W32.Spybot.Wurm

[M@tes]

Jojo ich weiss, es gibt hunterde Ergebnisse, wenn ich hier die Suchfunktion benutze.
Aber die sind alle weder vernünftig betitelt, noch haben die das was ich suche,...

Es geht um folgendes:
Mein Vater hat heute sein Antivirenprogramm geupdatet und mal die Festplatte durchsucht.
Er fand eben diesen W32.Spybot.Wurm.
Hab dazu diese Seite gefunden:
http://securityresponse.symantec.com/avcenter/venc/data/w32.spybot.worm.html
Nun hab ich aber ein Problem!
Wie kam der Wurm auf seinen PC?
Er benutzt den PC nur für Homebanking online.
Er besucht auch nur die Bankseite und ist auch nur online, wenn er eben paar Geschäftliche Sachen machen muss.
Er hat quasi die gleichen Programme drauf wie ich. Nur halt ein paar weniger^^ Ich hab den Wurm nicht drauf.
Er hat aber weder Kazaa noch IRC drauf, wie auf der Seite oben beschrieben wurde.
Also woher kommt der scheiss?

[Lokadamus]

mmm...

Steht doch da, wie der Wurm sich verbreiten kann ;):
Neben Kazaa und Mirc benutzt der Wurm noch einige Löcher von Windows.

Ist das Windows von deinem Vater upgedatet? Habt ihr einen Router oder wie wählt ihr euch ins Internet ein?

[M@tes]

Keinen Router.
Er geht über ein 56k Modem rein. Drum ist er auch kaum online

[Lokadamus]

mmm...

Das heisst, er hat weder eine PFw (höchstens die interne von SP1 oder 2) noch sind irgendwelche Dienste abgeschaltet?

[Bandit666]

Da der PC nur ein 56k-Modem hat, denke ich mal das man das "Updaten" von Windows (inkl. SP2) einfach mal weggelassen hat.Oder?


mfg

[M@tes]

Wir gingen bisher auch davon aus, das Antivirus und Firewall reichen würden.
Habe selber Windows 2000 und hab noch nie Probs mit Viren gehabt.
Norton hat gemeldet, den erfolgreich entfernt zu haben.
Aber nach nem neustart war der driss wieder drauf.
Entweder wurde der nich sauber entfernt oder kam via Internet.
Werde da wohl eh wieder Windows2k drauf fitzen.
WinXP geht mir sowas von aufn Sack,...

[Bandit666]

Wir gingen bisher auch davon aus, das Antivirus und Firewall reichen würden.
Habe selber Windows 2000 und hab noch nie Probs mit Viren gehabt.
Norton hat gemeldet, den erfolgreich entfernt zu haben.
Aber nach nem neustart war der driss wieder drauf.
Entweder wurde der nich sauber entfernt oder kam via Internet.
Werde da wohl eh wieder Windows2k drauf fitzen.
WinXP geht mir sowas von aufn Sack,...

Das Problem sitzt hier klar vorm Moni!
Ich klincke mich aus!!

[M@tes]

Wir können aus gewissen Gründen keine Windowsupdates installieren.
Desshalb werde ich wohl auch bald Win2k draufhaun. Da können wir wieder die Patches drauftun.

"Das Problem sitzt hier klar vorm Moni!"
Ich würde mit so Aussagen aufpassen!
Das kann schnell als DAU Beschuldigung ausgelegt werden und das is hier nicht der Fall.

[Hayabusa]

Wir können aus gewissen Gründen keine Windowsupdates installieren.
Desshalb werde ich wohl auch bald Win2k draufhaun. Da können wir wieder die Patches drauftun.

"Das Problem sitzt hier klar vorm Moni!"
Ich würde mit so Aussagen aufpassen!
Das kann schnell als DAU Beschuldigung ausgelegt werden und das is hier nicht der Fall.

Wieso kannst du keine Windowsupdates installieren? :|

[Bandit666]

Raubkopie!!!!!!!!!!!!!!

plz close

[M@tes]

Raubkopie!!!!!!!!!!!!!!

Das hat keiner gesagt,... Und steht hier auch nicht zur Debatte.

[Kurgan]

"Das Problem sitzt hier klar vorm Moni!"
Ich würde mit so Aussagen aufpassen!
Das kann schnell als DAU Beschuldigung ausgelegt werden und das is hier nicht der Fall.

norton als antivir
ein steinaltes xp-sicherheitsloch nicht gepatcht (der wurm ist aus dem jahr 2003)
edit: ähm .. und der benutzte virenscanner wurde offenbar seit mindestens einem jahr nicht aktualisiert oder zumindest kein scan durchgeführt ...

