Nieuws
image

Windows worm besmet duizenden PC's

vrijdag 24 oktober 2008, 14:21 door Redactie, 40 reacties

Al duizenden Windows-gebruikers zijn zonder dat ze het weten besmet geraakt met een worm die zich via het nieuwe Windows worm-lek verspreidt. Eenmaal actief op het systeem steelt Gimmiv.A wachtwoorden van onder andere Windows protected storage en Outlook Express, en stuurt die informatie in versleutelde vorm (AES) naar verschillende hosts. Op het moment van schrijven bevatte dit bestand al meer dan 3800 records, hoewel er ook dubbele IP-adressen bij zitten. Dat neemt niet weg dat het zeker om drieduizend besmette computers gaat. Ook maakt de worm melding als de volgende virusscanners zijn geïnstalleerd:


  • BitDefender Antivirus
  • Jiangmin Antivirus
  • Kingsoft Internet Security
  • Kaspersky Antivirus
  • Microsoft's OneCare Protection
  • Rising Antivirus
  • Trend Micro

Jiangmin, Kingsoft en Rising zijn alle drie Chinese anti-virusbedrijven die in de rest van de wereld een zeer klein marktaandeel hebben. Dit zou erop kunnen duiden dat de auteurs in de Chinese hoek te vinden zijn. Verder bevat de dumpsite een afbeelding van Homer Simpson.

Verspreiding
Naast het stelen van informatie zoekt de worm ook naar nieuwe hosts om te infecteren. Het begint met het zoeken van IP-adressen binnen hetzelfde netwerk. Vindt Gimmiv een machine, dan stuurt de worm het kwaadaardige RPC-request naar de Service service. Eenmaal actief op het systeem installeert de worm drie bestanden, winbase.dll, basesvc.dll en syicon.dll, in de %System%\Wbem\basesvc.dll map. Deze DLL bestanden zijn verantwoordelijk voor het stelen en versturen van de gevonden informatie, zo blijkt uit deze analyse.

Nieuwe kansen voor oude worm
Naast de bestaande worm is het ook goed mogelijk dat de kwetsbaarheid een comeback van een twee jaar oude worm mogelijk maakt. Het lek heeft veel gemeen met een andere kwetsbaarheid in de Server service, die Microsoft in 2006 dichtte. Dat lek werd uiteindelijk misbruikt door de Mocbot. "Toonaangevende beveiligingsonderzoekers denken dat het lek gebruikt zal worden om een oude worm op te knappen. Beide lekken bevinden zich in dezelfde code omgeving, die RPC berichten verwerkt en routeert," zegt Adam O'Donnell. De Nederlandse beveiligingsonderzoeker Ronald van den Heetkamp heeft een script gemaakt dat, op eigen risico, RPC uitschakelt. Symantec meldt verder dat het bestand "n2.exe" op geïnfecteerde machines is aangetroffen.

Reacties (40)
24-10-2008, 14:57 door Anoniem
En Kaspersky maar roepen dat Macs het gemakkelijkste doelwit vormen voor hackers.

Theorie... praktijk...
24-10-2008, 15:03 door Eerde
Tiswah ;)

____________________________________________________________________
Gelukkig gebruik ik open source in de vorm van GNU/Linux, mij kan nix gebeuren !
24-10-2008, 15:04 door Preddie
ach schakel bij voorbaat de RPC service uit en je voorkomt een boel problemen :P
24-10-2008, 15:06 door Anoniem
Link naar bestand is dood en probeert een hoop rotzooi...
24-10-2008, 15:09 door SirDice
Ik zeg... Firewall... En elke windows admin weet dat je poort 139 niet direct aan Internet moet hangen...
24-10-2008, 15:18 door Anoniem
Door SirDiceIk zeg... Firewall... En elke windows admin weet dat je poort 139 niet direct aan Internet moet hangen...

ik zeg: elke unix admin weet dat je een windows pc niet aan Internet moet hangen.
24-10-2008, 15:30 door Anoniem
Door Anoniem
Door SirDiceIk zeg... Firewall... En elke windows admin weet dat je poort 139 niet direct aan Internet moet hangen...

ik zeg: elke unix admin weet dat je een windows pc niet aan Internet moet hangen.

