Глобальный хак винды

RIP

Xakep, номер #057, стр. 057-068-4

Во-вторых, защитись фаерволом. Даже с установленным патчем червяк может разрушить RPC-сервис. Если тебе в лом устанавливать внешние брандмауеры, воспользуйся стандартной XP-защитой. Для этого следует перейти в свойства твоего удаленного соединения и выбрать вкладку "Настройка фаервола". Там задай правило, запрещающее входящие коннекты со 135 портом локальной машины. После этого ты будешь находиться в относительной безопасности.

При активном вирусе LoveSan, который ты возможно уже подхватил, никакой патч и фаервол не спасает. Чтобы избавить себя от обременяющей заразы, просмотри все ключи реестра, отвечающие за автозапуск приложений (либо заюзай утилиту msconfig в WinXP). После удаления червя из автостарта, следует выполнить перезагрузку машины и стереть файл msblast.exe в каталоге Windows.

Когда все это кончится?

Никогда! Ты в курсе, что серверов с бажным IIS в инете до фига. То же самое будет и с RPC. Новые юзеры, установившие себе WinXP, будут подвержены нападению хакеров или червей. Вирусы, которые уже проникли на крупные сервера, проживут там долгие месяцы, а то и годы, при этом атака на www.windowsupdate.com будет продолжаться... а потом багоискатели найдут очередную дыру в форточках ;).

Я верю, что ты проникся всей сложностью ситуации и немедленно проверишь свою машину на RPC-уязвимость. В противном случае, случайный хакер или червь сделает это за тебя. Так что займись своей защитой!

Другие трояны

Возможно, доступа к FTP хакеру покажется мало. Тогда взломщик может применить и другие трояны, к примеру, известный троян "Смерть ламера". Либо скачать утилиту для запуска файлов с сайта http://phantom-server.chat.ru. А вообще троянских коней в инете очень много, достаточно посетить сайты подобной тематики.

LoveSan валит систему

Немаловажным симптомом заражения LoveSan'ом являются частые ошибки сервиса RPC. Они критические, при их появлении высвечивается окошко с предупреждением о том, что компьютер уйдет в ребут через минуту. Довольно неприятное зрелище :).

Как обнаружить, что твою систему пытаются поломать?

Если у тебя есть подозрение, что тебя кто-то хочет поломать, то ты можешь узнать IP-адрес возможного взломщика. Для этого набери команду netstat -an | find "ESTABLISHED", и получишь всю информацию об активных подключениях.

Подвижная зараза

После выхода виндового эксплоита, в Сеть был запущен червячок LoveSan. Он беспорядочно сканил интернет на наличие жертв. За два дня вирус скопировал себя на 12 тысяч машин. Этим он похож на CodeRed, который лез на винду через брешь в IIS. К тому же LoveSan планировал провести атаку. Новый червяк выбрал в качестве жертвы www.windowsupdate.com. Атака намечалась на 16 августа и была бы проведена, но мелкомягкие просто удалили хост www.windowsupdate.com.

А 20 числа вышел еще один червь Blaster. Этот красавец убивает LoveSan и патчит багу в RPC :). Подобное было и с CodeRed - после его выхода был запущен некий вирус CodeGreen, удаляющий CodeRed.