Lovesan bzw W32.Blaster

Im unterschied zu anderen würmern verbreitet sich W32.Blaster ohne zutun des anwenders. Zur fortpflanzung nutzt der wurm eine sicherheitslücke im RPC-protokoll aller Windows-varianten ab NT 4. Der anwender muss also kein Outlook-attachment öffnen oder eine präparierte website aufrufen, damit sein rechner infiziert wird...

Siehe auch Windows à jour halten !

Symptome des befalls

Bei systemstart erscheint die folgende meldung:

English Windows 2000	Deutsches Windows (ungefährer wortlaut)
svchost.exe - Application Error : The instruction at "..." referenced memory at "...". The memory could not be "read".	svchost.exe hat Fehler verursacht und wird geschlossen Programm neu starten

Nebst diesen abstürzen wird bei jeder internet-verbindung fleissig an der weiter-verbreitung gearbeitet und MS-server angegriffen. Windows 95, Windows 98 und Windows Me sind von diesem wurm nicht betroffen.

Gegenmittel

Nach der desinfektion muss unbedingt das system auf vordermann gebracht werden (die sicherheits-lücken geschlossen werden). Dazu dienen die patches von Microsoft.

Programm	Quelle und funktion
fixblast.exe	Symantec Dieses programm (scanner) durchsucht sämtliche disks bzw partitionen nach infizierten dateien (von Lovesan.A, .B und .C) und löscht sie. Ebenso werden zugehörige eintragungen in der registrier-datenbank (registry) gelöscht.
windows2000-kb823980-x86-deu.exe windows2000-kb823980-x86-enu.exe	Microsoft Patch für Windows 2000. Es muss mindestens das Service Pack 2 installiert sein, sonst wird der Patch nicht akzeptiert. Achtung auf die sprache des patches: ...DEU... für deutsch und ...ENU... für englisch.
windowsxp-kb823980-x86-deu.exe windowsxp-kb823980-x86-enu.exe	Microsoft Patch für Windows XP, 32 bit edition (die 'normale'). Achtung auf die sprache des patches: ...DEU... für deutsch und ...ENU... für englisch.

Folgen sie den anweisungen des programms. In den meisten fällen ist nach der desinfektion ein neustart des systems fällig. Stellen Sie nach dem neustart des rechners durch einen zweiten durchlauf des scanners sicher, dass Ihr system sauber ist.

Siehe auch Desinfektion nach virenbefall