tisweer fanboy tijd. zullen we gelijk stoppen met deze onzin? hang jij je ux systeem aan het internet zonder firewall?
24-10-2008, 15:51 door Eerde
Door Predjuhach schakel bij voorbaat de PC uit en je voorkomt een boel problemen :P
Hear, hear ;)

____________________________________________________________________
Gelukkig gebruik ik open source in de vorm van GNU/Linux, mij kan nix gebeuren !
24-10-2008, 15:56 door SirDice
Door AnoniemLink naar bestand is dood en probeert een hoop rotzooi...
Hihi.. Het is de source voor een 404 van die hosting provider waar het stond...

<title>T35 Hosting - 404 Not Found</title>

Dit is de correcte link http://perlbody.t35.com/icon.txt

Eerde zal deze wel leuk vinden.... Vraag me niet hoe ze daar terecht komen...
Mozilla/5.0 (X11; U; Linux i686; es-ES; rv:1.9.0.3) Gecko/2008092510 Ubuntu/8.04 (hardy) Firefox/3.0.3
ELinks/0.11.1-1.2etch1-debian (textmode; Linux 2.6.16.33-xenU i686; 156x24-2
Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.0.2) Gecko/2008091816 Red Hat/3.0.2-3.el5 Firefox/3.0.2
24-10-2008, 16:08 door Lamaar
Door Anoniem
Door Anoniem
Door SirDiceIk zeg... Firewall... En elke windows admin weet dat je poort 139 niet direct aan Internet moet hangen...

ik zeg: elke unix admin weet dat je een windows pc niet aan Internet moet hangen.

tisweer fanboy tijd. zullen we gelijk stoppen met deze onzin? hang jij je ux systeem aan het internet zonder firewall?
Ach, kleuter Eerde blijft met dat bord voor zijn kop lopen.
24-10-2008, 16:18 door SirDice
Door LamaarAch, kleuter Eerde blijft met dat bord voor zijn kop lopen.
Volgens mij heeft'ie die plaat ooit bij Wilton-Feijenoord laten aanmeten ;)
24-10-2008, 16:26 door Anoniem
Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.0.2) Gecko/2008100707 Fedora/3.0.2-1.fc10 Firefox/3.0.2

leuk man, windows wormen die linux besmetten. Kortom, HOAX!!
24-10-2008, 16:45 door SirDice
Door AnoniemMozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.0.2) Gecko/2008100707 Fedora/3.0.2-1.fc10 Firefox/3.0.2

leuk man, windows wormen die linux besmetten. Kortom, HOAX!!
Nee, eikel... Dan zijn van die figuren die het niet konden nalaten om dat php script op te vragen. Drie keer raden wat het doet..
24-10-2008, 16:49 door Anoniem
Door Anoniem
Door Anoniem
Door SirDiceIk zeg... Firewall... En elke windows admin weet dat je poort 139 niet direct aan Internet moet hangen...

ik zeg: elke unix admin weet dat je een windows pc niet aan Internet moet hangen.

tisweer fanboy tijd. zullen we gelijk stoppen met deze onzin? hang jij je ux systeem aan het internet zonder firewall?

Ik ben niet 'jij', maar: Ja hoor, want waarom zou je firewallen als er toch niets (tenzij hij/zij moedwillig een webservice heeft draaien) luistert naar requests die van 'het internet' komen...
24-10-2008, 16:50 door Ed Dekker

1224812782 71.68.32.163 perlbody.t35.com//icon_s.php Mozilla/5.0 (Macintosh; U; Intel Mac OS X; en-US; rv:1.8.1.14) Gecko/20080404 Firefox/2.0.0.14
1224812782 71.68.32.163 perlbody.t35.com//icon_s.php Mozilla/5.0 (Macintosh; U; Intel Mac OS X; en-US; rv:1.8.1.14) Gecko/20080404 Firefox/2.0.0.14
Volgens mij is het gewoon z'n log. En ja, ook mensen met een Mac of Linux hebben browsers ;-)
24-10-2008, 17:03 door Anoniem
ok dat is leuk, dan ben ik geinfecteerd terwijl ik de update al geinstalleerd heb. Trouwens ook leuk dat dat script gewoon de broncode laat zien en volgens mij niets uit voert...
24-10-2008, 17:14 door Eerde
Ubuntu, Debian, Red Hat..... niet bepaald mijn distro's (alhoewel ik ergens een seerver met CentOS heb staan, telt dat ook als Red Hat ?) zoals alom bekend heb ik openSuSE 11.1 met KDE 4.1.69 en gebuik meestal Konqueror als browser.

