Gefährlicher RPC-Wurm legt Windows Update lahm

Malware blockiert Zugriff auf Antiviren-Websites

Symantec hat einen Wurm entdeckt, der genau ab dem 1. Januar 2009 beginnt, Schaden anzurichten. Der Wurm verbreitet sich über die RPC-Lücke MS08-067, die Microsoft mit dem ungewöhnlichen Schritt eines außerplanmäßigen Updates im Oktober geschlossen hat.

Der Wurm kommt erst zwei Monate nach Bekanntwerden der Sicherheitslücke, so dass die meisten Rechner bereits gepatcht sein dürften. Wer sich die Malware dennoch einfängt, muss allerdings mit einer ganzen Reihe von Schäden rechnen: So schaltet der Wurm das Windows-Update ab, löscht alle bisherigen Systemwiederherstellungspunkte und blockiert den Zugriff auf alle Internet-Domains, die Namen wie Avira, AVG, Microsoft, McAfee oder Symantec enthalten, um das Herunterladen von Virendatenbank-Updates zu verhindern.

Auch versucht der Wurm, sich im Intranet zu verbreiten, indem er eine Verbindung mit dem ADMIN$-Share auf jedem Windows-Rechner aufnimmt. Dabei probiert er eine Reihe von Standardpasswörtern aus, etwa superuser, qwerty, password und boss123. Auf diese Weise kann sich die Malware auch auf Rechnern verbreiten, die gegen die RPC-Lücke gepatcht sind.

Ab dem 1. Januar 2009 startet der Schädling einen Webserver auf einem Zufallsport und versucht, DSL-Router per UPnP zu modifizieren, um so den Port ins Internet zu routen. Anschließend meldet er den Port und die öffentliche IP-Adresse an mehrere von den Cyberkriminellen aufgesetzte Server, die auf diese Weise Zugriff auf die verseuchten Rechner erhalten. Ein Rücksetzen des Datums auf das Jahr 2008 hat keinen Effekt, da der Wurm Datum und Uhrzeit aus dem Internet bezieht.

Kurioserweise bringt der Virus nicht nur Nachteile für den befallenen Rechner. Um sich schneller verbreiten zu können, schaltet er auf Vista-Rechnern den TCP-Autotuning-Dienst ab und beschleunigt so die Internet-Verbindung.

Gefährdet sind alle Rechner, die den Patch MS08-067 nicht installiert haben. Zudem besteht Gefahr für alle Rechner in einem Netz, in dem mindestens ein verseuchter Rechner steht und die als Administrator-Passwort ein Wort aus einer von Symantec veröffentlichten Liste verwenden.

Themenseiten: Microsoft, Windows

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

1 Kommentar zu Gefährlicher RPC-Wurm legt Windows Update lahm

Kommentar hinzufügen
  • Am 16. März 2009 um 15:36 von underdog

    RPC-Wurm
    der beitrag ist ja ganz schön nur wie wird man den wurm wieder los?

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *