In unserer Firma betreiben wir 5 W2k-Server und ca. 150 Clients auf denen W2K-Professional installiert ist.
An einem Morgen kam es bei allen Rechnern ca. 2 min. nach Hochfahren von W2K zu einem Programmfehler (svchost.exe).
Daraufhin kann man nicht mehr den Internet Explorer nutzen und der PC lässt sich auch nicht mehr richtig herunterfahren.
Dieser Fehler tritt nun immer auf. Es gibt jedoch auch Rechner auf denen dieser Fehler nur 1 x oder gar nicht aufgetreten ist.
Hat jemand vielleicht ähnliche Erfahrungen gemacht ?
Nein, bin ich auch nicht scharf drauf
Ihr habt Euch da einen Wurm eingefangen:
W32/CodeBlue ist ein Internet-Wurm, der sich mit Hilfe einer bekannten Sicherheitslücke im Microsoft Internet Information Server verbreitet. Der Wurm nutzt zunächst die Sicherheitslücke, um Zugriff auf einen nicht lokalen Rechner zu erhalten. Daraufhin kopiert er seine Dateien über FTP auf den neue Host.
Diese Dateien werden unter C:\ erstellt und haben die Namen „svchost.exe“, „httpext.dll“ und "d.vb. Die ersten beiden Dateien haben denselben Namen wie Standardprogramme von Windows.
Der Wurm sucht dann nach neuen Hosts, die er infizieren kann. Er prüft dabei zufällig die IP-Adressen, wobei er besonders auf lokale Subnetze achtet. Der Überprüfungsvorgang kann auf dem infizierten Rechner eine längere Verarbeitungszeit in Anspruch nehmen und kann sogar zum Absturz des Rechners führen. W32/CodeBlue fügt der Systemregistrierung den Schlüssel „HKLM/Software/Microsoft/Windows/ CurrentVersion/Run/Domain Manager = c:\svchost.exe“ hinzu. Damit wird der Wurm automatisch bei nachfolgenden Neustarts ausgeführt. Er sucht weiterhin den Prozess „inetinfo.exe“ und beendet diesen. Der Wurm führt weiterhin einen DSA (Denial of Service Attack)-Angriff auf die Webseite http://www.nsfocus.com zwischen 10.00 und 11.00 Uhr Deutscher Zeit durch. Microsoft hat ein Patch unter http://www.microsoft.com/technet/security/bulletin/m… zur Verfügung gestellt, das diese Sicherheitslücke schließt.
Gruß
Rainer
[Bei dieser Antwort wurde das Vollzitat nachträglich automatisiert entfernt]
