{"data":{"case":{"actions":{"de":["Installiere Microsofts Update **MS03-039** (KB824146) auf jedem Computer, auf dem noch Windows NT 4.0, 2000, XP oder Server 2003 läuft: Es enthält den Fix aus MS03-026 und schließt drei weitere Lücken im selben Dienst.","Wenn du es nicht sofort installieren kannst, schalte **DCOM** ab, wie Microsoft es im Artikel KB825750 beschreibt; Programme, die DCOM über das Netzwerk nutzen, funktionieren dann nicht mehr.","Sperre die TCP-Ports **135, 139, 445 und 593** sowie die UDP-Ports 135, 137, 138 und 445 in deiner Firewall, damit niemand RPC aus dem Internet erreichen kann.","Ersetze diese alten Windows-Versionen: Sie erhalten keine regelmäßigen Sicherheitsupdates mehr."],"en":["On any computer that still runs Windows NT 4.0, 2000, XP or Server 2003, install Microsoft's update **MS03-039** (KB824146): it contains the fix from MS03-026 and closes three more flaws in the same service.","If you cannot install it at once, switch off **DCOM** as Microsoft describes in article KB825750; programs that use DCOM across the network then stop working.","Block TCP ports **135, 139, 445 and 593** and UDP ports 135, 137, 138 and 445 at your firewall, so that no one can reach RPC from the internet.","Replace these old Windows versions: they no longer receive regular security updates."]},"criteria":{"damage":{"de":"Die Quellen nennen keine Gesamtsumme des Schadens und belegen keine Ausfälle kritischer Dienste; laut einer Umfrage unter 19 Forschungsuniversitäten gab jede im Schnitt 299.579 US-Dollar für die Bereinigung aus (The Blaster Worm: Then and Now, 2005).","en":"The sources give no total of the damage and document no outages of critical services; a survey of 19 research universities found that each spent an average of USD 299,579 to recover (The Blaster Worm: Then and Now, 2005).","met":false},"exploitation":{"de":"Blaster war ein sich selbst verbreitender Wurm: Jeder infizierte Computer suchte neue Opfer und infizierte sie selbstständig (CERT/CC; The Blaster Worm: Then and Now, 2005).","en":"Blaster was a self-spreading worm: every infected computer searched for new victims and infected them on its own (CERT/CC; The Blaster Worm: Then and Now, 2005).","met":true},"reach":{"de":"Blaster infizierte in seiner ersten Woche mehr als 100.000 Windows-Computer; am aktivsten Tag sah ein überwachter Adressblock, der 1/256 des Internets umfasst, etwa 106.000 infizierte Adressen (The Blaster Worm: Then and Now, 2005).","en":"Blaster infected more than 100,000 Windows computers in its first week; on its busiest day, a monitored address block covering 1/256 of the internet saw about 106,000 infected addresses (The Blaster Worm: Then and Now, 2005).","met":true},"response":{"de":"Microsoft stellte seinen Patch sogar für Windows-Versionen bereit, deren Support bereits beendet war, nahm die angegriffene Adresse windowsupdate.com aus dem DNS und setzte gemeinsam mit dem FBI, dem US Secret Service und Interpol 250.000 US-Dollar Belohnung für die Urheber aus (Microsoft; SANS Internet Storm Center; US Secret Service).","en":"Microsoft provided its fix even for Windows versions whose support had ended, took the attacked address windowsupdate.com out of the DNS and, joined by the FBI, the US Secret Service and Interpol, offered USD 250,000 for the authors (Microsoft; SANS Internet Storm Center; US Secret Service).","met":true}},"cves":["CVE-2003-0352"],"cvss":7.5,"cvss_version":"2.0","cwe":"NVD-CWE-Other","dates":[{"date":"2003-07-16","key":"patched"},{"date":"2003-07-26","de":"Funktionierender Angriffscode erscheint auf einer öffentlichen Mailingliste","en":"Working attack code appears on