„Blaster“ – Versionsunterschied

Blaster
Name	Blaster
Aliase	Lovesan, MSBlast
Bekannt seit	2003
Typ	Netzwerkwurm
Verbreitung	Exploit im RPC/DCOM-Dienst
System	Windows NT 4.0, 2000, XP, 2003
Programmiersprache	C

Versionsgeschichte interaktiv durchsuchen

[ungesichtete Version]

[gesichtete Version]

← Zum vorherigen Versionsunterschied

Inhalt gelöscht Inhalt hinzugefügt

VisuellWikitext

Inline

Aktuelle Version vom 12. November 2023, 17:57 Uhr

Blaster, auch Lovsan oder MSBlast genannt,^[1] ist ein Computerwurm aus dem Jahre 2003, der sich durch Ausnutzung einer Sicherheitslücke in der RPC-Schnittstelle von Microsoft Windows verbreitet. Die Verbreitung fand vorrangig auf den Betriebssystemen Microsoft Windows NT 4.0, Windows 2000, XP und Windows Server 2003 über den TCP-Port 135 statt.^[2]^[3]

Im Spätsommer 2003 verursachte Blaster mit DDoS-Angriffen enorme Schäden, die sich zu geschätzt 320 Millionen US-Dollar summierten. Der Code des Wurms enthielt neben einer Nachricht an Bill Gates auch den Text “I just want to say LOVE YOU SAN!”, von dem sein Alias-Name abgeleitet wurde. Knapp einen Monat später übertrafen die Sobig-Würmer den durch Blaster verursachten Schaden um das 150-fache.

Geschichte

Blaster ist eine EXE-Datei. Die Verbreitung des Wurmes begann Anfang April 2003 durch eine Lücke im RPC/DCOM-Dienst, die es erlaubt Code auszuführen.

Der Wurm sollte ab 16. August 2003 bis zum 31. Dezember 2003 einen Distributed-Denial-of-Service-Angriff auf die Updateseiten der Firma Microsoft durchführen, auf denen auch der Patch für die Sicherheitslücke lagert.^[3]^[4]^[5]

Kurz nach der Entdeckung des Wurmes wurde bekannt, dass nicht nur Windows-Systeme, sondern auch andere Systeme angreifbar waren. So können, laut dem CERT auch Systeme zur Zielscheibe eines Angriffs werden, bei denen der Port 135 geöffnet ist. Für einen erfolgreichen Angriff wird allerdings vorausgesetzt, dass ein Distributed Computing Environment auf Basis der Entwicklungen der Open Software Foundation installiert ist.^[6]^[7]

Der Wurm konnte bei einem Angriff allerdings nicht erkennen, ob er einen Rechner angreift, der bereits befallen war. Diese Eigenschaft bremste die Verbreitung rasant ein, da er auch versuchte, bereits befallene Systeme anzugreifen und zum Absturz zu bringen. Erst im Anschluss prüfte der Wurm, ob er sich bereits auf dem System befand, das erkannte er an der Existenz der msblast.exe-Datei auf der Festplatte.^[5]

Trotz des Schutzes von Unternehmensnetzen durch Firewalls gelang es dem Wurm, auch in Firmennetze einzudringen. Es wird vermutet, dass das durch bereits infizierte Laptops einiger Mitarbeiter geschehen ist, also vorbei an jeder Firewall oder Intrusion Detection System. Um Privatanwender vor dem Wurm zu schützen, sperrten einige Internet Service Provider Verbindungen über den Port 135, das schützte allerdings nur vor W32.Blaster und war kein genereller Schutz gegen die Sicherheitslücke.^[8]

Am 12. Mai 2004 wurde der Autor einer Version des Wurmes, Jeffrey Lee Parson aus Hopkins, Minnesota, festgenommen und im Januar 2005 zu einer achtzehnmonatigen Haftstrafe verurteilt.^[9]^[10]^[11]

Sicherheitslücke

Möglich macht die Verbreitung des Wurmes eine Sicherheitslücke im RPC/DCOM-Dienst. Dabei wird ein manipuliertes Paket an den von RPC genutzten Port 135 geschickt. Dieses Paket löst einen sogenannten Buffer Overflow aus und überschreibt dabei Teile des Stapelspeichers, dabei kann Code in das System eingeschleust werden, der anschließend ausgeführt werden kann und so ein System infizieren kann.

Kritisch ist die Schwachstelle vor allem dadurch, dass man den Port 135, wenn überhaupt, nur sehr schwer schließen kann. Ein Abschalten des RPC-Dienst kann dazu führen, dass wichtige Teile des Systems nicht mehr funktionieren. Als einziger Schutz helfe nur, den von Microsoft bereitgestellten Patch einzuspielen, oder eine Firewall zu benutzen, die Zugriffe auf diesen Port verhindert.^[12]

Funktionsweise

Der Angreifer startet einen TFTP-Server, um so den Wurm auf den Computer einzuschleusen.
Eine Verbindung zwischen dem Angreifer und seinem Opfer wird auf dem TCP-Port 135 hergestellt.^[3]
Eine Shell wird auf dem Opfer hergestellt, welche auf den TCP-Port 4444 lauscht.^[1]
Der Angreifer führt einen Befehl über die Shell aus, um das Opfer zu veranlassen, den Wurm zu installieren.^[1]
Der Angreifer beendet die Verbindung zur Shell des Opfers, anschließend stoppt die Shell das Lauschen auf dem TCP-Port 4444 des Opfers.
Das Opfer startet einen TFTP-Server und Prozesse anderer Anweisungen (z. B. zur Änderung der Registrierungsschlüssel usw.).

Identifizierung eines Wurmbefalls

Bei der ersten Version des Wurms war eine Infektion unter anderem dadurch zu erkennen, dass sich eine Datei namens msblast.exe im Verzeichnis %WinDir%\System32 befand. Bei späteren Versionen wurde er allerdings immer an einem offenen TFTP-Server auf dem UDP-Port 69 erkannt, der auf eingehende Verbindungen wartete. Darüber hinaus öffnete der Wurm 20 verschiedene TCP-Ports im Portbereich 2500 bis 2522, auf denen versucht wird, Verbindungen zu anderen Systemen aufzubauen.^[5]

Außerdem wurden folgende Registry-Keys hinzugefügt:^[5]

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run "windows auto update" = msblast.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run "windows auto update" = msblast.exe I just want to say LOVE YOU SAN!! bill

Varianten

In der Folge trat der Wurm in zahlreichen Varianten auf; einige von ihnen kombinieren den Wurm mit Trojanischen Pferden.

Diese Entwicklung stellt auch eine direkte Bedrohung für die Systemsicherheit dar, da der Wurm sich nicht mehr auf die Verbreitung beschränkt, sondern die Systeme für einen künftigen Angriff vorbereitet.

Von Blaster existieren sechs Varianten:

Variante A
Variante B, bei dem die Wurmdatei in „penis32.exe“ umbenannt wurde^[13]
Variante C, bei dem die Wurmdatei in „teekids.exe“ umbenannt wurde^[13]
Variante D in Kombination mit dem Trojaner BKDR_LITH.103.A, der eine Backdoor installiert
Variante E trägt unter anderem die Bezeichnungen Nachi, Welchia und Lovsan.D. Der Schädling sucht auch auf dem TCP-Port 135 nach verwundbaren Windows-Systemen im Internet. Alternativ sendet der Wurm Daten über den TCP-Port 80, um das im März 2003 entdeckte WebDAV-Sicherheitsloch zur Verbreitung zu nutzen. Über das RPC-Leck greift der Wurm nur Maschinen mit Windows XP an, während über die WebDAV-Lücke sowohl Systeme mit Windows 2000 als auch XP attackiert werden. Zu erkennen ist er an massiv vielen ICMP-Floodings im lokalen Netz.
Variante G

