Wurmvernichtung

[tboat]

@all:

Bei mir schlagen auf einer "eigentlich nicht veröffentlichten" Mail-Adresse (wird nur im privaten Verkehr genutzt) seit letzter Woche Wurm-Mails auf.

Diese Mails haben eines gemeinsam: Die gefälschten Absender-Domains haben alle einen Bezug zum Wassersport.

hkw-luebeck.de - Industrie-und Handelskammer
classe-libera.de - Libera Klassenvereinigung
korsar.de - Korsaren-Vereinigung
xy-class.de - Ixylon-Klassenvereinigung
boding.se - schwedischer Hersteller von Boding-Yachten

Einlieferungsadresse ist eine t-dialin.net, also eine Wählverbindung.

Bei wem gibt es ähnliche oder gleiche "Sendungen"? Oder wer hat die o.a. Adressen in seinem Adressverzeichnis und meine PRIVATE auch?

Auf zur Wurmjagd
tboat

PS: Ich selber habe diese Websites heute das erste mal überprüft, also bisher keinen Kontakt dorthin gehabt.

[TomM]

t-dialin.net muß keine Wählverbindung sein - darüber komm ich oft, eigentlich immer obwohl DSL

Der Wurm ist rafiniert, denn er vermehrt sich von alleine. Überall wo kein Mailer Deamon zurückkommt schickt er sich wieder hin.

Die Adressen sind Auffällig, z.B. elyysee.martin.m***@***.de. Das steht oft als Empfänger oder Absender drinnen. Dabei wird ausgenutz, dass diese "unbekannten Adressen meist an den Webmaster geschickt werden.

Dazu dieses hier:

Der Wurm hört auf den namen 'Blaster' und infiziert Windows 2000 und Windows Xp Systeme beim Surfen durch eine Sicherheitslücke im Betriebssystem.
Firewalls nützen nichts.
Abschalten der unnötigen Dienste nützt nichts.

Eine Infektion erkennt man daran, das beim Einloggen ins Internet eine Dialogbox erscheint, die einen Fehler in SVCDHOST meldet und einen Countdown von 60 Skeunden anzeigt, nach dessen Ablauf der PC heruntergefahren wird.


Ein Tool, um die Infektion zu beseitigen :
http://securityresponse.symantec.com...r/FixBlast.exe


Ein Patch von Microsoft, um in Zukunft diese Angriffe zu verhindern :
http://microsoft.com/downloa....F69C074

Wahrscheinlich ist es ein Abwandlung, diese Warnung stammt vom August 2003!

Wer eine Firewall sein eigen nennt sollte den Port 135 dichtmachen.