Verder druipt het intelligentieniveau weer van de volgende opmerkingen af;
Door Lamaar
Ach, kleuter Eerde blijft met dat bord voor zijn kop lopen.
Door SirDice
Volgens mij heeft'ie die plaat ooit bij Wilton-Feijenoord laten aanmeten ;)
Sterke teksten hoor !

____________________________________________________________________
Gelukkig gebruik ik open source in de vorm van GNU/Linux, mij kan nix gebeuren !
24-10-2008, 17:20 door Rene V
Vindt Gimmiv een machine, dan stuurt de worm het kwaadaardige RPC-request naar de Service service. Eenmaal actief op het systeem installeert de worm drie bestanden, winbase.dll, basesvc.dll en syicon.dll, in de %System%\Wbem\basesvc.dll map.

Dus als je standaard niet met Admin rechten draait in XP dan kan de worm ook niet geïnstalleerd worden begrijp ik hieruit.
24-10-2008, 17:38 door Napped
maar wat is nou het grootste risico.
Stel we nemen een standaard school netwerk.
Heel basis zonder vlan's alleen pc's met een kaspersky virus scan. een aantal linux server en een meerendeel windows servers+clients.
wat als 1 van die clients besmet raakt?
Draaien wel een AV met firewall
Dan gaat hij toch alle andere windows proberen aan te vallen ?
Maar aangezien de firewall alleen HTTP en HTTPS naar buiten toelaat en geen enkele pc zit direct aan het internet.

Dan kan de pc wel besmet raken maar toch niet bijvoorbeeld als een bot dienen of informatie naar buiten sturen ??
24-10-2008, 17:44 door Anoniem
@Eerde

is leuk maar je weet dan dus dat 11.1 nog een beta is, dus niet gaan janken als het niet werkt.. :P
24-10-2008, 17:45 door Eerde
Eenmaal actief op het systeem installeert de worm drie bestanden, winbase.dll, basesvc.dll en syicon.dll, in de %System%\Wbem\basesvc.dll map.
en
Nee, eikel... Dan zijn van die figuren die het niet konden nalaten om dat php script op te vragen. Drie keer raden wat het doet..
"Ignorance is a bliss"
Maar uhhh SirFUD ik heb helemaal geen %System%\Wbem\basesvc.dll map wat nu ?


____________________________________________________________________
Gelukkig gebruik ik open source in de vorm van GNU/Linux, mij kan nix gebeuren !
24-10-2008, 17:46 door SirDice
Zucht... Je hebt mazzel dat alles nu van die hosting server af is...

Maar uit je reactie blijkt, wederom, dat je totaal geen kaas gegeten hebt van deze materie...
24-10-2008, 17:53 door Anoniem
Door Lamaar
Door Anoniem
Door Anoniem
Door SirDiceIk zeg... Firewall... En elke windows admin weet dat je poort 139 niet direct aan Internet moet hangen...

ik zeg: elke unix admin weet dat je een windows pc niet aan Internet moet hangen.

tisweer fanboy tijd. zullen we gelijk stoppen met deze onzin? hang jij je ux systeem aan het internet zonder firewall?
Ach, kleuter Eerde blijft met dat bord voor zijn kop lopen.

Nee, dit is niet Eerde. Dit is EJ.

En ja, ik hang regelmatig unix systemen rechtstreeks aan Internet. Als firewall naar windows doosjes bijvoorbeeld. En de antivirus boys maar janken dat unix systemen vanzelf aan de beurt komen. Als er maar meer worden neergezet.

Duh. Wat was het marktaandeel Apache tegen IIS ook al weer? En waar zijn de grootste problemen mee geweest?

Ook UX systemen hang ik regelmatig aan het Internet. En? Ooit gepakt? Dachutniet. Dat waren toch redelijk cruciale systemen. :-) De natte droom van elke professionele hacker, maar pakken ho maar.

