VAŽNO! Buffer Overrun in RPC / msblast.exe

Aloooooo?
Moze li pitanje i ja sam to "cudo" zaradio pa me interesuje dali ta zakrpa
zatvara sve portove koje treba.Jer procitao sam da treba da se zatvore neki portovi kako se to raaadi.Ajde malo detaljnije neka neko objasni ...

Bojane, pa recimo po tome sto se u toj zgradi kreira politika grada (a gde je politika tu su i pare). Verovatno je isti slucaj i na visim nivoima.

Ako tebi tu nista nije cudno, onda takodje nisi rodjen za administratora. Dakle da definitvno pojasnim: "Mislim stvarno" je znacilo da se u ovoj drzavi svakome dozvoljava da se bavi racunarima, mrezama i njihovim odrzavanjem...

Ovaj mali worm jw stvarno terorista, a ja malo smotana pa ne znam vise sta da radim da olaksam muke i sebi a i mom kompu. Pokusavala sam i neke update-ove i ovo i ono ali nemam pojma ni sta sam ja to u stvari radila. Stvarno mi dodje da obrisem ceo sistem, formatiram disk i ponovo nabacim OS. Ali to je dug posao pa povodom toga molim sve iskusnije u ovome da mi tacno kazu sta da radim jer stvarno gubim razum polako sa ovim malim teroristom.

Potpis

^MaLa_GaRaVa^

Skini removal tool i patch: https://www.elitesecurity.org/p189180

Ocisti racunar sa removal tool i posle pokreni patch.

Potpis

http://gizmo.rs

Samo dajte mi link od patch-a. Ja ne znam koji da skinem i kako se radi s time!

Potpis

^MaLa_GaRaVa^

ajooj L;))

ne znam ti ja nista oko toga ... ja sam covek sa sela, prost, seljak ... taj lajnuks, san, 9x .. ne znam ti ja kako to ide ... taj sekuriti, kako to? neki vormi ... ale i zmajevi ...

ja cu da se vratim konfigurisanju mog zonealarma ... i odjebavacu korisnike koji se zale za neki worm, i pri tom cu se cinicno smejati ...

l;)))

Potpis

"It's okay, I'm just admiring to the shape of your skull!" -- Dr. Gonzo

Pa postovao sam ti link za patch ali evo opet direktan link:

W32.Blaster.Worm Removal Tool - Testirano i radi
Download Software-a za otklanjanje w32.blaster-a

Patch za prevenciju:
Download

Potpis

http://gizmo.rs

Aha, znači korisnici su dužni sami o sebi da se staraju... Znao sam da negde grešim ;)

Narode, sve mi se čini da sam malopre kod prijatelja naleteo na nešto revolucionarno. Pošto je moje znanje ograničeno, evo vam malo materijala pa da vidimo šta će biti...

1. sigurno je nešto iz RPC DCOM porodice (klasika, imam samo 60 sekundi...)
2. Ne dozvoljava da se instalita q823980
3. ne dozvoljava da se instalira bilo koji firewall (srećom, ovo kroz servise može da se zaobiđe)
4. Baš kao što Welchia crv ubija Blastera, ovaj ubija i njega i Blastera...(!)
5. ... ali je 'malo mudriji': nekako premapira 135. port, pa kad skenirate 135 (recimo sa ShieldsUp), firewall vidi pokušaj upada na 137. portu!!!!!!! Ovo verovatno sprečava upade budućih RPC crva pošto je konkurencija trenutno vrlo jaka!

Kad odes na

https://grc.com/x/portprobe=135

firewall (kad se posle puno muka podigne) vidi ovo:

[26/Aug/2003 22:11:53] DROP "Default traffic rule" packet from Dial-Up, proto:TCP, len:40, ip/port:204.1.226.228:62311 -> 195.252.84.144:137, flags: SYN , seq:46542599 ack:0, win:8192, tcplen:0

dok, verovatno, pravi potpis crva izgleda ovako:

[26/Aug/2003 22:53:32] DROP "Default traffic rule" packet from Dial-Up, proto:UDP, len:78, ip/port:64.32.95.212:61249 -> 195.252.84.144:137, udplen:50

bez obzira što je paket najverovatnije došao na 135. port!!!

Pogledajte ovaj filter.log posle redom skeniranih portova:

...
[26/Aug/2003 23:14:53] DROP "Default traffic rule" packet from Dial-Up, proto:TCP, len:40, ip/port:204.1.226.228:62311 -> 195.252.84.144:132, flags: SYN , seq:942885913 ack:0, win:8192, tcplen:0
[26/Aug/2003 23:14:53] DROP "Default traffic rule" packet from Dial-Up, proto:TCP, len:40, ip/port:204.1.226.228:62311 -> 195.252.84.144:133, flags: SYN , seq:3618945222 ack:0, win:8192, tcplen:0
[26/Aug/2003 23:14:53] DROP "Default traffic rule" packet from Dial-Up, proto:TCP, len:40, ip/port:204.1.226.228:62311 -> 195.252.84.144:134, flags: SYN , seq:1100580514 ack:0, win:8192, tcplen:0
[26/Aug/2003 23:14:53] DROP "Default traffic rule" packet from Dial-Up, proto:TCP, len:40, ip/port:204.1.226.228:62311 -> 195.252.84.144:136, flags: SYN , seq:1803804537 ack:0, win:8192, tcplen:0
[26/Aug/2003 23:14:53] DROP "Default traffic rule" packet from Dial-Up, proto:TCP, len:40, ip/port:204.1.226.228:62311 -> 195.252.84.144:137, flags: SYN , seq:4221705909 ack:0, win:8192, tcplen:0
[26/Aug/2003 23:14:53] DROP "Default traffic rule" packet from Dial-Up, proto:TCP, len:40, ip/port:204.1.226.228:62311 -> 195.252.84.144:138, flags: SYN , seq:46542599 ack:0, win:8192, tcplen:0
[26/Aug/2003 23:14:53] DROP "Default traffic rule" packet from Dial-Up, proto:TCP, len:40, ip/port:204.1.226.228:62311 -> 195.252.84.144:139, flags: SYN , seq:3848466283 ack:0, win:8192, tcplen:0
[26/Aug/2003 23:14:53] DROP "Default traffic rule" packet from Dial-Up, proto:TCP, len:40, ip/port:204.1.226.228:62311 -> 195.252.84.144:140, flags: SYN
...

204.1.226.228 je grc.com, a skenirani su:
...
132
133
134
135
136
137
138
139
140
...

Ima li iko od vas slično iskustvo ili (još bolje) neko uputstvo?


[Ovu poruku je menjao DjordjeRd dana 27.08.2003. u 03:10 GMT]

[Ovu poruku je menjao DjordjeRd dana 27.08.2003. u 03:14 GMT]

Potpis

c000 lda #$33
c002 sta $0400
c005 lda #$37
c007 sta $0401
c00a lda #$21
c00c sta $0402
c00f rts

sys 49152

E da, za prvu pomoć pali ovo:

Start->Run->shutdown -a

Duvaj ga crve!

Potpis

c000 lda #$33
c002 sta $0400
c005 lda #$37
c007 sta $0401
c00a lda #$21
c00c sta $0402
c00f rts

sys 49152

E ja sam izbrisao msblast.exe i nema ga u aktivnim procesima.

Vec sta se desava...Ima 4-5 svchost.exe startovanih procesa svo vreme i kad pokusam da ubijem neki onda mi izadje ono obavestenje da ce se komp resetovati za 60 sekundi....Inace ovako ako ne pokusavam da ubijem te procese nista se ne desava....Sem jedne stvari koja me nervira, a to je da se send buffer samo puni, postaje veci, odnosno moj kompjuter salje nesto negde.... Sad i registry sam ocistio ali ipak ovo se i dalje desava...glavni problem je kod ovog send buffera, jer on samo salje li salje, i samim tim nema sansi nista da radim online, vec jedino mogu da resetujem komp i opet iznova sve. Jedino kad promenim datum cini mi se da onda stane da salje.

Ne znam sta da radim vise...Jel ima neko slican problem?

Skinuo sam i pokrenuo fixblast.exe i posle njega patch za XP sp1.

http://www.microsoft.com/techn...security/bulletin/MS03-026.asp

Probaj da primeniš ovaj fix. Ako neće da se instalira, idi u servise i stopiraj ICS/ICF (Internet Connection Sharing). Onda podigni neki firewall. Zone alarm, Kerio ili ICF na Dial-up konekciji. E, sad si miran dok ne nađeš koji je crv u pitanju...

Potpis

c000 lda #$33
c002 sta $0400
c005 lda #$37
c007 sta $0401
c00a lda #$21
c00c sta $0402
c00f rts

sys 49152

Kako mislis da idem u servise?

Start->Settings->Control panel->Administrative tools->Servicies...

Potpis

c000 lda #$33
c002 sta $0400
c005 lda #$37
c007 sta $0401
c00a lda #$21
c00c sta $0402
c00f rts

sys 49152

ok
mene zanima zasto imam pokrenuto 4 svchost.exe procesa? da li je to normalno? ima li jos ko ovo da mu se desava?

evo i na drugoj masini isto tako.

Sasvim je normalno da ima nekoliko aktivnih svchost procesa, jer pod njim rade dll-ovi servisa. Ako te zanima koji servisi rade pod odrđenim svchost-om, kucaj tlist -s (ima ga u Support tools).

e drustvo ako vam je muka da stalno pratite nove zakrpe , samo stavite win 9x i mirno spavajte,jer ovo s***** ne napada obicne vindovse vec samo ove bazirane na new tehno....

"new tehno" - misliš na NT kernel, koji je (verovatno) stariji od tebe? :)

Mislim da bi neko trebao ili svi mi korisnici tuziti Microsoft zbog propusta u sigurnosti jer stvarno mi nije jasno: Kod njih radi toliko inzinjera i opet ne mogu da pisu OS a da nema rupa. Ko ce stalno skidati zakrpe i pack-ove. Ako je neko mogao napisati Linux tako siguran ( tako bar svi pricaju da je siguran, ako ne, onda je sigurno sigurniji od Windows-a) zasto onda Microsoft koji je toliko velika kompanija i koja ima toliko para se za*ebava sa sigurnoscu ( oprostite na izrazu ali mi se cini da je tako). Nedavno sam citao u novinama da su nakon ovih silnih virusa koju su protutnjali, odlucili da im prioritet bude sigurnost. Mos mislit. Sta su dosad radili ?!?!

Potpis

...

Microsoft zakrpe izdaje jednom mesečno. U čemu je toliki problem za desktop korisnika da ovo odradi (ili uključi automatic updates i podesi da skida zakrpe svakog 15-og u mesecu, pošte MS izdaje iste mislim 12-og ili 13-og)? Većina takvih virusa se pojavljuje NAKON što se objave zakrpe - računa se na to da korisnici ne drže sistem up-to-date. S obzirom na to da Windows drži oko 95% desktop tržišta, uvek će biti dovoljno onih koji to ne rade. 1% je i više nego dovoljno. Dakle, jednom mesečno na Windows Update i to je to.

Potpis

Commercial-Free !!!