"Mysteriöse" Angriffe auf IIS

[Rushjo]

Microsoft warnt alle Nutzer des IIS vor "mysteriösen"
Angriffen auf Ihre Systeme, dabei würde der Angreifer
Root-Rechte erhalten. Im Moment sei über die
Methode und den Ursprung der Angriffe noch nichts
bekannt. Aber man gehe davon aus, das KEIN
Virus oder Wurm sei, aber trotzdem eine Art automa-
tischer Angriff. Zur Zeit sei durch Antiviren-Programme
und Microsofts-Patches aber KEINERLEI Abwehr-
möglichkeiten vorhanden!

Betroffene Systeme:

* Microsoft Windows 98
* Microsoft Windows 98 Second Edition
* Microsoft Windows Millennium Edition
* Microsoft Windows NT Workstation 4.0
* Microsoft Windows NT Server 4.0
* Microsoft Windows NT Server, Enterprise Edition 4.0
* Microsoft Windows 2000 Professional
* Microsoft Windows 2000 Server
* Microsoft Windows 2000 Advanced Server
* Microsoft Windows 2000 Datacenter Server
* Microsoft Windows XP 64-bit Edition
* Microsoft Windows XP Home Edition
* Microsoft Windows XP Professional

Desweiteren soll das Vorhandensein folgender
Dateien auf einen erfolgreichen Angriff/Befall
des Systemes hinweisen!

* Gg.bat
* Seced.bat
* Nt32.ini
* Ocxdll.exe
* Psexec
* Ws_ftp
* Flashfxp
* Gates.txt

Als Gegenmittel wird das Löschen der Dateien
empfohlen und die Kontrolle des Systemes durch
Virenscanner!!!

(Anmerkung: Man beachte bitte die Endung der
einzelnen zur Löschung empfohlenen Dateien, damit
man nicht aus Versehen flashfx.exe löscht anstatt
der infizierten flashfxp !!! Im Zweifelsfall die Dateien
vorher auf Diskette kopieren und erst dann löschen!)

Quelle

MfG Rushjo

 

[Rushjo]

Hier mal die aktuelle Veröffentlich zum Thema!

Wie bekannt wurde, war das Security Bulletin von
M$/PSS herausgegeben falsch. Es handelt sich bei
dem "mysteriösen" Angriffen um einen Trojaner, der
wahrscheinlich auch nur durch Interaktion der
User aktiv werden kann! Dieser Trojaner ist scheinbar
durch den IRC steuerbar. Dabei ist es aber noch
unklar, ob es sich um ein Plugin für einen schon
bekannten Trojaner handelt oder um einen "neuen"
Trojaner. Auf jeden Fall wird der Trojaner NICHT
durch Antiviren-Software erkannt! Der "offizielle"
Name der Trojaners lautet: "mIRC Trojan-Related Attack". Desweiteren befällt er laut neusten Erkenntnissen
nur Win2K Server und keine anderen Produkte von
M$!

Quelle

MfG Rushjo