Blaster

W32.Blaster (auch: W32.Lovsan und MSBlast) ist ein Computerwurm, der sich durch Ausnutzung einer Sicherheitslücke in der RPC-Schnittstelle von Microsoft Windows verbreitet. Der Wurm verbreitet sich ausschließlich über die Betriebssysteme 2000, XP sowie auch über den Windows Server 2003 über den TCP-Port 135. Das Distributed Computing Environment (DCE), das auf einer Vielzahl verschiedener Betriebssysteme installiert sein kann, verwendet auch RPCs über Port 135. In Folge einer Schwachstelle in der Implementierung einiger Hersteller kann auf manchen Plattformen der DCE-Dienst zum Absturz gebracht werden.

Der Wurm kann allerdings bei einem Angriff nicht erkennen ob das Angriffsziel bereits befallen ist. Er bremst sich deshalb in der Verbreitung selbst aus, da er auch bereits befallene Windows-Rechner zum Absturz bringt. Erst wenn der Angriff erfolgreich war wird überprüft ob die Datei msblast.exe bereits auf der Festplatte vorhanden ist.

Der Wurm wird am 16. August einen Distributed Denial of Service-Angriff auf die Updateseiten der Firma Microsoft durchführen, auf denen auch der Patch für die Sicherheitslücke lagert. Deshalb bietet jetzt auch der Verlag Heinz Heise nach Absprache mit Microsoft Deutschland den Patch an: Weblink.

Mutationen

Mittlerweile tritt der Wurm auch in zahlreichen Mutationen auf. Eine dieser Mutationen kombiniert den Virus mit einem Trojanischen Pferd.

Diese Entwicklung stellt mittlerweile auch eine direkte Bedrohung für die Systemsicherheit der Anwender dar, da der Wurm sich nicht mehr auf die Verbreitung beschränkt, sondern die Systeme der Nutzer für einen zukünftigen Angriff präpariert.

Der Wurm tritt mittlerweile in vier Varianten auf:

• Variante A
• Variante B, bei dem die Wurmdatei in "penis32.exe" umbenannt wurde
• Variante C, bei dem die Wurmdatei in "teekids.exe" umbenannt wurde
• Variante C in Kombination mit dem Trojaner BKDR_LITH.103.A, der eine Backdoor installiert.

Erkennung

Eine Infektion durch W32.Blaster lässt sich folgendermaßen erkennen:

1. Links unten auf "Start" klicken,
2. dann auf "Suchen"
3. und jetzt auf "Nach Dateien und Ordnern".
4. Dann nach "msblast.exe" suchen.
5. Nach penis32.exe" suchen.
6. Nach "teekids.exe" suchen.

Findet der Rechner einer der Dateien, ist der Computer infiziert.

Erkennung für Fortgeschrittene

Wenn das Dateisystem sehr groß ist, dann dauert es vielleicht etwas zu lange, alle Festplatten zu durchsuchen.

In diesem Fall kann der Befall auch in der Registry an den folgenden Schlüsseln erkannt werden:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run "windows auto update" = msblast.exe HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run "windows auto update" = msblast.exe I just want to say LOVE YOU SAN!! bill

Bei den Varianten B und C des Virus findet sich hier statt "msblast.exe" die Dateien "penis.exe" oder "teekids.exe" sowie ein etwas anderer Text.

W32.Blaster macht sich auch durch Abstürze des Rechners bemerkbar, die von der Meldung "Windows muss jetzt neu gestartet werden, da der Dienst Remoteprozedurablauf unerwartet beendet wurde." begleitet werden.

Funktionsweise

1. Der Angreifer lässt einen TFTP Server laufen um den Wurm einzuschleusen.
2. Eine Verbindung wird zwischen dem Angreifer und seinem Opfer auf dem TCP-Port 135 hergestellt
3. Eine Shell wird auf dem Opfer hergestellt, welche auf den TCP-Port 4444 lauscht
4. Der Angreifer führt einen Befehl über die Shell aus um das Opfer zu veranlassen den Wurm zu installieren
5. Der Angreifer beendet die Verbindung zur Shell des Opfers, anschließend stoppt die Shell das Lauschen auf dem TCP-Port 4444 des Opfers
6. Das Opfer startet einen TFTP Server und Prozesse anderer Anweisungen (z.B. zur Änderung der Registrierungsschlüssel, etc...)

Siehe auch: Computervirus, Netzwerksicherheit

Referenzen

• Microsoft:
  • Deutschsprachige Informationen zur Sicherheitslücke und Patch zur ihrer Beseitigung
  • Microsoft Security Bulletin MS03-026 (englisch)
• Bundesamt für Sicherheit in der Informationstechnik: Advisory zu W32.Blaster, Pressemitteilung
• Programm zur Entfernung des W32.Blaster
• Heise News-Ticker:
  • Alle Schotten dicht -- W32.Blaster greift an
  • Schutz vor RPC/DCOM-Wurm W32.Blaster
  • Heise - Wurm attakiert auch Nicht-Windows-Systeme
  • Heise - RPC/DCOM-Wurm W32.Blaster mutiert
• Golem.de: "Internet-Wurm nutzt Sicherheitsleck zur rasanten Verbreitung"
• Symantec Analyst Report
• CERT® Advisory CA-2003-19 Exploitation of Vulnerabilities in Microsoft RPC Interface
• "MS Blast" MSRPC DCOM Worm Propagation