Win2K: COM+ defekt

LigH · August 12, 2003 at 2:31 PM

Hat jemand 'nen Vorschlag, was ich tun kann, wenn der COM+-Dienst nicht mehr korrekt startet? Entweder es liegt am Bit Defender, oder an den Backdoors, die er entfernt hat.

Lucike FZ · August 12, 2003 at 5:12 PM

Wie äußert sich das?

LigH · August 12, 2003 at 5:23 PM

(Süßer neuer Avatar...)

Tja, in vielen kleinen lustigen Sonderlichkeiten, z.B.

Drag&Drop geht im Windows-Explorer nicht mehr.
Kopieren/Verschieben und Einfügen geht im Windows Explorer nicht mehr. (Gott sei Dank gibt es den FAR Manager.)
Nero 5.5 startet nicht und weist mit einer Fehlermeldung auf defektes COM hin. Im abgesicherten Modus brennt es aber noch.
Der Windows Installer-Dienst startet nur noch manuell - ohne bleibt 'Systemsteuerung - Software' ein fast leeres Fenster.
Ein Service-Pack drüberinstallieren geht bis zur Hälfte, dann kann er nicht auf eine Metabasis zugreifen und keine Registrydaten für den IIS ändern.

Ich werde versuchen, dem Hinweis des SP4-Installers zu folgen, ich solle es mit einer Notfallreparatur versuchen. Ansonsten dürfte der Domaincontroller sich wohl auf einen Neuaufbau vorbereiten müssen...

Lucike FZ · August 12, 2003 at 5:26 PM

Seit wann hast Du diese Probleme? Gestern oder Vorgestern?

LigH · August 12, 2003 at 5:28 PM

Ja, so etwa. Wieso, kennst du zufällig Untermieter, die keine Miete zahlen, aber so was veranlassen?!

Lucike FZ · August 12, 2003 at 5:33 PM

OhOh, ganz groß in den Medien. Hört sich an wie der W32.Blaster.

http://www.microsoft.com/germany/ms/tec…tinms03-026.htm
http://securityresponse.symantec.com/avcenter/venc/…aster.worm.html

mal probieren ...

Schlunz · August 12, 2003 at 6:01 PM

Jo da kam gestern Nacht noch ein CERT Adv. per Mail. Schalte DCOM ab wenn Du ganz sicher sein willst (aber das kannst Du ja auch nachlesen).

Quote

Systems Affected

* Microsoft Windows NT 4.0
* Microsoft Windows 2000
* Microsoft Windows XP
* Microsoft Windows Server 2003

Quote

The W32/Blaster worm exploits a vulnerability in Microsoft's DCOM RPC interface as described in VU#568148 and CA-2003-16

Am besten sind die Anweisungen was zu tun ist.

Quote

1. Physically disconnecting the system from the network
2. Check the system for signs of compromise.
+ In most cases, an infection will be indicated by the presence
of the registry key
"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion
\Run\windows auto update" with a value of msblast.exe. If
this key is present, remove it using a registry editor.
(...)

Display More

Die Kabelzange als Firewall? Wie auch immer.

Lucike FZ · August 12, 2003 at 6:06 PM

Keine Firewall vorhanden? Na, ist da jemand nackt im Netz unterwegs.

http://www.heise.de/newsticker/data/dab-12.08.03-000/

Chrille · August 12, 2003 at 7:02 PM

yep, war auch "nackt" im Netz :(((
Fehler bzw Wurm aber mit Hilfe eines Tools behoben!
Trotzdem Scheißendreck *gg*
Der Patch von Microsoft soll das ja wohl in Zukunft verhindern.........na ja.....
by
Chrille

LigH · August 12, 2003 at 10:17 PM

Stimmt - msblast.exe kommt mir bekannt vor.

Windows 2000 Server auf 'nem AMD K6-2/400 mit 128 MB; schön, dass das überhaupt läuft...
__

Danke für die Hinweise, bin dann mal säubern...

Schlunz · August 12, 2003 at 11:41 PM

Viel Erfolg...! [Blocked Image: http://www.mysmilie.de/smilies/verschiedene/2/img/013.gif] [Blocked Image: http://www.mysmilie.de/smilies/froehlich/img/011.gif]

Chrille · August 13, 2003 at 10:45 AM

hi Leutz
anbei noch ne kleine Anleitung für unsere Win XP Pro Freunde hinsichtlich der Ports/Dienste.
Gerade für die User, die keine Firewall haben wertvoll!

Übersicht uber das Dokument:

Windows XP Pro Dienste und Ports (Hinweis)
a) Aktive Dienste und offenen Ports nach einer Standardinstallation von Windows XP Professional
b) Kurzbeschreibung der Dienste/Ports
c) Entbinden der Netbiosdienste (netbios-ssn, netbios-ns, netbios-dgm, Port 135,137,139) von der DFÜ
d) Teil A: DFÜ
e) Teil B: (wenn LAN bzw. Netzwerkkarte installiert ist)
f) Teil C: Erweiterte Einstellungen

g) Beenden von epmap (Port 135)
h) Teil A: Konfiguration von DCOM
i) Teil B: Konfiguration der Systemdienste

j) Beenden von mtaskp (Port 1026)
k) Beenden von ssdp (Port 1900, 5000)
l) Beenden von alg (Port >3000)
m) Beenden von microsoft-ds (Port 445)

by
Chrille

pfirsichbluete · August 13, 2003 at 5:01 PM

Defakto gibt es viele Dienste, die ohne Probleme deaktiviert bzw. auf manuell gestellt werden können, besser sollten.

