Habt ihr den Wurm? Hier eine Anleitung.

Reparaturanleitung zum Blaster Wurm

Obtaining and running the tool

NOTE: You need administrative rights to run this tool on Windows 2000, or Windows XP.
        1.§Download the FixBlast.exe file from:

http://securityresponse.symantec.com/avcenter/FixBlast.exe
        2.§Save the file to a convenient location, such as your downloads folder or the Windows Desktop (or removable media that is known to be uninfected, if possible).
        3.§To check the authenticity of the digital signature, refer to the section, "Digital signature."
        4.§Close all the running programs before running the tool.
        5.§If you are running Windows XP, then disable System Restore. Refer to the section, "System Restore option in Windows Me/XP," for additional details.

CAUTION: If you are running Windows XP, we strongly recommend that you do not skip this step. The removal procedure may be unsuccessful if Windows XP System Restore is not disabled, because Windows prevents outside programs from modifying System Restore.
        6.§Double-click the FixBlast.exe file to start the removal tool.
        7.§Click Start to begin the process, and then allow the tool to run.

NOTE: If, when running the tool, you see a message that the tool was not able to remove one or more files, run the tool in Safe mode. Shut down the computer, turn off the power, and wait 30 seconds. Restart the computer in Safe mode and run the tool again. All the Windows 32-bit operating systems, except Windows NT, can be restarted in Safe mode. For instructions, read the document "How to start the computer in Safe Mode."
        8.§Restart the computer.
        9.§Run the removal tool again to ensure that the system is clean.
       10.§If you are running Windows XP, then re-enable System Restore.
       11.§Run LiveUpdate to make sure that you are using the most current virus definitions.

When the tool has finished running, you will see a message indicating whether W32.Blaster.Worm infected the computer. In the case of a worm removal, the program displays the following results:
         •§Total number of the scanned files
         •§Number of deleted files
         •§Number of terminated viral processes
         •§Number of fixed registry entries

Digital signature
FixBlast.exe is digitally signed. Symantec recommends that you only use copies of FixBlast.exe that have been directly downloaded from the Symantec Security Response Web site. To check the authenticity of the digital signature, follow these steps:
        1.§Go to  http://www.wmsoftware.com/free.htm .
        2.§Download and save the Chktrust.exe file to the same folder where you saved FixBlast.exe (for example, C:\Downloads).
        3.§Depending on your operating system, do one of the following:
         •§Click Start, point to Programs, and then click MS-DOS Prompt.
         •§Click Start, point to Programs, click Accessories, and then click Command Prompt.
        4.§Change to the folder where FixBlast.exe and Chktrust.exe are stored, and then type:

chktrust -i FixBlast.exe

For example, if you saved the file to the C:\Downloads folder, you would enter the following commands:

cd\
cd downloads
chktrust -i FixBlast.exe

Press Enter after typing each command. If the digital signature is valid, you will see the following:

Do you want to install and run "W32.Blaster.Worm Removal Tool" signed on 8/11/2003 7:14 PM and distributed by Symantec Corporation?

NOTES:
         •§The date and time displayed in this dialog box will be adjusted to your time zone if your computer is not set to the Pacific time zone.
         •§If you are using Daylight Saving time, the displayed time will be exactly one hour earlier.
         •§If this dialog box does not appear, there are two possible reasons:
         •§The tool is not from Symantec. Unless you are sure that the tool is legitimate and that you downloaded it from the legitimate Symantec Web site, do not run it.
         •§The tool is from Symantec and is legitimate, however, your operating system was previously instructed to always trust content from Symantec. For information on this and how to view the confirmation dialog again, read the document "How to restore the Publisher Authenticity confirmation dialog box."
        5.§Click Yes to close the dialog box.
        6.§Type Exit, and then press Enter. This will close the MS-DOS session.

System Restore option in Windows Me/XP
Users of Windows Me and Windows XP should temporarily turn off System Restore. Windows Me/XP uses this feature, which is enabled by default, to restore the files on your computer in case they become damaged. If a virus, worm, or Trojan infects a computer, System Restore may back up the virus, worm, or Trojan on the computer.

