Blaster

Beschreibung

Blaster (Lovesan) nutzte 2003 eine Schwachstelle im RPC-Dienst (DCOM) von Windows aus und verbreitete sich ohne E-Mail über das Netzwerk.
Der Wurm richtete einen DoS-Angriff gegen Microsofts Windows-Updateseite und ließ betroffene Rechner nach kurzer Zeit neu starten. Er wurde im August 2003 aktiv und blieb wegen ungepatchter Systeme monatelang aktiv.

Symptome

Rechner startet unaufgefordert alle wenigen Minuten neu, kaum ein System bleibt produktiv.
Netzwerkverkehr zu Verbindungen auf verwundbare Systeme.
Meldungen von Systemdiensten fallen aus.

Schadenspotenzial

Ausfälle in Unternehmen und Behörden durch andauernde Neustarts.
Datenverlust durch unterbrochene Prozesse, wirtschaftlicher Schaden im Milliardenbereich.

Entfernung

Patch für RPC-DCOM-Schwachstelle einspielen (MS03-026 bzw. SP2).
System vor dem Einschalten vom Netz nehmen und Patch aufspielen.
Entfernungstools mit Signatur verwenden und Neustart prüfen.

Prävention

Automatische Updates für Windows aktivieren.
Firewalls und Netzwerkzugriffskontrollen einführen.
RDP und Dienste nicht unnötig freigeben.