RPC raz jeszcze ;) (trzęsienie ziemi i napięcie rośnie ...)

	B O A R D
	» Board » Zadaj pytanie » Archiwum » Szukaj » Stylizacja

M E N U

» Nowości

» Archiwum

» Recenzje / Testy

» Board

» Rejestracja

Szukaj @ TwojePC

	OBECNI NA TPC
	» Shark20 03:39 » Visar 03:00 » Chavez 02:46 » yanix 02:26 » PaKu 02:20 » metacom 02:18 » xpx 02:17 » abes99 01:30 » luckyluc 01:30 » Chrisu 01:26 » PiotrexP 01:18 » Martens 00:57 » Wolf 00:44 » CiAsTeK 00:39 » bmiluch 00:38 » Zic 00:36 » rulezDC 00:36 » Demo 00:15 » rarek 00:09 » buddookan 00:03 Dzisiaj przeczytano 41103 postów, wczoraj 25974 Szybkie ładowanie jest: włączone.

ccc

A R C H I W A L N A W I A D O M O Ś Ć

RPC raz jeszcze ;) (trzęsienie ziemi i napięcie rośnie ...) , Tiamat 13/08/03 10:44
Sorki za nowy post .. ale sprawdziłem info na symantecu o tym wormie ( http://securityresponse.symantec.com/....worm.html ) no i mam kilka niepokojących wniosków.

1. Poprawcie mnie jeśli się mylę, ale zamknięcie windowsa to nie jest celowe (a w każdym razie nie podstawowe) działanie worma. Jest to skutek crashu biblioteki przy nieudanej próbie zexploitowania jej - a że windows nie może bez niej żyć, to się resetuje .. (Due to the random nature of how the worm constructs the exploit data, this may cause computers to crash if it sends incorrect data. )

2. Podstawowe działanie worma to przejęcie jak największej liczby komputerów w celu zatakowania po 16.08 Windows Update (distributed DoS) - jak widać po liczbie crashy takich komputerów jest sporo.

3. Teraz najciekawsze - przygotowana przez MS łatka zapobiega exploitowaniu spaczowanych komputerów - ale, jeśli się nie mylę, nie usuwa z już zainfekowanego komputera samego msblast.exe!! Wszystkie opisy przeciwdziałania mówią o zainstalowaniu łaty i późniejszym usunięciu trojana.

Czy oznacza to, że systemy tylko spaczowane łatką, ale nie wyczyszczone z worma
1. nadal szukają ofiar,
2. po 16.08 wezmą udział w DDoS ?
Obawiam się, że tak .. będę wtedy na urlopie ;) ale trzymajcie rękę na pulsie (myszek).
Głupia microsoft - sama sobie kopie dół do trumny ;)

Tym bardziej aktualne pozostaje przesłanie z kodu worma (niewyświetlane):

I just want to say LOVE YOU SAN!!
billy gates why do you make this possible ? Stop making money and fix your software!!

Pozdrawiam,

-+- TmT ---
Jest 10 grup ludzi - jedni rozumieją kod
binarny, drudzy nie.

dziwna sprawa... , Ament 13/08/03 10:52
ja sie wczoraj smialem ze wszystkich bo do netu uzywam 98SE ale dzisiaj odpalam z innej partycji XP Pro, pisze w wordzie pewien tekst a tunagle bummm... I zaczyna odliczac 60 sek! Jest to dla mnie o tyle dziwne ze pod XP mam zablokowany net i wszystkie zwiazane z nim uslugi a nawet w menadzerze urzadzen sieciowka ustawiona jest na disabled! Tzn ze co? Zagniezdzil sie gdzies w 98 i sam sobie znalazl na ktorej partycji jest XP? Albo czekal az go uruchomie? Oczywiscie wywalilem syfa ale ten przypadek jest dla mnie co najmniej z Archiwum X;-)
I
-AMENT-
I
1. Ha! A mówiłem ze S-F!!! , Sith 13/08/03 10:53
  >>>>http://twojepc.abad.pl/boardPytanie49719.htm#14
  
