wbla oder normale shutdown?

[günterf 45]

Hi!

 

Bevor Du alles neu aufsetzt solltest Du Stinger.exe einmal suchen lassen.

 

http://vil.nai.com/vil/stinger/

 

Hat mir bei einigen Netzwerken auf Servern und WS gute Dienste geleistet.

 

Günter

[oddysee 10]

Hi Günter danke für deinen Tipp, ich werde es unter VMware ausprobieren.

 

Gruß

 

Tatjana

[solinske 10]

wenn du einen blaser im gepäck hast, dann kannst du ihn im taskmanager sehen !!!

 

findest du die msblast.exe dann ist der schuldige gefunden !!!

[Netranger 10]

ich würde da nicht so voreilig auf den blaster tippen und nach den anzeichen für den blaster suchen.

so weit ich das mitbekommen habe, geistert schon ein weiterer wurm durch das internet, der eigentlich nach dem gleichen prinzip wie der blaster vorgeht, nur daß er nicht so sehr agressiv ist.

 

wenn du es schaffst, daß du den rechner ausfindig machst, von dem eventuell dann ein shutdown-befehl gesendet wird, würde ich aber trotzdem nicht sofort zu dem benutzer hinrennen und ihm vorwerfen, das gemacht zu haben.

 

vielleicht ist der wurm ja dann auf dessen rechner und er kann selbst überhaupt nichts dazu.

 

ich weiss ja nicht, wie es bei euch mit remoteüberwachung aussieht, aber falls ihr das in eurer firma ohne einwilligung des überwachten (also geheim) machen dürft, würde ich ab und an mal bei dem auf den rechner schauen und überprüfen was er/sie so treibt.

 

 

mfg netranger

[Roi Danton 10]

Hi,

Original geschrieben von oddysee

Ähm... shutdown.exe aus dem Resource Kit auf der Warnmeldung steht welche Rechner das Befehl ausführt??????? Bist Du sicher???? Ich dachte da steht das nicht. Ich führe unter VMware morgen shutdown.exe aus dem Resource Kit aus. *neugir*...

So sollte es sein ;)

 

Als Tipp, wenn Du lokal grad an der Maschine sitzt während die Meldung kommt "Das System wird heruntergefahren blabla..."

 

Gib mal an der Console "shutdown /a" ein.

Das sollte die rebootfreudigkeit Deines Systems etwas hemmen ;)

 

Gruß,

 

Roi Danton

[oddysee 10]

Danke Roi, hört sich gut an ;) ..... Zum meinen Pech war das doch der Wurm <-------- *grrrrrrrrrrr*.. Ich kann mir dass nicht erklären wie das kam. Nichts runter geladen, keine fremde Mail gelesen, keine Sexseiten besucht *ggg*.... Naja .... Neu Installation habe ich bereits durchgeführt jetzt kommen nur die Anpassungen. Outlook habe ich aus versehen nur Papierkorb gesichert. Meine ganze Aufgaben, Kundentermine und alles was dazu gehört ist weg.. (Selbst Schuld) So hat der Tag heute blendend begonnen, ich hoffe nur das der Windowsserver nicht befallen ist *hoff*

 

Danke @alle die mir geholfen haben.

[Roi Danton 10]

Hi oddysee,

 

der Blasterwurm ist ne heimtückische Sache.

Den fängt man sich nicht auf XXX-Seiten.

Da die Webserver meist nicht unter Windows laufen.

Eher ist zu vermuten das jemand ein infiziertes Notebook mitgebracht hat, oder das Eure Firewall nicht ausreichend schützt.

 

Der Wurm verbreitet sich über die Ports 138,139

Also das was Windows so standardmäßig als Kommunikationsports so verwendet. (unter anderem)

Also kannst Du Dich auch nur bei der Kommunikation mit solchen Ports infizieren.

Ich würde den Server auf jeden Fall nach dem Virus durchsuchen (mit dem Tool von Symantec)

Wenn der Wurm erst mal im LAN ist (wo ja meist keine FW´s mehr rumstehen) verbreitet er sich relativ zuverlässig auf alle Windoze die man so hat.

 

Gruß,

 

Roi Danton

[grizzly999 11]

Hallo Oddysee,

ohje, das kann Arbeit bedeuten, wenn man viele Rechner im Netz hat. Aber wenigstens ist es bei diesem Wurm mit entfernen und Patch einspielen getan, ansonsten ist er ja nicht gefährlich im Sinne von zerstörerisch wie ein Virus.

 

Du solltesat dir aber unbedingt das Thema "SUS" mal vornehmen, um in Zukunft einigermaßen automatisch auf dem neusten Patch-Level zu sein. Seit dem MSBlast gab es ja schon wieder mind. ein schwerwiegendes Security-Hole plus Patch dazu.

 

grizzly999

[oddysee 10]

Hi Grizzly, auf der Microsoftseite habe ich gelesen, dass er doch paar Sachen zerstört und neu Installation sollte durchgeführt werden (empfohlen)… In unserm Unternähmen ist er leider gefährlich. Das ist ein Fashonhaus, und wir haben zu Zeit 50 Shops die über CITRIS Windowsserver verbunden. Runterfahren des Servers bedeuten für uns dass alle Kassen stehen. Insofern ist der Wurm für uns leider gefährlich. (in Lahn währe das nicht so schlimm) … grizzly SUS ist gute Idee, nur fehlt mir leider die Zeit dazu. Ich wollte CITRIC Zertifizierung machen, und dann ins Linux bereich (unser Kommunikationsserver ist Linux) , aber vielleicht hast Du recht. Hast Du Dich schon damit beschäftig????

 

Roi gute Erklärung danke Dir. Die Notebooks wäre auch eine Vermutung. Ich werde mich morgen auf die Wurmjagt machen *ggggg*…

 

Danke Jungs

 

Gute Nachen!