Microsoft trekt XP patch-of-death terug
Microsoft heeft bevestigd dat de beveiligingsupdate voor een 17-jaar oud Windows-lek, bij een "beperkt aantal" gebruikers voor problemen zorgt. Een dag na het uitkomen van de februari updates klaagden verschillende gebruikers over een Blue Screen of Death, waardoor hun computer niet meer werkte. Inmiddels hebben zich nog veel meer gedupeerden op het Microsoft forum gemeld. Uit eerste onderzoek van de softwaregigant blijkt dat MS10-015 de boosdoener is. "We hebben nog niet bevestigd dat het probleem specifiek met MS10-015 heeft te maken of dat het een interoperabiliteitsprobleem met een ander onderdeel of third-party software is", zegt Security Communications Manager Jerry Manager.
Het onderzoek is inmiddels in volle gang, maar uit voorzorg is Microsoft gestopt met het aanbieden van de update via Windows Update. Zakelijke gebruikers met SMS of WSUS zullen de update wel zien en kunnen er zelf voor kiezen om die uit te rollen.
Oplossing
De MS10-015 update verhelpt een beveiligingslek waardoor een aanvaller zijn of haar rechten op een systeem kon verhogen. Om de aanval uit te voeren moet de aanvaller wel over inloggegevens beschikken. De kwetsbaarheid bevindt zich in de Windows-kernel, die niet met bepaalde uitzonderingen kan omgaan. Alle 32bit Windows-versies sinds 27 juli 1993 zijn kwetsbaar. In afwachting op een gepatchte patch, kunnen gebruikers de eerder voorgestelde oplossing toepassen.
De betreffende rootkit, een Tdss variant, grijpt diep in op kernel componenten en maakt daarbij zeer waarschijnlijk gebruik van ongedocumenteerde eigenschappen van kernel componenten die door MS10-015 worden gewijzigd. Zo'n rootkit is overigens niet of nauwelijks te detecteren op een draaiend besmet systeem.
Het lijkt er dus sterk op dat Microsoft in dit geval niets te verwijten valt. Alleen als onze theorie klopt kun je je afvragen of het uit de lucht halen van een securityupdate vanwege problemen met gecompromitteerde PC's een goed idee is. Aan de andere kant begrijp ik wel dat Microsoft dit, ondanks dat ze heus wel uitgebreide tests in hun lab hebben uitgevoerd voor het uitbrengen van de patch, zeker wil weten wat er aan de hand is.
Bwahahaha!!! :P
Waarom ondersteunt Windows dan rootkits? Is dat niet een grove kwetsbaarheid van Windows? Omdat Windows zo toegankelijk is voor virussen, rootkits, malware, etc valt MS juist heel erg veel te verwijten.
En iets van 99% van alle Windows machines zijn besmet met minimaal 1 rootkit/malware/virus/etc dus MS moet ook testen of die patch wel op die machines werkt.
Brian Krebs heeft een nieuwe blogpost online gezet waarin hij de ervaringen van Patrick W. Barnes deelt, zie: http://www.krebsonsecurity.com/2010/02/rootkit-may-be-culprit-in-recent-windows-crashes/.
Als het om malware gaat is het jammer dat Microsoft MS10-015 (tijdelijk) niet meer via automatische updates verspreidt. Dat stelt de illegale "eigenaren" van besmette PC's in staat om hun rootkits te "repareren" zodat deze de PC niet meer met een BSOD zal laten crashen zodra Microsoft MS10-015 weer gaat pushen. Iedereen blij! (of niet?)
Een beschrijving van de TDSS rootkit, welke in elk geval door Patrick W. Barnes als oorzaak van de BSOD's is aangewezen, noemt Microsoft "Alureon.A" (zie http://www.microsoft.com/security/portal/Threat/Encyclopedia/Entry.aspx?Name=Virus:Win32/Alureon.A). Deze rootkit kan overigens ook andere drivers dan atapi.sys infecteren.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
