Uusin Microsoftin

15.8.2003

"Lovsan"-haittaohjelman aiheuttamat ongelmat tietojärjestelmissä

Viimeaikoina laajalle levinnyt "Lovsan" (MSBLAST, w32.blaster) -haittaohjelma aiheuttaa ongelmia tietojärjestelmissä. "Lovsan"-verkkomato saastuttaa tietojärjestelmiä hyväksikäyttäen Microsoftin RPC-haavoittuvuutta, joka on kuvattu tarkemmin CERT-FI:n varoituksessa:

http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-52.htm

Saastuneessa tietojärjestelmässä saattaa esiintyä uudelleen käynnistysongelmia; tietojärjestelmä uudelleen käynnistyy automaattisesti 60 sekunnin välein. Tästä johtuen saastuneen tietojärjestelmän puhdistaminen on huomattavan hankalaa.

Tietojärjestelmää voidaan estää uudelleen käynnistymästä kahdella tavalla:

Kun näyttöön tulee uudelleen käynnistyksestä kertova ikkuna tulee tietojärjestelmälle antaa komento "shutdown -a"

Tai vaihtoehtoisesti:

Valitse start (käynnistä)-valikko -> control-panel (ohjauspaneeli) -> administrative tools (hallintatyökalut) -> services (palvelut)


Valitse listasta Remote Procedure Call (RPC)


Muuta Recovery (palautuminen) -välilehdeltä kohdat First failure (ensimmäinen epäonnistuminen), Second failure (toinen epäonnistuminen) ja Subsequent failures (seurvaavat epäonnistumiset) Take no Actions (ei toimenpiteitä)-tilaan

"Lovesan"-haittaohjelma voidaan poistaa manuaalisesti seuraavasti:

Valitse Settings (asetukset) -> Control Panel (ohjauspaneeli) -> System (järjestelmä) -> System Restore (järjestelmän palauttaminen) ja valitse Turn off System Restore (poista järjestelmän palauttaminen käytöstä). Valitse sen jälkeen näyttöön tulevassa valintaikkunassa "Yes" (kyllä).

Sulje haittaohjelmaprosessi seuraavasti:

paina Ctrl Alt Del-näppäimiä -> valitse Task Manager (tehtävienhallinta) -> Valitse processes (prosessit) -> etsi listasta msblast.exe-niminen prosessi ja lopeta se napsauttamalla hiiren oikeaa painiketta ja valitsemalla End Process- (lopeta prosessi)-painiketta

Poista msblast.exe -tiedosto. Tiedoston voi paikallistaa käyttämällä esimerkiksi Windows-käyttöjärjestelmän Search (etsi)-ominaisuutta.

Poista käyttöjärjestelmän rekisterimuuttujan HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun arvo "windows auto update"="msblast.exe"

Tietojärjestelmä voidaan turvata sekä palauttaa sen asetukset alkuperäiseksi seuraavasti:

Päivitä haavoittuva tietojärjestelmä MS03-026 -turvatiedotteen mukaisesti

Jos tietojärjestelmän automaattinen uudelleenkäynnistys on estetty muutoin kuin "shutdown -a" -vaihtoehdolla, muuta Remote Procedure Call (RPC)-asetukset Restart Computer (käynnistä uudelleen)-tilaan

Käynnistä tietojärjestelmä uudelleen

Aktivoi System Restore (järjestelmän palauttaminen) päälle poistamalla Turn off System Restore (poista järjestelmän palauttaminen käytöstä, kts. kohta 1).

HAAVOITTUVUUDELLE ALTTIIT JÄRJESTELMÄT:

Microsoft Windows 2000 sekä Microsoft Windows XP -käyttöjärjestelmällä varustetut tietojärjestelmät, joita ei ole päivitetty Microsoft tietoturvatiedotteen MS03-026 mukaisesti. Lisätietoja haavoittuvuudesta ja haavoittuvan tietojärjestelmän päivittämisestä on saatavilla Microsoft tietoturvatiedotteessa MS03-026.

RATKAISU / RAJOITUSMAHDOLLISUUDET:

Puhdista saastunut tietojärjestelmä edellä mainitulla tavalla


Haittaohjelman voi yrittää poistaa myös käyttämällä ajantasaisella virustunnistustietokannalla varustettua virustorjuntaohjelmistoa tai haittaohjelman poistoon erikseen tarkoitettua ohjelmistotyökalua


Päivitä haavoittuva tietojärjestelmä korjaustiedostolla, joka on ladattavissa osoitteesta:

http://www.microsoft.com/technet/security/bulletin/MS03-026.asp

LISÄTIETOA/TIETOLÄHTEET:

http://www.f-secure.com/v-descs/msblast.shtml

http://securityresponse.symantec.com/avcenter/venc/data/w32.blaster.worm.html

http://vil.nai.com/vil/content/v_100547.htm

http://www.microsoft.com/technet/security/bulletin/MS03-026.asp

http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-48.htm

CERT-FI –YHTEYSTIEDOT:

Viestintävirasto
CERT-FI
PL 313
00181 Helsinki

Täällä linkissä kun klikkaat alla olevaa linkkiä ja asennat poistohjelman vaikkapa esim.työpöydällesi ja työpöydällä siten klikkaat FIXPLAST kuvaketta niin poistaa Msblast.exe virukseen (Madon)
http://securityresponse.symantec.com/avcenter/FixBlast.exe