Windows prevents outside programs, including antivirus programs, from modifying System Restore. Therefore, antivirus programs or tools cannot remove threats in the System Restore folder. As a result, System Restore has the potential of restoring an infected file on your computer, even after you have cleaned the infected files from all the other locations.

Also, in some cases, online scanners may detect a threat in the System Restore folder even though you scanned your computer with an antivirus program and did not find any infected files.

For instructions on how to turn off System Restore, read your Windows documentation, or one of the following articles:
         •§How to disable or enable Windows Me System Restore.
         •§How to turn off or turn on Windows XP System Restore.

For additional information and an alternative to disabling Windows Me System Restore, read the Microsoft Knowledge Base article, "Antivirus Tools Cannot Clean Infected Files in the _Restore Folder (Q263455)."

How to run the tool from a floppy disk
        1.§Insert the floppy disk, which contains the FixBlast.exe file, in the floppy disk drive.
        2.§Click Start, and then click Run.
        3.§Type the following:

a:\FixBlast.exe

and then click OK:

NOTES:
         •§There are no spaces in the command, a:\FixBlast.exe.
         •§If you are using Windows Me and System Restore remains enabled, you will see a warning message. You can choose to run the removal tool with the System Restore option enabled or exit the removal tool.
        4.§Click Start to begin the process, and then allow the tool to run.
        5.§If you are using Windows Me, then re-enable System Restore.



www  

und was macht man, wenn sich dieser Download von Symantec nicht öffnen bzw. nicht aufspielen läßt?  

     Name:W32.Blaster.Worm          §
    Alias:§W32/Lovsan.worm [McAfee]
WORM_MSBLAST.A [Trend]
      Art:      Wurm§
Größe des Anhangs: 6.176 Bytes (UPX gepackt)
Betriebssystem:§Windows NT/2000/XP/2003
Art der Verbreitung: Netzwerk
Verbreitung:      hoch
   Risiko:    mittel §
Schadensfunktion:§unkontrollierter Rechnerabsturz
Rechnersuche über Port 135
DDoS-Angriff auf Microsoft-Server
Spezielle Entfernung: Tool

