W32\Blaster LoveSan - Firewall Meldungen normal?

#1 Hallo

Hatte mir den o. a. Wurm eingefangen. Ist inzwischen deinstalliert und der
MS Patch eingespielt. Auch das Remove-Tool von Symantec habe ich drüberlaufen lassen. Zumindest ist definitiv kein Eintrag mit der Zeichenfolge
"MSBlast" in meiner Registry.

Meine Firewall Sygate 5.1Pro ist installiert.


Diese meldet nun alle 30 Minuten per eingeblendetem Fenster:
"F30002 DCE/RPC DCOM buffer overflow exploit attempt detected."

Also ein versuchter Angriff per RPC-Buffer Overflow.
Ist das nun ein Angriff des Wurms von außen der ja seit dem 16.8.03 aktiv
sein soll?

Hören die Angriffe irgendwann auch wieder mal auf?

Ist es eventuell ein Fehlmeldung meiner Firewall?

Gibt es ähnliche Erfahrungen?

Mont

#2 bitte in diesem Thread lesen: http://board.protecus.de/t5696.htm
__________
/* whitehouse.css */
#GeorgeWBush { position:absolute; bottom: -6ft; }

#3 Das ist der Versuch des SChadensprogramms sich wieder bei Dir einzunisten. Die Firewall blockt es ja erfolgreich!

Robert
__________
powered by http://different-thinking.de - Netze, Protokolle, Sicherheit, ...

#4 Ja, das dachte ich mir schon.

Aber heißt das, daß ich nie wieder ohne Firewall arbeiten kann?

Da der Angriff jetzt von außen kommt und ich auf der Festplatte alles was
mit dem Wurm zu tun hat gelöscht habe, wird es wohl auch nichts nützen
wenn ich das System neu aufsetze, oder?

Sobald ich die Firewall ausschalte, werden wahrscheinlich über den Wurm
die von mir entfernten Dateien und Registryeinträge wieder neu erstellt.

Das ganze nervt total. Noch dazu schreibt sogar Microsoft im seinem Bulletin
daß man die genaue Funktionsweise und die Absichten (außer dem mutwilligen Herunterfahren- aber das alleine kann es ja meiner Meinung nach nicht sein) des W32/Blaster noch nicht kennt.

Mont

#5 Eigentlich sollte es ausreichen, wenn du den Patch von Microsoft installierst.

Link siehe: http://board.protecus.de/t5696.htm

Zu den Absichten des Wurmes..

Ich finde, dass der Angriff auf windowsupdate.com genug Schaden ist
Das Herunterfahren ist eher ein Nebeneffekt..

Aber wie werden sehen, was man noch über den Wurm herausfindet.
__________
So wird mein Post von allen gelesen..

#6 Hab selber diese Meldung ... Also gibts da was ?

#7 Vorausgesetzt Du hast den Patch von M$ installiert.
In diesem Fall warnt Dich die FW vor einer Gefahr die schon behoben wurde.
Wer Port 135 geschlossen hatte (Dienst beendet) mußte diesen Wurm nie befürchten.
Da win2k und XP mehrere angreifbare Dienste(offene Ports) in der Grundeinstellung anbieten,wird geraten diese mit einer Firewall zu schützen.Wer diese Dienste nicht braucht und sie beendet ist genausogut,wenn nicht sogar besser geschützt als mit einer FW (FW könnte auch abgeschossen werden).In der Hoffnung (theoretisch könnte die FW leicht ausgetrickst werden) unerwünschte ausgehende Verbindungen verhindern zu können (Trojaner,Spyware,Homephone...),kann mann aber auch mit beendete Dienste (geschlossene Ports) eine FW einsetzen.

Gruß
Ajax