a public mailing list"},{"date":"2003-07-31","key":"exploited"},{"date":"2003-08-11","key":"outbreak"},{"date":"2003-08-15","de":"Microsoft entfernt windowsupdate.com, das Angriffsziel des Wurms, aus dem DNS","en":"Microsoft takes windowsupdate.com, the target of the worm's attack, out of the DNS"},{"date":"2003-08-18","de":"Ein zweiter Wurm, Welchia, auch Nachi genannt, nutzt dieselbe Sicherheitslücke aus","en":"Welchia, also called Nachi, a second worm, uses the same flaw"},{"date":"2003-09-10","de":"Microsoft behebt mit MS03-039 drei weitere Sicherheitslücken im selben Dienst","en":"Microsoft fixes three more flaws in the same service with MS03-039"},{"date":"2003-11-05","de":"Microsoft setzt gemeinsam mit dem FBI, dem US Secret Service und Interpol 250.000 US-Dollar Belohnung für die Urheber aus","en":"Microsoft, joined by the FBI, the US Secret Service and Interpol, offers USD 250,000 for the authors"}],"de":{"credit":"The Last Stage of Delirium Research Group","fixed":"Microsoft-Patch MS03-026, KB823980 (16. Juli 2003); ersetzt durch MS03-039, KB824146 (10. September 2003)","product":"Windows NT 4.0, 2000, XP und Server 2003, über den standardmäßig laufenden RPC-Dienst","summary":"Ein Wurm infizierte über eine Lücke in einem standardmäßig laufenden Windows-Dienst binnen einer Woche mehr als 100.000 Computer und verbreitete sich ein Jahr später noch immer."},"disclosed":"2003-08-11","en":{"credit":"The Last Stage of Delirium Research Group","fixed":"Microsoft patch MS03-026, KB823980 (July 16, 2003); replaced by MS03-039, KB824146 (September 10, 2003)","product":"Windows NT 4.0, 2000, XP and Server 2003, through the RPC service that runs by default","summary":"A worm used a flaw in a Windows service that runs by default to infect more than 100,000 computers in a week, and a year later it was still spreading."},"figures":[{"de":"Windows-Computer in der ersten Woche infiziert","en":"Windows computers infected in the first week","value":"100,000+"},{"de":"Verdopplungszeit der Zahl infizierter Computer in den ersten Stunden","en":"doubling time of the number of infected computers in the first hours","value":"9 min"},{"de":"Adressen verbreiteten den Wurm ein Jahr später noch immer","en":"addresses were still spreading the worm a year later","value":"200,000+"},{"de":"US-Dollar gab jede von 19 Forschungsuniversitäten im Schnitt für die Bereinigung aus","en":"US dollars spent on average by each of 19 research universities to recover","value":"299,579"}],"key":"blaster","name":"Blaster","product":"Microsoft Windows","sources":[{"de":"Microsoft-Sicherheitsbulletin MS03-026","title":"Microsoft security bulletin MS03-026","url":"https://learn.microsoft.com/en-us/security-updates/securitybulletins/2003/ms03-026"},{"de":"Microsoft-Sicherheitsbulletin MS03-039, das MS03-026 ersetzt","title":"Microsoft security bulletin MS03-039, which replaces MS03-026","url":"https://learn.microsoft.com/en-us/security-updates/securitybulletins/2003/ms03-039"},{"de":"NVD: CVE-2003-0352","title":"NVD: CVE-2003-0352","url":"https://nvd.nist.gov/vuln/detail/CVE-2003-0352"},{"de":"CERT/CC-Schwachstellenhinweis VU#568148","title":"CERT/CC vulnerability note VU#568148","url":"https://www.kb.cert.org/vuls/id/568148"},{"de":"CERT/CC-Sicherheitswarnungen von 2003, darunter CA-2003-19 und CA-2003-20 zu Blaster","title":"CERT/CC advisories of 2003, including CA-2003-19 and CA-2003-20 on Blaster","url":"https://www.sei.cmu.edu/library/2003-cert-advisories/"},{"de":"The Blaster Worm: Then and Now, IEEE Security \u0026 Privacy (2005, PDF)","title":"The Blaster Worm: Then and Now, IEEE Security \u0026 Privacy (2005, PDF)","url":"https://vhosts.eecs.umich.edu/fjgroup/pubs/blaster-ieeesp.pdf"},{"de":"Microsoft: Maßnahmen gegen Blaster und den erwarteten Angriff auf windowsupdate.com (15. August 2003)","title":"Microsoft: steps against Blaster and the expected attack on windowsupdate.com (August 15, 2003)","url":"https://news.microsoft.com/source/2003/08/15/microsoft-outlines-specific-steps-to-help-ensure-pc-security/"},{"de":"SANS Internet Storm Center: Microsoft löst windowsupdate.com nicht mehr auf (15. August 2003)","title":"SANS Internet Storm Center: Microsoft no longer resolves windowsupdate.com (August 15, 2003)","url":"https://isc.sans.edu/diary.html?storyid=27"},{"de":"US Secret Service: Microsofts Belohnungsprogramm mit den Strafverfolgungsbehörden, 250.000 US-Dollar für die Urheber von Blaster (November 2003)","title":"US Secret Service: Microsoft's reward program with law enforcement, USD 250,000 for the authors of Blaster (November 2003)","url":"https://www.secretservice.gov/press/releases/2003/11/microsoft-announces-anti-virus-reward-program-microsoft-teams-law"},{"de":"Microsoft: Allianz mit Internetanbietern und das Bereinigungstool für Blaster (Februar 2004)","title":"Microsoft: alliance with internet providers and the Blaster cleanup tool (February 2004)","url":"https://news.microsoft.com/source/2004/02/24/microsoft-builds-alliance-with-service-providers-to-advance-security-for-internet-users-worldwide/"},{"de":"Cisco-Sicherheitshinweis: Empfehlungen gegen den Nachi-Wurm (2003, Kopie aus einer Mailingliste)","title":"Cisco security notice: Nachi worm mitigation recommendations (2003, mailing-list copy)","url":"https://seclists.org/fulldisclosure/2003/Aug/1192"}],"vector":"AV:N/AC:L/Au:N/C:P/I:P/A:P","year":2003}},"description":"Im August 2003 befiel der Wurm Blaster in einer Woche über 100.000 Windows-Computer. Wie er sich verbreitete, warum er Microsoft angriff und warum er blieb.","language":"de","latest_measurement":"2026-11-01","method":"latency-v3","method_page":"https://crackthe.net/de/methode/","source":"https://crackthe.net/","text":"Am 11. August 2003 begann sich ein Wurm namens Blaster, auch MSBlast oder Lovsan genannt, über eine Sicherheitslücke in Windows zu verbreiten, die Microsoft vier Wochen zuvor behoben hatte. Ein Wurm ist ein Programm, das sich selbstständig von Computer zu Computer verbreitet. Blaster brauchte weder einen Klick noch ein Passwort: Es genügte ein ungepatchter Windows-Computer in seiner Reichweite. Laut einer Messstudie infizierte er in seiner ersten Woche mehr als 100.000 Windows-Computer, und ein Jahr später verbreitete er sich noch immer.\nSo funktionierte der Wurm Windows nutzt einen Dienst namens RPC, kurz für Remote Procedure Call, damit Programme Funktionen auf anderen Computern aufrufen können. Ein Teil davon ist für DCOM zuständig, ein Verfahren, mit dem Softwarekomponenten über ein Netzwerk zusammenarbeiten. Laut Microsoft läuft der Dienst standardmäßig in allen Windows-Versionen. Er nimmt über mehrere Netzwerkports Anfragen entgegen – nummerierte Türen für den Netzwerkverkehr –, vor allem über TCP-Port 135.\nEine DCOM-Funktion prüfte eingehende Nachrichten nicht richtig. Eine präparierte Nachricht brachte einen Speicherbereich fester Größe, einen sogenannten Puffer, zum Überlaufen; so ließ sich der Code des Angreifers mit Local-System-Rechten ausführen, den höchsten Rechten unter Windows. Betroffen waren Windows NT 4.0, 2000, XP und Server 2003.