Der Lovsan - der Name gefällt mir irgendwie besser - ist zum Glück momentan noch relativ "harmlos". Wer ihn sich eigefangen hat, geht am besten so vor:

.Sollte die "Zeituhr" aktiv werden, unter 'Start/Ausführen' shutdown -a eingeben und bestätigen. Damit müsste der Wecker deaktiviert sein.

.Den msblast.exe-Eintrag aus Autorun entfernen. Zu finden hier:
'HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run "windows auto update" = msblast.exe'
'HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run "windows auto update" = msblast.exe I just want to say LOVE YOU SAN!! bill'

.Neustart

.Unter %WinDir%\System32 die Datei msblast.exe löschen.

.Den Patch einspielen.

.Nun sollte der Spuk (auch ohne Firewall) ein Ende haben.

Alternativ kann auch zu diesem Tool gegriffen werden: RemovalTool -Da ich aber mehr auf Handarbeit stehe, habe ich dieses nicht selber ausprobiert; müsste aber klappen.

Was das ganze aber sicherlich wieder entfacht hat, ist die Diskussion über Software-Firewalls. Die können zwar nicht mit einer Hardwarelösung mithalten, sind aber dennoch weisgott nicht überflüssig bzw.nutzlos.

pfirsichbluete

Gleitz · August 13, 2003 at 10:52 PM

Na ja, diesbezüglich muss ich mal die Auto Updatefunktion von MS loben. W2K SP4 und schon die ersten Patchs vom SP5 drin.

Chrille · August 13, 2003 at 11:08 PM

Hm...Gleitz...Autoupdate von Billy Boy.....nee! Ich hab zwar eigentlich nichts zum verbergen aber trotzdem gefällt mir die Schnüffelei von Microsoft nicht (W2K mit SP 3+4 und Win XP).
Es gibt doch fast alle Updates Seperat zum Download. Sowieso besser wenn man mal sein System neu macht.
by
Chrille

LigH · August 15, 2003 at 5:29 PM

(Ich vergess das doch immer wieder - jetzt aber:)

Ich denke, ich hab den Feind geschlagen - jedoch erst nach einer langen und zum Glück beinahe verlustreichen Schlacht: Ich kann euch sagen, es war gut, dass ich dabei allein war, sonst hätte noch jemand den Notarzt geholt, wenn er mich da gesehen hätte! (Deshalb auch danke für das Vertrauen, Schlunz!)

Wer von euch Windows-Administrator ist, der wird meine Gefühle verstehen, als mir der Domänen-Kontroller nach einem Neustart mitteilte, ich möge doch - nachdem er jetzt den Rechner herunterfährt - beim nächsten Start die Verzeichnisdienst-Wiederherstellung wählen. (Für die Medizinerinnen hier im Board: Das ist für einen Windows-Server so etwa, wie Herzkammerflimmern für einen Menschen; "Mit der letzten als funktionierend bekannten Version starten" ist im Vergleich dazu übrigens etwa ein Wiederbelebungsversuch mit Defibrilator - der blieb mir zum Glück erspart).

Deshalb ein Hoch auf Microsoft und Windows 2000, das stabilste Windows des 21. Jahrhunderts (zumindest was mir bisher begegnet ist): Kränkelt zwar gern mal äußerlich, hat aber eine eiserne Konstitution und durchaus reichlich Selbstheilungskräfte. Nachhaltige Schäden sind mit bisher nur nach Anwendung schlecht erprobter Implantate bekannt geworden.

Chrille · August 15, 2003 at 5:44 PM

hi LigH,
lustig geschrieben und nachvollziehbar *gg*
Ich muss aber sagen, dass ich lange Jahre mit dem guten alten NT System gearbeitet habe. Hardware bzw Plug & Play sind zwar Fremdworte aber für meine "Praktikaten" (die sollen Arbeiten und in Word schreiben bis die Finger glühen *ggggg*) hat das immer ausgereicht.

LoL

Hab jetzt seit drei Monaten bei mir privat Windows 2003 Server zu laufen, bisher ohne Probleme. Mal schauen was der Alltag dazu sagt!! Hinsichtlich der Sicherheit ist da aber so gut wie nichts passiert.
by
Chrille

gemoe · August 27, 2003 at 1:39 PM

Quote

Original von pfirsichbluete
[...]Was das ganze aber sicherlich wieder entfacht hat, ist die Diskussion über Software-Firewalls. Die können zwar nicht mit einer Hardwarelösung mithalten, sind aber dennoch weisgott nicht überflüssig bzw.nutzlos. [...]

Sie stellen i.A. eine gesunde Ergänzung dar. Denn für Hacker ist eine sw Firewall auf Anwendungsebene oftmals viel ärgerlicher als eine h/w Firewall, die fast immer nur auf Portebene sperrt, wofür sich idr "Möglichkeiten" finden lassen -- Die meisten Angriffe in unseren Netzen kommen von innen, von bereits gehackten Rechnern. Naja und sind sie erst mal drin... fakegina läßt grüssen.

Also:
- Immer schön einen Virenscanner laufen lassen, mit *aktuellen* Definitionsdateien
- Wer sich etwas auskennt und die Arbeit nicht scheut, sollte eine sw fw laufen lassen. (Z.B. kerio o.ä.) Zusätzlich:
- Nachts den Rechner ausschalten, nur online sein, wenn man es muss, wenn's nicht unbedingt sein muss auf dyip-Dienste verzichten und nicht benötigte Dienste kicken. (Eine Liste schicke ich beizeiten mal rum)

gerhard.

Participate now!