  pozdr
a ja mam pytnie innego rodzaju , deadly 13/08/03 11:21
bo ja sie na tym nie wyznaje, ale jak osoby którym to wyskakije ten RPC i się zamyka sie winda łaczą z internetem, bezpośrednio czy przez lan. I jeszcze czy na win 2000 też to sie dzieje. Bo widzę że kupa ludzi ma z tym problemy a u mnie server ani mój blaszak nic takiego nie wyprawia. Na seswerku win 2000 sp3 a u mnie na kompie XP bez pack. Dlaczego u mie nic takiego się nie robi ????
pozdro
lubię robić nic
1. bo masz fuksa! , ZGreG 13/08/03 11:36
  123 ((-:
  podpis?
  jaki podpis!
2. no właśnie... , DmK 13/08/03 11:39
  ja też mam xpek prof. ,bez sp1, i sygate personal firewall, a nawet raz mnie to dziadostwo nie uświadczyło swoim atakiem (co ja jakiś gorszy jestem - może to atakuje inne wersje xp ;)) Przezornie zainstalowałem tą łapkę. Moźe dlatego, że nie chodzę po żadnych stronach ze zdjęciami ;)))
  Pozdrawiam
  1. ja mam 7 kompow xp , Belgaroth 13/08/03 11:54
    i tez nie mialem tego robaczka, wszyscy (prawie wszyscy) moi znajomi maja ten problem. Moze ktos powiedziec gdzie mozna takiej choroby sie nabawic?
    ... no to pchamy, ty ciebie, ja
    mnie ...
    1. nie mam pojecia , capri 13/08/03 12:09
      zeby nie board to bym nawet nie wiedzial ze cos szaleje po sieci ^^
      Quidquid latine dictum sit,
      altum videtur
3. A więc .. z dostępności paczy .. , Tiamat 13/08/03 12:32
  .. błąd jest we wszystkich (professional, home, enterprise i co tam jeszcze nie powymyslali)
  w2k, wxp, w2003
  
  worm sam sobie losuje IP, które następnie sprawdza na okoliczność podatności ..
  
  że niektórych ine dotyka to ?
  
  No możliwe, że w LANie nie ma, a przez firewala (lub system inny niż powyższe) worm nie przejdzie z sieci do środka LANu .. jak choć jeden się przedostanie to się zacznie mnożyć wewnątrz LANu.. (nie życzę ..)
  
  Moja siostra wczoraj pierwszy raz w życiu podłaczyła się (przez numer dostępowy NOMu chyba .. lub TPSA) do internetu i po pięciu minutach XP jej się zamykał. :/
  
  Możliwe też, że procedura pseudolosowania IP ze względu na PSEUDOlosowość omija jakieś adresy. :)
  
  Nie jestem pewien, czy ten worm nie rozsyła się również pocztą.
  
  To tyle, chyba nic nie przekręciłem.
  
  Pozdro,
  -+- TmT ---
  Jest 10 grup ludzi - jedni rozumieją kod
  binarny, drudzy nie.
4. Na 2k nie zamyka systemu tylko: , Brauni 13/08/03 13:28
  Wywala błąd svchost.exe i nie dziala wiele z opcji otoczenia sieciowego i wlasciwosci sieci.
  Po restarcie jest dobrze przez kilka minut i znowu to samo ... ale nie przeszkadza to w pracy servera juz skonfigurowanego, udostepnianie dziala itp..
  Przynajmniej tak bylo u mnie .... ;)
  Br@uNi Polska
5. To postaw sobie serwer , sebtar 13/08/03 13:39
  na linuxie, będziesz miał mniej kłopotów ;)
  Demokracja to władztwo intrygantów,
  wybieranych przez głupców.
dzisiaj w pracy to bylo urwanie glowy : wszystkie kompy padly , mateusz 13/08/03 13:31
dzisiaj w pracy to bylo urwanie glowy : wszystkie kompy padly oprocz jednego z WINDOWS NT4.0 . Czy Windows NT 4.0 jest na to odporny ?
Hehehehehe dobrze że mam , sebtar 13/08/03 13:43
urlop :-D i serwer na linuxie :-P
Demokracja to władztwo intrygantów,
wybieranych przez głupców.
ROZWIĄZANIE .. jakby ktoś miał tylko minutę na znalezienie to jest tutaj. , Tiamat 13/08/03 14:15
1) Rozpoczęte odliczanie można zatrzymać uruchamiając z poziomu wiersza poleceń komendę shutdown -a. Tylko wtedy nie wszystko działa. Ewentualnie na firewallu zablokować port 135.

2) Ściągnąć patch z microsoftu:
http://www.microsoft.com/.../bulletin/MS03-026.asp

bezpośrednie linki (ewentualnie w okienku po prawej zmieniamy język):

W2K
http://microsoft.com/...4449117&displaylang=en

WXP
http://microsoft.com/...F69C074&displaylang=en

W2003
http://microsoft.com/...458E92E&displaylang=en

3) Ściągnąć z symanteca program do usunięcia worma z już zainfekowanego kompa:
http://securityresponse.symantec.com/....tool.html
czyli
http://securityresponse.symantec.com/...xBlast.exe

Po wszystkim restart. Powinno być dobrze.

Pozdro,

wirus worm msblast RPC shutdown XP w2k błąd (słówka, żeby archiwum znajdowało ;))
-+- TmT ---
Jest 10 grup ludzi - jedni rozumieją kod
binarny, drudzy nie.