Weblinks

Einzelnachweise

↑ ^a ^b ^c Symantec: W32.Blaster.Worm. Abgerufen am 1. September 2018 (englisch).
↑ MS03-026: Buffer Overrun in RPC May Allow Code Execution. Abgerufen am 1. September 2018 (englisch).
↑ ^a ^b ^c 2003 CERT Advisories Page 99. (PDF) Abgerufen am 1. September 2018 (englisch).
↑ Blaster worm spreading, experts warn of attack. 12. August 2003, abgerufen am 1. September 2018 (englisch).
↑ ^a ^b ^c ^d Alle Schotten dicht -- W32.Blaster greift an. 12. August 2003, abgerufen am 27. Mai 2019.
↑ W32.Blaster attackiert auch Nicht-Windows-Systeme. 13. August 2003, abgerufen am 27. Mai 2019.
↑ Multiple Open Software Foundation Distributed Computing Environment (DCE) implementations vulnerable to DoS. 8. August 2003, abgerufen am 27. Mai 2019 (englisch).
↑ W32.Blaster befällt Hunderttausende von PCs. 13. August 2003, abgerufen am 27. Mai 2019.
↑ Blaster worm author gets jail time. 28. Januar 2005, abgerufen am 1. September 2018 (englisch).
↑ Minnesota teen sentenced for releasing Blaster worm variant. 28. Januar 2005, abgerufen am 1. September 2018 (englisch).
↑ infoworld.com
↑ Fehler in Windows gefährdet Internet-PCs. 17. Juli 2003, abgerufen am 27. Mai 2019.
↑ ^a ^b 2003 CERT Advisories Page 100. (PDF) Abgerufen am 1. September 2018 (englisch).

[symantec_info-1] Symantec: W32.Blaster.Worm. Abgerufen am 1. September 2018 (englisch).

[2] MS03-026: Buffer Overrun in RPC May Allow Code Execution. Abgerufen am 1. September 2018 (englisch).

[cert_99-3] 2003 CERT Advisories Page 99. (PDF) Abgerufen am 1. September 2018 (englisch).

[4] Blaster worm spreading, experts warn of attack. 12. August 2003, abgerufen am 1. September 2018 (englisch).

[heise_blaster_angriff-5] Alle Schotten dicht -- W32.Blaster greift an. 12. August 2003, abgerufen am 27. Mai 2019.

[6] W32.Blaster attackiert auch Nicht-Windows-Systeme. 13. August 2003, abgerufen am 27. Mai 2019.

[7] Multiple Open Software Foundation Distributed Computing Environment (DCE) implementations vulnerable to DoS. 8. August 2003, abgerufen am 27. Mai 2019 (englisch).

[8] W32.Blaster befällt Hunderttausende von PCs. 13. August 2003, abgerufen am 27. Mai 2019.

[9] Blaster worm author gets jail time. 28. Januar 2005, abgerufen am 1. September 2018 (englisch).

[10] Minnesota teen sentenced for releasing Blaster worm variant. 28. Januar 2005, abgerufen am 1. September 2018 (englisch).

[11] world.com

[12] Fehler in Windows gefährdet Internet-PCs. 17. Juli 2003, abgerufen am 27. Mai 2019.

[cert_100-13] 2003 CERT Advisories Page 100. (PDF) Abgerufen am 1. September 2018 (englisch).

[1]

[2]

[3]

[4]

[5]

[6]

[7]

[8]

[9]

[10]

[11]

[12]

[13]