Veel geblaat, weinig wol.

EJ
24-10-2008, 17:59 door SirDice
Door Nappedwat als 1 van die clients besmet raakt?
Draaien wel een AV met firewall
Dan gaat hij toch alle andere windows proberen aan te vallen ?
Correct. Zover ik het begrepen heb scant deze malware eerst het aangesloten netwerk. Krijgt het een reactie dan wordt die MS08-067 exploit gebruikt. Eenmaal binnen wordt er een nieuwe service toegevoegd en gestart. Deze service gaat opzoek naar wachtwoorden en andere informatie. Tevens begint ook die machine een scan van het netwerk.

Maar aangezien de firewall alleen HTTP en HTTPS naar buiten toelaat en geen enkele pc zit direct aan het internet.
De informatie werd via http verstuurd en zou dus makkelijk via je proxy naar buiten kunnen. Op dit moment heeft iemand die hosting site leeggehaald, waarschijnlijk de hoster zelf, waardoor het nu niet meer werkt. Maar goed, een variant van deze malware kan natuurlijk makkelijk een andere hosting site gebruiken.

Een firewall zou dit tegen moeten houden maar als de interne machine's als "vertrouwt" zijn gemerkt gaat het mis. Als je bestanden kunt delen met machines kun je dus vatbaar zijn.
24-10-2008, 18:04 door SirDice
Door René V
Vindt Gimmiv een machine, dan stuurt de worm het kwaadaardige RPC-request naar de Service service. Eenmaal actief op het systeem installeert de worm drie bestanden, winbase.dll, basesvc.dll en syicon.dll, in de %System%\Wbem\basesvc.dll map.

Dus als je standaard niet met Admin rechten draait in XP dan kan de worm ook niet geïnstalleerd worden begrijp ik hieruit.
Nee, de exploit levert SYSTEM op.. De rechten van de ingelogde gebruiker zijn niet relevant aangezien de bug in een service zit... Sterker nog, er hoeft niet eens iemand ingelogd te zijn...
24-10-2008, 18:04 door Eerde
Door SirDiceZucht... Je hebt mazzel dat alles nu van die hosting server af is...
Hoezo dat dan ? Verklaar je onzin en waanideeen nader...

____________________________________________________________________
Gelukkig gebruik ik open source in de vorm van GNU/Linux, mij kan nix gebeuren !
24-10-2008, 18:10 door SirDice
Door Eerde
Door SirDiceZucht... Je hebt mazzel dat alles nu van die hosting server af is...
Hoezo dat dan ? Verklaar je onzin en waanideeen nader...
Nee, want je luistert toch niet...

En nu is het tijd voor bier, het is vrijdagavond nota bene!
24-10-2008, 18:18 door Eerde
Ahh, gevalletje Korsakov dus, waarvan akte SirFUD !
24-10-2008, 18:42 door Lamaar
Zeg Eerde, wat is nou eigenlijk je bedoeling? Een zielige poging om deskundig over te komen? Denk je dat je iemand hier een plezier doet met je draconische reacties? (Zoek in het woordenboek maar wat draconisch betekent.)

Doe ons een plezier en hou je belachelijke reacties nou eindelijk eens voor je. Dat over Korsakov is echt de limit. Voor mij mogen ze jou bannen, want dit is schelden van de onderste plank.
24-10-2008, 19:17 door Eerde
@laatmaar,
Schelden doe ik nooit !
Ennuh, je hoeft niet op mijn reacties te reageren hoor, je hoeft ze zelfs niet te lezen.

Maar vertel eens jij bent toch de reincarnatie van "nomen nescio" ?

____________________________________________________________________
Gelukkig gebruik ik open source in de vorm van GNU/Linux, mij kan nix gebeuren !
24-10-2008, 20:17 door Anoniem
In China heerst een berucht computer virus van Microsoft Windows Genuine Advantage - WGA.
Dit virus is door velen Chinese gedownload via de Windows Update. Veel Chinese burgers gebruiken tensloten een illegaal Windows XP , tensloten hebben deze gebruiker geen recht op updates!
Chinese zijn woest op Microsft dat met WGA het Windows Bureablad op zwart gooid , * dit is vast het antwoord op de WGA we gaan met moder gooi!
24-10-2008, 21:00 door Anoniem
Door Eerde@laatmaar,
Schelden doe ik nooit !
Ennuh, je hoeft niet op mijn reacties te reageren hoor, je hoeft ze zelfs niet te lezen.