.. also ms ist nicht ganz unschuldig, aber derjeniege welcher hier die hände an maus und tastatur legt verhält sich nicht gerade wie ein sicherheitsprofi.

und ganz nebenbei: sogar norton hats geschafft ein howto zu schreiben wie man das tier wieder los wird ... zu finden auf der von dir verlinkten seite ganz unten, unter
technical details
When W32.Spybot.Worm is executed, it does the following:
...
aber als nicht-dau wurde das sicher gelesen und ausgeführt, oder? ;)

[Smoke Screen]

Raubkopie!!!!!!!!!!!!!!

plz close

Mag ja sein. Aber selbst mit einer solchen ließe sich prima
updaten incl. aller SP`s. :confused:

[Lokadamus]

Wir gingen bisher auch davon aus, das Antivirus und Firewall reichen würden.mmm...

Das Antivirusprogramm muss aber auch regelmässig upgedatet werden und die PFw auch richtig konfiguriert sein (die Windowslöcher könnte man ausschliessen, wenn beim Scan alle Ports als closed angezeigt werden, wobei dann wieder die Frage zu klären wäre, ob Outlook benutzt wird). Wenn es da Windows XP ohne ein SP ist, würde es mich nicht wundern, wenn es instabil läuft. Es gibt nicht ohne Grund SP1 und das kann man meines Wissens nach ohne Probs einspielen ...

[bliblablubb]

mmm...
... Es gibt nicht ohne Grund SP1 und das kann man meines Wissens nach ohne Probs einspielen ...

nur wenn man eine "eventuell illegale version" auch mit einem "illegalen crack" freischaltet;)
schließlich war MS so schlau und hat ihr SP1 mit dieser "sicherheitsprüfung" versehen. aber da der betreffende ja kein dau ist, kann man sowas ausschließen. =)

[M@tes]

Sorry, aber das Antivirenprogramm wird Wöchentlich geupdatet!
Das DIng ist also erst seid kurzem aufm PC!
Ist zwar schön, das ihr helfen wollt, aber lasst eure ev mutmassungen.
Das Ding ist auch wieder weg.
Die Frage war nur, wie kam es auf den PC.
Meine englischkenntnisse sind nich gerade die besten, aber wie ich es verstanden habe, muss eine Datei ausgeführt werden, damit der PC infiziert wird? Dann is die Frage, woher das Ding her kam :confused:
Emailprogramm hat er auch keines drauf, bzw nutzt es nicht.
Die werden alle über meinen PC abgewickelt.
Firewall und Antivirus sind installiert und praktisch wöchentlich auf den aktuellsten Stand gebracht.

[Kurgan]

Sorry, aber das Antivirenprogramm wird Wöchentlich geupdatet!
Das DIng ist also erst seid kurzem aufm PC!
Ist zwar schön, das ihr helfen wollt, aber lasst eure ev mutmassungen.
Das Ding ist auch wieder weg.
Die Frage war nur, wie kam es auf den PC.
Meine englischkenntnisse sind nich gerade die besten, aber wie ich es verstanden habe, muss eine Datei ausgeführt werden, damit der PC infiziert wird? Dann is die Frage, woher das Ding her kam :confused:
Emailprogramm hat er auch keines drauf, bzw nutzt es nicht.
Die werden alle über meinen PC abgewickelt.
Firewall und Antivirus sind installiert und praktisch wöchentlich auf den aktuellsten Stand gebracht.

The DCOM RPC Vulnerability (described in Microsoft Security Bulletin MS03-026) using TCP port 135.
The Microsoft Windows Local Security Authority Service Remote Buffer Overflow (described in Microsoft Security Bulletin MS04-011).
The vulnerabilities in the Microsoft SQL Server 2000 or MSDE 2000 audit (described in Microsoft Security Bulletin MS02-061) using UDP port 1434.
The WebDav Vulnerability (described in Microsoft Security Bulletin MS03-007) using TCP port 80.
The UPnP NOTIFY Buffer Overflow Vulnerability (described in Microsoft Security Bulletin MS01-059).
The Workstation Service Buffer Overrun Vulnerability (described in Microsoft Security Bulletin MS03-049) using TCP port 445.
Windows XP users are protected against this vulnerability if the patch in Microsoft Security Bulletin MS03-043 has been applied. Windows 2000 users must apply the patch in Microsoft Security Bulletin MS03-049.
The Microsoft Windows SSL Library Denial of Service Vulnerability (described in Microsoft Security Bulletin MS04-011).

wo steht da was von datei ausführen? ich tippe auf den ersten punkt, den remoteprozeduraufruf .. war damals ziemlich beliebt. um ein ungepatchtes win xp zu infizieren müüsen folgende bedingungen erfüllt sein:
1. ein verbindung in internet

und das wars auch schon. eine aufgebrochene wohnungstür (windows) bekommt man nicht dadurch wieder zu, das man eine alarmanlage (pfw) und/oder einen wachund (antivir) beschafft. man sollte auch eine neue tür einbauen (windows patchen)