@@ Zeile 1: / Zeile 1: @@
+{{Infobox Computerwurm
-'''W32.Blaster''' (auch: ''W32.Lovsan'' und ''MSBlast'') ist ein  [[Computerwurm]], der sich durch Ausnutzung einer [[Sicherheitslücke]] in der [[RPC/DCOM-Dienst|RPC-Schnittstelle]] von [[Microsoft Windows]] verbreitet. Der Wurm verbreitet sich ausschließlich über die Betriebssysteme [[Windows 2000|2000]], [[Windows XP|XP]] sowie auch über den Windows Server 2003 über den [[TCP]]-[[Port]] 135. Das [[Distributed Computing Environment]] (DCE), das auf einer Vielzahl verschiedener [[Betriebssystem]]e installiert sein kann, verwendet auch RPCs über Port 135. In Folge einer Schwachstelle in der Implementierung einiger Hersteller kann auf manchen Plattformen der DCE-Dienst zum Absturz gebracht werden.
+| Name = Blaster
+| Aliase = Lovesan, MSBlast
+| Veröffentlichung = 2003
+| Herkunft =
+| Typ = Netzwerkwurm
+| Subtyp =
+| Autoren =
+| Dateigröße =
+| Speicherresident =
+| Verbreitung = Exploit im RPC/DCOM-Dienst
+| System = Windows NT 4.0, 2000, XP, 2003
+| Programmiersprache = C
+| Info =
+}}
+'''Blaster''', auch '''Lovsan''' oder '''MSBlast''' genannt,<ref name="symantec info">{{Internetquelle |url=https://www.symantec.com/de/de/security-center/writeup/2003-081113-0229-99 |titel=Symantec: W32.Blaster.Worm |sprache=en |abruf=2018-09-01}}</ref> ist ein [[Computerwurm]] aus dem Jahre 2003, der sich durch Ausnutzung einer [[Sicherheitslücke]] in der [[Remote Procedure Call|RPC]]-Schnittstelle von [[Microsoft Windows]] verbreitet. Die Verbreitung fand vorrangig auf den Betriebssystemen [[Microsoft Windows NT 4.0]], [[Microsoft Windows 2000|Windows 2000]], [[Microsoft Windows XP|XP]] und Windows Server 2003 über den [[Transmission Control Protocol|TCP]]-[[Port (Protokoll)|Port]] 135 statt.<ref>{{Internetquelle |url=https://support.microsoft.com/en-gb/help/823980/ms03-026-buffer-overrun-in-rpc-may-allow-code-execution |titel=MS03-026: Buffer Overrun in RPC May Allow Code Execution |sprache=en |abruf=2018-09-01}}</ref><ref name="cert 99">{{Internetquelle |url=https://resources.sei.cmu.edu/asset_files/WhitePaper/2003_019_001_496200.pdf#page=99 |titel=2003 CERT Advisories Page 99 |format=PDF |sprache=en |abruf=2018-09-01}}</ref>
+Im Spätsommer 2003 verursachte Blaster mit [[Denial of Service|DDoS]]-Angriffen enorme Schäden, die sich zu geschätzt 320 Millionen US-Dollar summierten. Der Code des Wurms enthielt neben einer Nachricht an [[Bill Gates]] auch den Text “<code>I just want to say LOVE YOU SAN!</code>”, von dem sein Alias-Name abgeleitet wurde. Knapp einen Monat später übertrafen die [[Sobig.F|Sobig-Würmer]] den durch Blaster verursachten Schaden um das 150-fache.
-Der Wurm kann allerdings bei einem Angriff nicht erkennen ob das Angriffsziel bereits befallen ist. Er bremst sich deshalb in der Verbreitung selbst aus, da er auch bereits befallene Windows-Rechner zum Absturz bringt. Erst wenn der Angriff erfolgreich war wird überprüft ob die Datei ''msblast.exe'' bereits auf der Festplatte vorhanden ist.
+== Geschichte ==
-Der Wurm wird am 16. August einen [[DDoS|Distributed Denial of Service]]-Angriff auf die Updateseiten der Firma [[Microsoft]] durchführen, auf denen auch der [[Patch]] für die Sicherheitslücke lagert. Deshalb bietet jetzt auch der [[Verlag Heinz Heise]] nach Absprache mit Microsoft Deutschland den Patch an: [http://www.heise.de/newsticker/data/ghi-15.08.03-000/ Weblink].