\nBlaster nutzte Angriffscode, der im Juli auf einer öffentlichen Mailingliste erschienen war. Jeder infizierte Computer wählte eine Startadresse, in 40 % der Fälle eine in der Nähe seiner eigenen, und probierte jeweils 20 Adressen auf einmal an Port 135. Ein erfolgreicher Angriff öffnete auf Port 4444 eine Hintertür, eine versteckte Befehlszeile. Darüber wurde das neue Opfer angewiesen, die Wurmdatei msblast.exe per TFTP, einem einfachen Verfahren zur Dateiübertragung, vom angreifenden Computer zu holen und auszuführen. Ein Eintrag in der Registry, der zentralen Einstellungsdatenbank von Windows, startete den Wurm nach jedem Neustart erneut.\nMicrosoft warnte, Blaster könne infizierte PCs immer wieder abstürzen lassen. Das CERT/CC, das US-amerikanische Notfallteam für Computersicherheit an der Carnegie Mellon University, berichtete, dass manche Rechner nicht lange genug online blieben, um den Patch herunterzuladen. Der Wurm hatte noch eine zweite Aufgabe: Am 16. August sollte jeder infizierte Computer windowsupdate.com, eine Adresse von Microsofts Update-Website, mit Verbindungsanfragen überfluten.\nInfizierter PCprobiert jeweils 20 Adressen auf einmal an Port 135 RPC-Diensteine präparierte DCOM-Nachricht lässt einen Puffer überlaufen Hintertüröffnet eine Befehlszeile auf Port 4444 Neues Opferholt msblast.exe per TFTP und führt die Datei aus Weder ein Klick noch ein Passwort war nötig. Jedes neue Opfer begann von selbst mit denselben Schritten. Reichweite und Schaden Die besten Messungen stammen aus „The Blaster Worm: Then and Now“, einer Studie von Forschern der University of Michigan und des Sicherheitsunternehmens Arbor Networks aus dem Jahr 2005. Sie beobachteten einen Block von rund 16 Millionen ungenutzten Internetadressen, 1/256 des Internets. Da kein echter Computer diese Adressen nutzt, stammt jeder Datenverkehr, der dort ankommt, von Scans, etwa von Würmern auf der Suche nach Opfern.\nNach Microsofts Warnung im Juli stieg die Zahl der Computer, die in diesem Block Port 135 abtasteten, von 4–10 auf 100–300 pro Tag. Als Blaster losschlug, verdoppelte sich die Zahl der infizierten Computer anfangs etwa alle neun Minuten. Auf dem Höhepunkt sahen die Forscher fast 15.000 infizierte Adressen in einer Stunde und etwa 106.000 in 24 Stunden. Nach acht Stunden ließ die Aktivität wieder nach, mit einer Halbwertszeit von etwa 12 Stunden, weil Besitzer ihre Computer patchten oder vom Netz nahmen und Netzwerke den Wurm sperrten.\nZu den infizierten Netzen gehörten mehrere Breitbandanbieter für Privatkunden. Andere Zählungen kommen auf ganz andere Werte:\nDrei Arten, Blaster zu zählen Überwachter Adressblock, aktivster Tag106.000 DShield-Firewall-Logs, höchster Wert208.000 Nutzer, denen Microsofts Bereinigungstool half8.000.000 Die ersten beiden Balken zählen Internetadressen, die Port 135 abtasteten, der dritte die Nutzer, denen Microsofts Bereinigungstool nach Angaben von Microsoft half. Quellen: The Blaster Worm: Then and Now (2005); Microsoft (2004).\nDShield, ein Dienst, der die Firewall-Logs Zehntausender Geräte sammelt, zählte höchstens 208.000 Adressen, die Port 135 abtasteten, gegenüber etwa 7.000 vor dem Wurm. Im Februar 2004 erklärte Microsoft, sein Bereinigungstool habe mehr als 8 Millionen Internetnutzern geholfen; die Forscher weisen darauf hin, dass diese Zahl stark von beiden Messungen abweicht.\nEine verlässliche Gesamtsumme des Schadens gibt es nicht. Laut einer Umfrage unter 19 Forschungsuniversitäten, die die Studie zitiert, gab jede von ihnen in fünf Wochen durchschnittlich 299.579 US-Dollar aus, um die Folgen von Blaster und seinen Varianten zu beseitigen.