Userbase

In het kielzog van de Sasser-worm zouden weleens meer en ernstiger beveiligingsproblemen voor Microsoft kunnen volgen. Medewerkers van het computerbeveiligingsbedrijf IRM toonden tegenover journalisten van BBC hoe met een op internet breed beschikbaar stukje code gemakkelijk controle kan worden verkregen over Windows-servers, van bijvoorbeeld Microsoft zelf.

<img src="http://upload.userbase.be/upload/sasser_kl.jpg" align="left" width="120" height="100"> Het betreffende stukje code dook op internet op, kort nadat Microsoft zelf op 13 april met een reeks beveiligingspatches reageerde op de Sasser-worm. En het lijkt erop dat de makers ervan zich juist door die patches hebben laten inspireren tot het maken van een hackprogrammaatje dat gebruikmaakt van de ermee te dichten lekken. Het gaat met name om een kwetsbaarheid in de wijze waarop Windows Internet Information Server 5.0 beveiligde communicatie afhandelt. Na compilatie - met bijvoorbeeld Microsofts C++-compiler - kan het hackprogrammaatje onmiddellijk worden gebruikt om via internet de aanval op een server te openen. Het enige wat men hoeft te weten is het internetadres van de server, het 'nummer' van te gebruiken poort wordt binnen enkele minuten proefondervindelijk achterhaald.

Voor het vinden van servers onder ISS 5.0 kan de hacker desgewenst nog gebruikmaken van scan tools die eveneens te kust en te keur zijn te downloaden in het grijze circuit van internet. Potentiële doelen zijn dan snel gevonden, al was het maar doordat er zo veel zijn. Internetonderzoekbedrijf Netcraft schat dat zo'n 8,6 miljoen servers onder IIS 5.0 draaien. Sommige van deze servers zullen met behulp van de patches zijn beschermd, maar IRM acht het aannemelijk dat veel sites nog steeds kwetsbaar zijn.

<img src="http://upload.userbase.be/upload/tn_hacker1.jpg" align="right" width="112" height="120"> IRM's technisch manager Robinson uitte zijn verbazing dat de kwetsbaarheden niet de aandacht krijgen die de Sasser-worm kreeg. Deze viel aan op een verhoudingsgewijze weinig gangbare poort van Windows, "maar de afgeleide hacksoftware maakt gebruik van poorten die veel in gebruik zijn voor openbare diensten op internet." Netcraft rapporteert dat de beveiligde communicatiesystemen die kwetsbaar zijn voor de hacksoftware op tenminste 132 duizend servers draait. Een groot aantal daarvan wordt gebruikt door banken en financiële instellingen. Van de hacksoftware zijn inmiddels verschillende varianten in omloop. De variant die IRM demonstreerde blijkt al 15 duizend keer te zijn gedownload. De code is inmiddels verwijderd. De hacker die 'm maakte schrijft op z'n site: "Te veel risico dat kinderen over de wereld het voor slechte doelen gebruiken. Ik zag dat m'n oorspronkelijke bedoeling voor het publiceren van de code, het testen van beveiliging of patches, niet werkte."

Bron: BBC Radio

Dit bewijst wéér maar al eens de fragiliteit van het huidige systeem. Als we zo door blijven gaan krijgen we nog een OS met 25 DVDs patches erbij.

meer info hierover is hier te vinden:
http://www.thc.org/exploits.php

Styno

Blue-Sky schreef: De aanhouding van Sven J. was niet de enige duitse verdachte welke gearresteerd werd ivm met het virus van het afgelopen weekend. In Bad-Württemberg hield de politie een 21-jarige programmeur aan, verantwoordelijk voor de Agabot-worm. Het is een minder beroemd virus, dat echter hetzelfde probleem in Windows exploiteert als Sasser.

Wat CNN daarover schreef kan je hier lezen.
Daar heeft men ook de volledige naam van de virusschrijver van Sasser bekend gemaakt. Ook heeft men aanwijzingen over een nieuwere versie welke nog gecreëerd werd door Sven J. vóór hij aangehouden werd, dat zou de naam Sasser-e dragen.

natuurlijk werd deze exploit toch zeker al een half jaar toegepast, sasser heeft alleen de aandacht erop getrokken.

helemaal nagel op de kop visionair!

Al die exploits worden ruim voor die virussen gebruikt (misbruikt) maar pas als er ne onnozelaar een virus rond schrijft dat op grote schaal schade berokkent wordt er pas ingegrepen.