+[[Datei:Virus Blaster.jpg|mini|325px|[[Hexdump]] des '''Blaster Wurms''', zeigt eine Nachricht vom Wurm-Programmierer an den damaligen [[Microsoft]]-[[CEO]] [[Bill Gates]]]]
+Blaster ist eine [[EXE]]-Datei. Die Verbreitung des Wurmes begann Anfang April 2003 durch eine Lücke im RPC/DCOM-Dienst, die es erlaubt Code auszuführen.
+Der Wurm sollte ab 16. August 2003 bis zum 31. Dezember 2003 einen [[Denial of Service|Distributed-Denial-of-Service]]-Angriff auf die Updateseiten der Firma [[Microsoft]] durchführen, auf denen auch der [[Patch (Software)|Patch]] für die Sicherheitslücke lagert.<ref name="cert 99" /><ref>{{Internetquelle |url=https://www.infoworld.com/article/2677291/security/blaster-worm-spreading--experts-warn-of-attack.html?page=2 |titel=Blaster worm spreading, experts warn of attack |datum=2003-08-12 |sprache=en |abruf=2018-09-01}}</ref><ref name="heise blaster angriff">{{Internetquelle |url=https://www.heise.de/newsticker/meldung/Alle-Schotten-dicht-W32-Blaster-greift-an-83631.html |titel=Alle Schotten dicht -- W32.Blaster greift an |datum=2003-08-12 |abruf=2019-05-27}}</ref>
-== Mutationen ==
+Kurz nach der Entdeckung des Wurmes wurde bekannt, dass nicht nur Windows-Systeme, sondern auch andere Systeme angreifbar waren. So können, laut dem [[Computer Emergency Response Team|CERT]] auch Systeme zur Zielscheibe eines Angriffs werden, bei denen der Port 135 geöffnet ist. Für einen erfolgreichen Angriff wird allerdings vorausgesetzt, dass ein [[Distributed Computing Environment]] auf Basis der Entwicklungen der [[Open Software Foundation]] installiert ist.<ref>{{Internetquelle |url=https://www.heise.de/newsticker/meldung/W32-Blaster-attackiert-auch-Nicht-Windows-Systeme-83737.html |titel=W32.Blaster attackiert auch Nicht-Windows-Systeme |datum=2003-08-13 |abruf=2019-05-27}}</ref><ref>{{Internetquelle |url=https://www.kb.cert.org/vuls/id/377804/ |titel=Multiple Open Software Foundation Distributed Computing Environment (DCE) implementations vulnerable to DoS |datum=2003-08-08 |sprache=en |abruf=2019-05-27}}</ref>
-Mittlerweile tritt der Wurm auch in zahlreichen [[Mutation]]en auf. Eine dieser Mutationen kombiniert den Virus mit einem [[Trojanisches Pferd|Trojanischen Pferd]].
+Der Wurm konnte bei einem Angriff allerdings nicht erkennen, ob er einen Rechner angreift, der bereits befallen war. Diese Eigenschaft bremste die Verbreitung rasant ein, da er auch versuchte, bereits befallene Systeme anzugreifen und zum Absturz zu bringen. Erst im Anschluss prüfte der Wurm, ob er sich bereits auf dem System befand, das erkannte er an der Existenz der ''msblast.exe''-Datei auf der Festplatte.<ref name="heise blaster angriff" />
-Diese Entwicklung stellt mittlerweile auch eine direkte Bedrohung für die Systemsicherheit der Anwender dar, da der Wurm sich nicht mehr auf die Verbreitung beschränkt, sondern die Systeme der Nutzer für einen zukünftigen Angriff präpariert.
+Trotz des Schutzes von Unternehmensnetzen durch Firewalls gelang es dem Wurm, auch in Firmennetze einzudringen. Es wird vermutet, dass das durch bereits infizierte Laptops einiger Mitarbeiter geschehen ist, also vorbei an jeder Firewall oder [[Intrusion Detection System]].
-Der Wurm tritt mittlerweile in vier Varianten auf:
