich auf den… …   Deutsch Wikipedia

  • Computerwürmer — Ein Computerwurm ist ein Computerprogramm, das sich über Computernetzwerke verbreitet und dafür so genannte „höhere Ressourcen“, wie eine Wirtsapplikation, Netzwerkdienste oder eine Benutzerinteraktion benötigt. Es verbreitet sich zum Beispiel… …   Deutsch Wikipedia

  • Internetwurm — Ein Computerwurm ist ein Computerprogramm, das sich über Computernetzwerke verbreitet und dafür so genannte „höhere Ressourcen“, wie eine Wirtsapplikation, Netzwerkdienste oder eine Benutzerinteraktion benötigt. Es verbreitet sich zum Beispiel… …   Deutsch Wikipedia

  • Morris-Wurm — Ein Computerwurm ist ein Computerprogramm, das sich über Computernetzwerke verbreitet und dafür so genannte „höhere Ressourcen“, wie eine Wirtsapplikation, Netzwerkdienste oder eine Benutzerinteraktion benötigt. Es verbreitet sich zum Beispiel… …   Deutsch Wikipedia

  • Computerwurm — Ein Computerwurm (im Computerkontext kurz Wurm) ist ein Computerprogramm oder Skript mit der Eigenschaft, sich selbst zu vervielfältigen, nachdem es ausgeführt wurde.[1] In Abgrenzung zum Computervirus verbreitet sich der Wurm, ohne fremde… …   Deutsch Wikipedia

  • Assoziationsblaster — Der Assoziations Blaster ist ein seit Januar 1999 bestehendes interaktives, für jedermann zugängliches, freies und zensurloses Internet Literatur Projekt. Die Benutzer schreiben Beiträge, welche durch nichtlineare Echtzeitverknüpfungen mit… …   Deutsch Wikipedia

Share the article and excerpts

Direct link
Do a right-click on the link above
and select “Copy Link”