[Smoke Screen]

nur wenn man eine "eventuell illegale version" auch mit einem "illegalen crack" freischaltet;)
schließlich war MS so schlau und hat ihr SP1 mit dieser "sicherheitsprüfung" versehen. aber da der betreffende ja kein dau ist, kann man sowas ausschließen. =)

Genau das ist nicht zutreffend. Seltsamerweise gibt es genügend illegale
"Versionen" von XP die nicht gecrackt werden müssen UND voll updatefähig
sind. Ich habs selbst gesehen,und irgendwie taten mir dann spontan die 150€
weh die ich dafür bezahlt hab. :|
Wie auch immer. Wer sich per Modem ins WWW einwählt ist mittlerweile
extrem gefährdet. Selbst während des Update-Prozesses kann man sich da
was einfangen. Ich hab schon einige PC`s "renoviert" bei denen das der Fall
war.
Auch Direktzugang per DSL ist riskant. Eigentlich ist DSL mit HW-Firewall
bewehrtem Router + SW-Firewall (Sygate Freeware z.B.) auf dem PC heuer
Pflicht um gegen böse Überraschungen einigermaßen gefeit zu sein.
Vorausgesetzt beide sind sinnvoll konfiguriert.
Ne Antivirus-Soft zusätzlich ist auch nicht verkehrt,wenn ich auch meine das
ein On-Demand Scanner ausreicht um Downloads etc. zu checken.
(Bitdefender Freeware ist dafür ganz ok)
Und wenns geht nicht IE und Outlook benutzen,oder zumindest keine Mails
als HTML zulassen,sondern nur als Text und NIEMALS Mail-Attachments
öffnen,es sei denn das ist vorher mit dem Absender abgesprochen.

[M@tes]

kk, also war es doch nur eine Frage der Zeit.
WinXP haben wir eh nie wirklich gemocht.
Werde wohl sobald als Möglich Win2k installieren.
Nachdem es hies, das Blaster und Co mit einer Firewall geblockt werden können, dachten wir,... Naja egal. Aus Fehlern lernt man.
Wie gesagt, ich hatte bisher noch nien Virus oder sowas.
Is schon komisch. Das System meines Vaters hatte ich vor über einem Jahr neu aufgesetzt. Hat aber lang gebraucht, bis es auch ihn getroffen hat :rolleyes:

[Mr. Lolman]

Imo reicht der verzicht auf den IE und eine gewisse Vorsicht beim öffnen von e-Mail Attachments vollkommen aus.

Ich hab schon Rechner gesehen, die trotz SP2, allen Updates, HW&SW Firewall und aktuellen Virenscanner mit bis zu 20 Trojanern verseucht waren. (Wovon vom Virenscanner vll. die Hälfte erkannt wurden, nachdem das System soweit gereinigt war, dass die Viren beim Systemstart nicht mitgeladen wurden)

Wer beim Google ein bisschen aufmerksamer sucht, wird auch merken, dasss es einige Tojaner gibt, die nur deswegen funktionieren, WEIL eben eine SW Firewall am Rechner installiert war, die allein durch ihr Vorhanden sein weitere Möglichkeiten zur Kompromittierung des Systems erlaubt.

Dann installiert man den Leuten den Firefox, zeigt ihnen wie billig bei manchen Email Attachments die wirkliche Endung versteckt ist, und nach einer Woche wird man wieder angerufen weil der Rechner schon wieder so langsam ist, und ob man nicht irgendwas übersehen hätte. Dann schaut man sich den Rechner an, merkt dass der firefox deinstalliert wurde, und bei Rückfrage war dann nur die Antowrt, dass der nicht so komfortabel sei, we der IE (???).



Als Kontrast dazu steht meine Rechnerkonfig. Bis vor 2 Monaten hatte ich nichtmal einern Router. Die PCs hingen mit ICS zusammen und hatten weder ne SW Firewall noch nen Virenscanner noch auch nur ein einziges Update nach dem SP1.

Trotzdem hatte ich bis jetzt nur einen Virus (hat die Freunding draufgespielt, als sie eine versuchte Mail geöffnet hat, und noch nicht wusste, dass man Spam am besten gleich wieder löscht, anstatt sich über den Inhalt desselbigen zu wundern und dann auf Attachmant zu klicken)


Komisch, oder?





BTW: Ja ich bin mir sicher, dass unsere PCs sauber sind, ich kenn mich da schon ein bisschen aus (muss man wenn man, berufsbedingt, virenverseuchte PCs zu säubern hat, in Fällen wo eigentlich ne Neuinstallation angebracht wär ;))

[Kurgan]

ich bin eigentlich immer froh wenn meine "kunden" opera nicht nutzen (wegen geiz und/oder werbung), der ie ist diesbezüglich eine todsichere einahmequelle :D

[Smoke Screen]

Komisch, oder?