+Um Privatanwender vor dem Wurm zu schützen, sperrten einige [[Internet Service Provider]] Verbindungen über den Port 135, das schützte allerdings nur vor W32.Blaster und war kein genereller Schutz gegen die Sicherheitslücke.<ref>{{Internetquelle |url=https://www.heise.de/newsticker/meldung/W32-Blaster-befaellt-Hunderttausende-von-PCs-83689.html |titel=W32.Blaster befällt Hunderttausende von PCs |datum=2003-08-13 |abruf=2019-05-27}}</ref>
-*Variante A
-*Variante B, bei dem die Wurmdatei in "penis32.exe" umbenannt wurde
-*Variante C, bei dem die Wurmdatei in "teekids.exe" umbenannt wurde
-*Variante C in Kombination mit dem Trojaner BKDR_LITH.103.A, der eine [[Backdoor]] installiert.
+Am 12. Mai 2004 wurde der Autor einer Version des Wurmes, Jeffrey Lee Parson aus [[Hopkins (Minnesota)|Hopkins]], [[Minnesota]], festgenommen und im Januar 2005 zu einer achtzehnmonatigen Haftstrafe verurteilt.<ref>{{Internetquelle |url=https://www.infoworld.com/article/2643777/techology-business/blaster-worm-author-gets-jail-time.html |titel=Blaster worm author gets jail time |datum=2005-01-28 |sprache=en |abruf=2018-09-01}}</ref><ref>{{Internetquelle |url=http://news.minnesota.publicradio.org/features/2005/01/28_ap_blastersentenced/ |titel=Minnesota teen sentenced for releasing Blaster worm variant |datum=2005-01-28 |sprache=en |abruf=2018-09-01}}</ref><ref>[https://www.infoworld.com/article/2643777/techology-business/blaster-worm-author-gets-jail-time.html infoworld.com]</ref>
-== Erkennung ==
+== Sicherheitslücke ==
-Eine Infektion durch W32.Blaster lässt sich folgendermaßen erkennen:
+Möglich macht die Verbreitung des Wurmes eine Sicherheitslücke im RPC/DCOM-Dienst. Dabei wird ein manipuliertes Paket an den von [[Remote Procedure Call|RPC]] genutzten Port 135 geschickt. Dieses Paket löst einen sogenannten [[Buffer Overflow]] aus und überschreibt dabei Teile des [[Stapelspeicher]]s, dabei kann Code in das System eingeschleust werden, der anschließend ausgeführt werden kann und so ein System infizieren kann.
+Kritisch ist die Schwachstelle vor allem dadurch, dass man den Port 135, wenn überhaupt, nur sehr schwer schließen kann. Ein Abschalten des RPC-Dienst kann dazu führen, dass wichtige Teile des Systems nicht mehr funktionieren. Als einziger Schutz helfe nur, den von Microsoft bereitgestellten Patch einzuspielen, oder eine [[Firewall]] zu benutzen, die Zugriffe auf diesen Port verhindert.<ref>{{Internetquelle |url=https://www.heise.de/newsticker/meldung/Fehler-in-Windows-gefaehrdet-Internet-PCs-82287.html |titel=Fehler in Windows gefährdet Internet-PCs |datum=2003-07-17 |abruf=2019-05-27}}</ref>
-# Links unten auf "Start" klicken,
-# dann auf "Suchen"
-# und jetzt auf "Nach Dateien und Ordnern".
-# Dann nach "msblast.exe" suchen.
-# Nach penis32.exe" suchen.
-# Nach "teekids.exe" suchen.
+== Funktionsweise ==
-Findet der Rechner einer der Dateien, ist der Computer infiziert.
+# Der Angreifer startet einen [[Trivial File Transfer Protocol|TFTP]]-Server, um so den Wurm auf den Computer einzuschleusen.
+# Eine Verbindung zwischen dem Angreifer und seinem Opfer wird auf dem TCP-Port 135 hergestellt.<ref name="cert 99" />
+# Eine Shell wird auf dem Opfer hergestellt, welche auf den TCP-Port 4444 lauscht.<ref name="symantec info" />
