Großer dDoS Angriff auf das Internet?

#1 Am heutige Tage war offensichtlich eine groß angelegte dDoS Attackte zu beobachten. Es waren vorallem die Rootserver und Systeme rund um Texas betroffen. In den Morgenstunden konnte eine Packetverlustrate im www von bis zu 24% festgestellt werden. Zeitweise waren nur 78% des www erreichbar.

Es handelt sich dabei offenbar um einen Wurm (SQL Jammer), der MS SQL Server befällt. Es konnten massive Zugriffe auf den Port 1434 registriert werden.

http://www.heise.de/newsticker/data/pab-25.01.03-000/
Some News: http://news.zdnet.co.uk/story/0,,t269-s2099780,00.html
Advisory: http://www.nextgenss.com/advisories/mssql-udp.txt
Microsoft Fix: http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS02-039.asp

http://average.matrix.net/
http://www.internethealthreport.com/
__________
powered by http://different-thinking.de - Netze, Protokolle, Sicherheit, ...

#2 Mal ne frage dazu der Wurm besteht ja ausschließlich im Speicher und wird
garnicht auf der Festplatte gespeichert?
das heißt
1. Nach einen Neustart ist er weg
2. Kein Antiviren scanner findet ihn, da die ja nur Lesen/schreiben auf der Hdd
kontrollieren.


Glückwunsch an alle Admins die den Patch noch nicht aufgespielt haben
__________
°<- Vorsicht Trollköder und Trollfalle -> {_}

#3 Die Sicherheitslücke war schon lange bekannt. Und wenn man den Patch nicht benutzt ist das dumm von den Leuten. Also selber schuld wenn man Crackern eine Chance lässt

#4 Bezgl der Portscans, hier ein grafische Untermalung......



Quelle: http://isc.incidents.org/
__________
Durchsuchen --> Aussuchen --> Untersuchen

#5 @Spunki

Bei diesem Schädlich handelt es sich um ein sogenannten "fileless worm" oder "dateiloser Wurm" - ähnlich wie Code Red existiert der Wurm nur zur Lufzeit im Hauptspeicher des Servers. Dies mach das erkennen des Schädlings äußerst schwierig, hat aber auch den Vorteil, daß er sich durch einen Reboot entfernen läßt. Unternimmt man dann aber nichts gegen die Lücke, so ist er in kürzester Zeit wieder da.

R.
__________
powered by http://different-thinking.de - Netze, Protokolle, Sicherheit, ...

#6 Noch ein kleiner Hinweis:

Nicht nur der SQL Server von Microsoft, sondern auch der kleine Brunder - die MSDE (Microsoft SQL Server 2000 Desktop Engine)- ist betroffen. Demzufolge auch alle Produkte, die diese kostenlose Komponente verwenden.

Robert
__________
powered by http://different-thinking.de - Netze, Protokolle, Sicherheit, ...