bekannt seit: 11. August 2003
Beschreibung:
W32.Blaster.Worm ist ein Wurm, der sich über das Netzwerk verbreitet.
Er nutzt dazu die sogenannte DCOM RPC Schwachstelle aus. Dabei handelt es sich um einen nicht geprüften Puffer im "Windows Distributed Component Object Model (DCOM) Remote Procedure Call (RPC) Interface". Durch Überschreiben der Puffergrenze kann beliebiger Programmcode ausgeführt werden. Diese Schwachstelle befindet sich in nicht-gepatchten Windows NT/2000/XP-Systemen.
Informationen zu dieser Schwäche finden Sie im Microsoft Security Bulletin MS03-026  . Eine deutsche Beschreibung der Schwachstelle finden Sie auf dieser Microsoft-Seite  .
W32.Blaster.Worm sucht über TCP Port 135 einen angreifbaren Rechner. Dieser Rechner wird dazu gebracht, das Programm des Wurms (MSBLAST.EXE) per TFTP in das Verzeichnis C:\Windows\System32 oder C:\WINNT\System32 zu laden. Diese Datei lädt der Rechner vom bereits infizierten System. Dazu simuliert der Wurm auf dem infizierten System einen TFTP-Server.
Nach dem Download wird die Kopie des Wurms auf dem neuen Rechner ausgeführt. Es beginnt ein neuer Infektionszyklus.
Der Wurm selbst ist UPX-gepackt. Er enthält einen Text, der jedoch nicht angezeigt wird:
I just want to say LOVE YOU SAN!!
billy gates why do you make this possible ? Stop making money and fix your software!!
Zum automatischen Start erzeugt W32.Blaster.Worm den Registrierschlüssel
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
mit dem Wert
"windows auto update" = MSBLAST.EXE
Bei der Suche nach angreifbaren Rechnern werden zunächst die lokalen Subnetze durchsucht. Danach werden zufällige IP-Adressen zur Suche verwendet.
Weiterhin führt der W32.Blaster.Worm eine sog. DDoS-Attacke gegen einen Microsoft-Server durch (windowsupdate.com).
DDoS = distributed denial of service; dabei wird dieser Server mit so vielen Anfragen überflutet, dass er nicht mehr antworten kann.
Diese Attacke wird in den Monaten Januar bis August vom 16. bis zum Ende des Monats, in den Monaten September bis Dezember fortlaufend (täglich) durchgeführt.
Hinweis:
Da sich der Wurm nicht über E-Mail-Nachrichten versendet, kann er an Mail-Gateways nicht abgefangen werden.
Administratoren sollten (wenn möglich) auf der Firewall die Ports
69 UDP
135 TCP
135 UDP
139 TCP
139 UDP
445 TCP
445 UDP
4444 TCP sperren.
Aktuelle Viren-Signaturen von Schutzsoftware erkennen die Datei MSBLAST.EXE während des Downloads.
Auch Rechner von Privatanwender sind gefährdet! Die entsprechenden Funktionen und Schwachstellen sind in allen Versionen von Windows NT/2000/XP enthalten.
Entfernungs-Programm
Von Symantec wird ein spezielles Entfernungs-Programm  für W32.Blaster.Worm zum kostenlosen Download bereitgestellt.
Auch von NAI gibt es ein entsprechendes Tool  . Beachten Sie, dass der Wurm hier W32/Lovsan.worm heißt.
Microsoft Sicherheits-Patch
Das Microsoft Sicherheits-Patch können Sie sich von der Microsoft-Seite herunterladen. Das geladene Programm führen Sie auf dem unsicheren Rechner aus. Folgen Sie den Anweisungen des Setup-Assistenten. Nach der Installation muß der Rechner neu gestartet werden.
Ob das Hotfix auf Ihrem Rechner installiert ist können Sie in:
Start - Systemsteuerung - Software kontrollieren.
Wenn dort der Eintrag Windows XP Hotfix - KB823980 auftaucht, ist das Hotfix installiert.

(Erstellt: 12.08.2003)
 

http://vil.nai.com/vil/stinger/
und hier die seite vom MS Update:
http://www.microsoft.com/germany/ms/.../bulletin/bulletinms03-026.htm


www  

 

komme nicht mehr auf deren seite. auch nicht www.microsoft.com.
ist auch da jetzt buchstäblich der wurm drin?  

Hi Leute,

habe folgendes für euch auf den Server bei uns gelegt:

Norton FixBlast.exe

Patch für Windows 2000

Patch für Windows XP

Viel Erfolg, bei Fragen postet einfach, ich habe das Teil schon mehrfach bei irgendwelchen Leuten entfernt!

Gruß Adminmail

 

der microsoft link von posting 4 lässt sich jetzt zwar öffnen, aber der batch lässt sich dort immer noch nicht herunterladen.
besten dank mal - scheint bei deiner adresse besser zu klappen  

Also ich meinen Norton immer auf dem aktuellsten Stand und als ich gestern im Netz war wurde mir aufeinmal ne Warnmeldung über den Wurm angezeigt, er wurde erkante und gelöscht, auch ohne den Patch von Microsoft, denn dort scheint wirklich schon alles überlastet zu sein, was soll das dann denn erst morgen geben wofür ja die eigentliche Attacke geplant ist!?  Wer also immer aktuell ist und ein Update macht, vorallem in den letzten Tagen, schätze ich wird keine Probleme haben!  

Freut mich geholfen zu haben.

Sollte morgen wirklich der richtige Angriff auf die Webseite von Microsoft kommen, habt ihr wenigstens noch eine alternative Downloadmöglichkeit.  

Ist richtig, wer den Patch schon installiert hatte, hat keine Probleme. Auch nicht, wer das Glück hatte, dass sich die Virendefinitionen vor dem Scan des Wurmes upgedated haben. Hier kann man aber auch Pech haben, da sich diese ja nur alle paar Stunden oder sogar nur einmal am Tag updaten. Schwein gehabt! :-)