+# Der Angreifer führt einen Befehl über die Shell aus, um das Opfer zu veranlassen, den Wurm zu installieren.<ref name="symantec info" />
+# Der Angreifer beendet die Verbindung zur Shell des Opfers, anschließend stoppt die Shell das Lauschen auf dem TCP-Port 4444 des Opfers.
+# Das Opfer startet einen TFTP-Server und Prozesse anderer Anweisungen (z.&nbsp;B. zur Änderung der Registrierungsschlüssel usw.).
+== Identifizierung eines Wurmbefalls ==
-=== Erkennung für Fortgeschrittene ===
+Bei der ersten Version des Wurms war eine Infektion unter anderem dadurch zu erkennen, dass sich eine Datei namens <code>msblast.exe</code> im Verzeichnis <code>%WinDir%\System32</code> befand.
-Wenn das Dateisystem sehr groß ist, dann dauert es vielleicht etwas zu lange, alle Festplatten zu durchsuchen.
+Bei späteren Versionen wurde er allerdings immer an einem offenen TFTP-Server auf dem UDP-Port 69 erkannt, der auf eingehende Verbindungen wartete. Darüber hinaus öffnete der Wurm 20 verschiedene TCP-Ports im Portbereich 2500 bis 2522, auf denen versucht wird, Verbindungen zu anderen Systemen aufzubauen.<ref name="heise blaster angriff" />
+Außerdem wurden folgende [[Registrierungsdatenbank|Registry]]-Keys hinzugefügt:<ref name="heise blaster angriff" />
-In diesem Fall kann der Befall auch in der Registry an den folgenden Schlüsseln erkannt werden:
+<pre>
+HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run "windows auto update" = msblast.exe
+HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run "windows auto update" = msblast.exe I just want to say LOVE YOU SAN!! bill
+</pre>
+== Varianten ==
-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run "windows auto update" = msblast.exe
+In der Folge trat der Wurm in zahlreichen Varianten auf; einige von ihnen kombinieren den Wurm mit [[Trojanisches Pferd (Computerprogramm)|Trojanischen Pferden]].
-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run "windows auto update" = msblast.exe I just want to say LOVE YOU SAN!! bill
+Diese Entwicklung stellt auch eine direkte Bedrohung für die Systemsicherheit dar, da der Wurm sich nicht mehr auf die Verbreitung beschränkt, sondern die Systeme für einen künftigen Angriff vorbereitet.
-Bei den Varianten B und C des Virus findet sich hier statt "msblast.exe" die Dateien "penis.exe" oder "teekids.exe" sowie ein etwas anderer Text.
+Von Blaster existieren sechs Varianten:
-W32.Blaster macht sich auch durch [[Absturz|Abstürze]] des Rechners bemerkbar, die von der Meldung ''"Windows muss jetzt neu gestartet werden, da der Dienst Remoteprozedurablauf unerwartet beendet wurde."'' begleitet werden.
+* Variante A
+* Variante B, bei dem die Wurmdatei in „penis32.exe“ umbenannt wurde<ref name="cert 100">{{Internetquelle |url=https://resources.sei.cmu.edu/asset_files/WhitePaper/2003_019_001_496200.pdf#page=100 |titel=2003 CERT Advisories Page 100 |format=PDF |sprache=en |abruf=2018-09-01}}</ref>
-== Funktionsweise ==
+* Variante C, bei dem die Wurmdatei in „teekids.exe“ umbenannt wurde<ref name="cert 100" />
+* Variante D in Kombination mit dem Trojaner ''BKDR_LITH.103.A'', der eine [[Backdoor]] installiert