Nee,Know How & Glück. ;) Bei unbedarften Usern sollte man aber das
System "dicht" machen. Und bei ner guten HW-Firewall ist der PC nach
aussen hin gar nicht mehr "sichtbar",die SW-FW dient vornehmlich zur
Vermeidung eines unkontrollierten Datenausstausches von auf dem PC
installierter Software,z.B. Spyware und Adware die freundlicherweise
mit mancher Share-/Freeware gleich mitinstalliert wird. Immerhin kriegt
der User dann ne Meldung auf den Schirm und wundert sich nicht nach
ein paar Tagen warum nix mehr geht.

[Lokadamus]

Firewall und Antivirus sind installiert und praktisch wöchentlich auf den aktuellsten Stand gebracht.mmm...

Da stimmt dann aber irgendwas nicht. Die PFw würde ich nicht wöchentlich updaten und wenn, dann nur, wenn definitiv keine Verbindung besteht. Entweder ist die PFw falsch konfiguriert oder war kurz aus, ansonsten müsste jede "richtig" konfigurierte PFw erstmal alle Anfragen verwerfen, wenn sie nicht vom PC selber angefordert wurde und man sollte in der PFw auch einstellen können, das LAN- Verbindungen (also Anfragen aus dem gleichen Netz) erlaubt sind, aber nicht von anderen Bereichen.
Das es Löcher in PFw's gibt, ist nichts neues, nur hab ich bisher von keinem Wurm gehört, der in der Lage ist, von extern einzudringen. Sämtliche Würmer, die bisher eine PFw angreifen, greifen von intern an, indem sie als Email reinkommen (und Blaster + seine Kollegen wird man durch eine PFw schon los, wobei die Patches ebenfalls eingespielt werden sollten)... und wenn hier jetzt wieder jemand eine Diskussion über PFw = nutzlos, Router einziger Schutz lostreten will, dann darf er mir erklären, wie ein Router vor einem HDD-Crash schützen kann. Daten kann man so oder so verlieren, wieviel die Daten einem selber bedeuten, muss jeder für sich selber entscheiden und dementsprechend Maßnahmen ergreifen ...

[Thanatos]

Imo reicht der verzicht auf den IE und eine gewisse Vorsicht beim öffnen von e-Mail Attachments vollkommen aus.



Kann da nur zustimmen, der Internetexplorer ist keine Sicherheitslücke sondern eher ein Scheunentor mit neonbeleuchtung ;(

Habs ja selber auf der Lan gemerkt, da hat einer mal aus "spaß" (um mal zu sehen wie viele viren er hat) AntiVir PE drüberlaufen lassen, und er hatte sage und schreibe 120!! :O :| von denen aufm Rechner, aber das fan er eher lustig, da ja sein Computer immernoch lief X-D.

benutzt hat er den Internetexplorer, ein ganz nette vergleich dazu war mal wieder ein anderer Kumpel von mir, den konnte ich davon überzeugen den Opera browser zu nehmen, aber PFW oder AV hat er auch nicht drauf aber er hatte gerade mal 6 Viren auf dem Computer . was ja imemrnoch zuviel ist, aber schon etwas zu denken gibt...........

Benutze selbst schon länger Opera und hab jetzt nen kleinen "Rekord" aufgestellt, mein system ist jetzt schon seit mindestens 3 Monaten sauber.:)

Und ich benutze AV+PFW

[Denniss]

Meinen letzten Virus hatte ich auf dem Amiga .......

Also wer ein Bisschen im Voraus denkt und nicht die massenhaft verbreiteten Progs für Internetverkehr benutzt kann schon recht sicher unterwegs sein.

Win98SE als OS, Mozilla (bzw Firebird/Thunderbird) für's Netz und Mailwasher zur Vorschau bei den Mails. Firewall nicht nötig und Virenscanner nur bei Bedarf.

[M@tes]

recht sicher unterwegs sein.
"Recht" ist nicht 100%ig und das hat bei uns eben schon gereicht.
Bzw meinem Vater^^

[Bandit666]

"Recht" ist nicht 100%ig und das hat bei uns eben schon gereicht.
Bzw meinem Vater^^


Falsch....ihr habt nen Virus weil ihr keine Updates drauf habt.....und warum ihr diese nicht einspielen könnt haste immer noch nicht gesagt.


mfg

[Kurgan]

Falsch....ihr habt nen Virus weil ihr keine Updates drauf habt.....und warum ihr diese nicht einspielen könnt haste immer noch nicht gesagt.


mfg
*unterschreib*

und wie deniss w98-rechner aussieht wenn man mal nen vernünftigen scanner über alle platten laufen lässt möchte ich nicht wirklich wissen ;)