\nAm 18. August begann ein zweiter Wurm, dieselbe Sicherheitslücke auszunutzen. Welchia, auch Nachi genannt, war als „Anti-Wurm“ gedacht: Laut der Studie versuchte er, die Lücke auf den Computern zu schließen, die er infizierte. Vor jedem Angriff schickte er einen Ping, eine kleine Testnachricht, um zu prüfen, ob ein Computer online war. Der Netzwerkausrüster Cisco berichtete, dass die großen Mengen dieser Pakete viele der Netzwerkprobleme verursachten, darunter überlastete Router. Die Studie kommt zu dem Schluss, dass Welchia selbst erheblichen Schaden anrichtete.\nDer Patch und die Reaktion Die Sicherheitsforscher der Gruppe The Last Stage of Delirium hatten Microsoft die Sicherheitslücke gemeldet. Am 16. Juli 2003 veröffentlichte Microsoft das Sicherheitsbulletin MS03-026 mit einem Patch, stufte die Lücke für alle betroffenen Windows-Versionen als „kritisch“ ein und riet: „Systemadministratoren sollten den Patch unverzüglich installieren.“ Als Übergangslösung schlug Microsoft vor, die RPC-Ports in der Firewall zu sperren oder DCOM abzuschalten. Öffentlicher Angriffscode existierte damals noch nicht. Spätestens am 26. Juli stand funktionierender Angriffscode auf einer öffentlichen Mailingliste, und am 31. Juli meldete das CERT/CC verbreitete Scans und Angriffe auf die Lücke.\nNach dem Ausbruch ging Microsoft über seine übliche Praxis hinaus und stellte den Patch auch für Windows 2000 Service Pack 2 und Windows NT 4.0 Workstation bereit, obwohl deren Support bereits beendet war. Am 10. September 2003 behob Microsoft mit dem Bulletin MS03-039 drei weitere Lücken im selben Dienst und ersetzte MS03-026; für die alten Versionen machte das Unternehmen „aufgrund der Art dieser Sicherheitslücke“ eine Ausnahme.\nMicrosoft entschärfte außerdem den Angriff auf windowsupdate.com. Am 15. August, einen Tag vor dem geplanten Angriff, ließ Microsoft die Adresse im DNS, dem Adressbuch des Internets, nicht mehr auflösen. Das berichtete das SANS Internet Storm Center, das Angriffe im Internet beobachtet. Infizierte Computer fanden kein Ziel, während die automatischen Updates von Windows, die windowsupdate.microsoft.com nutzten, weiter funktionierten.\nAm 5. November 2003 setzte Microsoft gemeinsam mit dem FBI, dem US Secret Service und Interpol 250.000 US-Dollar Belohnung für Hinweise aus, die zur Festnahme und Verurteilung der Verantwortlichen für den ursprünglichen Wurm führen. Personen hinter zwei späteren Varianten waren bereits festgenommen worden; der Urheber des ursprünglichen Wurms wurde laut der Studie nie gefasst. Millionen luden im Januar 2004 Microsofts Bereinigungstool herunter, doch laut der Studie änderte sich die Zahl der Infektionen kaum.\nEin Jahr später, im August und September 2004, zählten die Forscher noch mehr als 200.000 verschiedene Adressen, die den Wurm verbreiteten, bis zu 4.100 pro Tag. Die meisten waren neu: 99,5 % der Adressen und 73 % der umgebenden Blöcke aus je 256 Adressen waren während des Ausbruchs nicht aufgetaucht. Die Forscher folgern, dass der Wurm auf neue Computer übergegangen war, während alte bereinigt oder abgeschaltet wurden.\nInfizierte Adressen am aktivsten Tag August 2003106.000 August–September 20044.100 Adressen, die den überwachten Block an einem einzigen Tag abtasteten, während des Ausbruchs und ein Jahr später. Quelle: The Blaster Worm: Then and Now (2005).\nDie US-amerikanische National Vulnerability Database bewertet die Sicherheitslücke auf der älteren CVSS-Version 2 mit 7,5 von 10; einen Wert nach Version 3 gibt es nicht. Diese Bewertung geht nur von einer teilweisen Beeinträchtigung der Vertraulichkeit, Integrität und Verfügbarkeit aus, obwohl ein Angreifer laut Microsoft die vollständige Kontrolle über den Computer erlangen konnte.","title":"Blaster: Der Wurm, der in einer Woche 100.000 Windows-PCs befiel","url":"https://crackthe.net/de/schwachstellen/blaster/"}