+* Variante E trägt unter anderem die Bezeichnungen ''Nachi'', ''Welchia'' und ''Lovsan.D''. Der Schädling sucht auch auf dem [[Transmission Control Protocol|TCP]]-[[Port (Protokoll)|Port]] 135 nach verwundbaren Windows-Systemen im Internet. Alternativ sendet der Wurm Daten über den TCP-Port 80, um das im März 2003 entdeckte WebDAV-Sicherheitsloch zur Verbreitung zu nutzen. Über das [[Remote Procedure Call|RPC]]-Leck greift der Wurm nur Maschinen mit Windows XP an, während über die WebDAV-Lücke sowohl Systeme mit Windows 2000 als auch XP attackiert werden. Zu erkennen ist er an massiv vielen [[Internet Control Message Protocol|ICMP]]-[[Flooding (Informatik)|Floodings]] im lokalen Netz.
+* Variante G
+== Weblinks ==
-# Der Angreifer lässt einen TFTP Server laufen um den Wurm einzuschleusen.
+* [http://www.microsoft.com/downloads/details.aspx?FamilyId=2354406C-C5B6-44AC-9532-3DE40F69C074&displaylang=de Blaster: Sicherheitsupdate für Windows XP]
-# Eine Verbindung wird zwischen dem Angreifer und seinem Opfer auf dem TCP-Port 135 hergestellt
+* [https://www.heise.de/security/meldung/W32-Blaster-Wurm-Fix-zum-Download-83847.html Programme zur Entfernung des W32.Blaster]
-# Eine Shell wird auf dem Opfer hergestellt, welche auf den TCP-Port 4444 lauscht
+* [https://www.heise.de/security/meldung/Microsoft-laesst-Angriff-von-Lovsan-W32-Blaster-ins-Leere-laufen-83853.html Microsoft lässt Angriff von Lovsan/W32.Blaster ins Leere laufen]
-# Der Angreifer führt einen Befehl über die Shell aus um das Opfer zu veranlassen den Wurm zu installieren
-# Der Angreifer beendet die Verbindung zur Shell des Opfers, anschließend stoppt die Shell das Lauschen auf dem TCP-Port 4444 des Opfers
-# Das Opfer startet einen TFTP Server und Prozesse anderer Anweisungen (z.B. zur Änderung der Registrierungsschlüssel, etc...)
+== Einzelnachweise ==
-''Siehe auch:'' [[Computervirus]], [[Netzwerksicherheit]]
+<references />
+[[Kategorie:Schadprogramm]]
-==Referenzen==
+[[Kategorie:Computerwurm]]
-* Microsoft:
-** [http://www.microsoft.com/germany/ms/technetservicedesk/bulletin/bulletinms03-026.htm  Deutschsprachige Informationen zur Sicherheitslücke und Patch zur ihrer Beseitigung]
-** [http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS03-026.asp Microsoft Security Bulletin MS03-026] (englisch)
-*[[Bundesamt für Sicherheit in der Informationstechnik]]: [http://www.heise.de/security/artikel/39348 Advisory zu W32.Blaster],  [http://www.bsi.de/presse/pressinf/blaster1208.htm Pressemitteilung]
-*[http://www.sarc.com/avcenter/venc/data/w32.blaster.worm.removal.tool.html Programm zur Entfernung des W32.Blaster]
-* [[Heise News-Ticker]]:
-** [http://www.heise.de/security/news/meldung/39347 Alle Schotten dicht -- W32.Blaster greift an]
-** [http://www.heise.de/security/news/meldung/39358 Schutz vor RPC/DCOM-Wurm W32.Blaster]
-** [http://www.heise.de/newsticker/data/dab-13.08.03-002/ Heise - Wurm attakiert auch Nicht-Windows-Systeme]
-** [http://www.heise.de/newsticker/data/dab-14.08.03-000/ Heise - RPC/DCOM-Wurm W32.Blaster mutiert]
-*Golem.de: "[http://www.golem.de/0308/26900.html Internet-Wurm nutzt Sicherheitsleck zur rasanten Verbreitung]"
-*[https://tms.symantec.com/members/AnalystReports/030811-Alert-DCOMworm.pdf Symantec Analyst Report]
-*[http://www.cert.org/advisories/CA-2003-19.html CERT® Advisory CA-2003-19 Exploitation of Vulnerabilities in Microsoft RPC Interface]
-*[http://xforce.iss.net/xforce/alerts/id/150 "MS Blast" MSRPC DCOM Worm Propagation]