Maar vertel eens jij bent toch de reincarnatie van "nomen nescio" ?

____________________________________________________________________
Gelukkig gebruik ik open source in de vorm van GNU/Linux, mij kan nix gebeuren !

Ik dacht dat jij dat was? Herboren als GNU/Linux extremist, in plaats van Windows fanaat...
24-10-2008, 21:05 door Rene V
Toch wel frapant dat terwijl ik op werk was de update automatisch gedownload is terwijl ik niet als Admin ben ingelogd en ik automatische WU standaard disabled heb staan (ik stel het alleen in werking op de reguliere patch dinsdag).

Bovendien heb ik de Server service standaard disabled staan in Windows XP.


In tegenstelling tot wat eerder werd gemeld, zijn Windows 2000, XP en Server 2003 niet kwetsbaar, alleen als bestands en printerdeling zijn ingeschakeld of de firewall uit staat.

Firewall (niet van Windows) staat standaard aan en bestands en printer indeling is ook standaard uitgeschakeld bij mij.
25-10-2008, 11:55 door Marti van Lin
Sorry maar ik denk toch echt dat deze waaier niet voor Vista machines opgaat. Niets kan namelijk onopgemerkt door UAC worden geïnstalleerd.

Verder hoop ik dat Lamaar en Eerde ooit eens een keer volwassen worden. Het lijkt wel een peuterspeelzaal.
25-10-2008, 14:26 door SirDice
Door Marti van LinSorry maar ik denk toch echt dat deze waaier niet voor Vista machines opgaat. Niets kan namelijk onopgemerkt door UAC worden geïnstalleerd.
UAC helpt in dit geval niet omdat de service waar de bug in zit als SYSTEM draait. UAC werkt alleen als een ingelogde gebruiker iets installeert. En zoals ik eerder al opmerkte, er hoeft niet eens een gebruiker ingelogd te zijn. Bovendien wordt er niet echt iets "geinstalleerd" op de traditionele manier (install, setup etc). De bestanden worden gewoon gekopieerd naar de windows directory. Omdat dit verhaal SYSTEM oplevert kan dat, SYSTEM heeft schrijf rechten daar.

Voor de duidelijkheid, er is GEEN ENKELE gebruikers interactie nodig. Simpelweg online zijn is voldoende. Het is een klasieke remote exploit.

Het verschil tussen XP (Critical) en Vista (Important) zit 'm in het feit dat je met Vista een geautoriseerde gebruiker moet zijn om gebruik te kunnen maken van RPC. Let echter op want Guest/Gast is ook een geauthoriseerde gebruiker! Guest wordt nogal eens aangezet om bestandsdelen toe te staan tussen bijv. XP en Vista.
25-10-2008, 14:51 door spatieman
link is nog steeds dood.
25-10-2008, 15:22 door cyberpunk
Hoef ik me dus geen zorgen te maken; geen enkele van die DLL-bestanden is hier terug te vinden en ik gebruik géén open source in de vorm van GNU/Linux. Leuk toch? :-)
25-10-2008, 15:40 door SirDice
Door spatiemanlink is nog steeds dood.
De hoster heeft de bestanden inmiddels verwijderd.
25-10-2008, 16:36 door Eerde
Door cyberpunkHoef ik me dus geen zorgen te maken; geen enkele van die DLL-bestanden is hier terug te vinden en ik gebruik géén open source in de vorm van GNU/Linux. Leuk toch? :-)
Dat is ook waar het FUDmannetje in de vout gaat...

____________________________________________________________________
Gelukkig gebruik ik open source in de vorm van GNU/Linux, mij kan nix gebeuren !
25-10-2008, 18:39 door Marti van Lin
@ SirDice:

Bedankt voor de uitleg. Ik zal XP en Vista dit weekend toch nog maar eens opstarten, kijken of het nog Kosher is ;-)
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search
Certified Secure