Blaster: Der Wurm, der Windows-Rechner neu starten ließ

Zusammenfassung

Am 11. August 2003 warnte das CERT Coordination Center vor W32/Blaster, einem Wurm, der eine Lücke im DCOM-RPC-Dienst von Windows über TCP-Port 135 ausnutzte. Betroffen waren Windows NT 4.0, 2000, XP und Server 2003; Microsoft hatte die Lücke bereits Wochen zuvor mit MS03-026 geschlossen. Befallene Rechner sollten einen SYN-Flood gegen windowsupdate.com starten, ausgerechnet gegen den Dienst, der den Patch verteilte.

Wie Blaster sich verbreitete

Der Wurm suchte im Netz nach Rechnern mit offenem Port 135, griff den RPC-Dienst an und ließ das Opfer eine Datei namens msblast.exe vom angreifenden Rechner nachladen. Ohne Zutun des Nutzers verbreitete er sich so von Rechner zu Rechner, besonders schnell in Netzen ohne Firewall zwischen den Clients.

Für viele Nutzer zeigte sich der Befall durch Abstürze des RPC-Dienstes, nach denen Windows neu startete. Das CERT riet, den Patch einzuspielen, die Ports 135, 139 und 445 am Netzrand zu sperren und befallene Rechner vor der Bereinigung vom Netz zu trennen.

Ideen

• Ein verfügbarer Patch schützt nur, wenn er eingespielt wird.
• Netzwerkdienste, die niemand von außen braucht, gehören nicht ins Internet.
• Würmer nutzen die Zeit zwischen Patch und Installation.
• Interne Netze ohne Trennung verbreiten Infektionen weiter.

Einsichten

• Blaster war ein Wendepunkt für Windows-Sicherheit: Mit Windows XP Service Pack 2 im Jahr 2004 war die Windows-Firewall standardmäßig eingeschaltet, und automatische Updates wurden zum Normalfall.
• Der geplante Angriff auf windowsupdate.com zeigt, dass Angreifer gezielt die Abwehr treffen wollten, nicht nur Schaden anrichten.

Fakten

• CERT-Meldung CA-2003-20 vom 11. August 2003.
• Ausgenutzt wurde die mit MS03-026 geschlossene Lücke im DCOM-RPC-Dienst über TCP-Port 135.

Referenzen

• CERT/CC: Blaster: Der Wurm, der Windows-Rechner neu starten ließ
• Microsoft: Security Bulletin MS03-026

Bemerkungen

• Die Meldung ist über das Webarchiv erhalten.

Empfehlungen

• Windows-Dienste wie RPC und SMB nie direkt ins Internet stellen.
• Patches für wurmfähige Lücken innerhalb von Tagen einspielen, nicht erst im nächsten Wartungsfenster.
• Clients im eigenen Netz voneinander trennen, wo sie nicht miteinander reden müssen.

Originalmeldung lesen →

Im Webarchiv suchen

Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.