Meer informatie

Symptomen van besmetting

Als uw computer is geïnfecteerd met dit wormvirus, kunnen de symptomen optreden die worden beschreven in het Microsoft Knowledge Base-artikel 826955, dat betrekking heeft op het wormvirus Blaster en de verschillende varianten hiervan.
Ga naar het volgende artikel in de Microsoft Knowledge Base voor meer informatie:
Het is ook mogelijk dat het bestand Dllhost.exe of Svchost.exe aanwezig is in de map %windir%\System32\Wins.

Opmerking Dllhost.exe of Svchost.exe zijn geldige Windows-bestanden, maar moeten in de map %windir%\System32 staan, niet in de map %windir%\System32\Wins. Bovendien is het bestand Svchost.exe dat door dit wormvirus naar de map %windir%\System32\Wins wordt gekopieerd een kopie van het Windows-bestand Tftpd.exe. Het bestand Dllhost.exe dat door dit wormvirus naar de map %windir%\System32\Wins wordt gekopieerd, is een kopie van het virus. De virusversie van het bestand heeft meestal een bestandsgrootte van meer dan 10.000 bytes. Het geldige Windows-bestand Dllhost.exe heeft een bestandsgrootte van 5.632 bytes (Windows Server 2003), 4.608 bytes (Windows XP) of 5.904 bytes (Windows 2000).

Technische gegevens

Nachi is vergelijkbaar met het Blaster-wormvirus en de varianten hiervan. Dit betekent dat het wormvirus gebruikmaakt van het beveiligingslek dat wordt beschreven in Microsoft Security Bulletin MS03-026. Het wormvirus geeft via het TFTP-programma doelcomputers opdracht een kopie van het virus te downloaden van een geïnfecteerd systeem.


Het wormvirus maakt niet alleen gebruik van het RPC-beveiligingslek dat wordt beschreven in Microsoft Security Bulletin MS03-026, maar verspreidt zichzelf ook via het het beveiligingslek dat wordt beschreven in Microsoft Security Bulletin MS03-007. Hiervoor wordt IIS 5.0 gebruikt via poort 80.


Na een geslaagde infectie wordt beveiligingspatch 823980 (MS03-026) onjuist door het virus geïnstalleerd op geïnfecteerde computers. Hiervoor wordt eerst het besturingssysteem vastgesteld, waarna de patch voor dat besturingssysteem wordt gedownload. Door de onjuiste installatie van de bestanden en registerinstellingen van de beveiligingspatch 823980 (MS03-026) blijven besmette computers kwetsbaar voor de problemen die worden beschreven in het Microsoft Security Bulletin MS03-026 en ontstaan er problemen als u de Microsoft-versie van de beveiligingspatch 823980 (MS03-026) wilt installeren. De volgende symptomen duiden op de installatie van de beveiligingspatch 823980 (MS03-026) door het Nachi-wormvirus:

• De beveiligingspatch 823980 (MS03-026) staat niet in de lijst van het onderdeel Software in het Configuratiescherm. De vermelding Windows XP Hotfix - KB823980 is dan niet opgenomen in de lijst van het onderdeel Software. Dit probleem wordt niet opgelost door de installatie van de Microsoft-versie van de beveiligingspatch 823980 (MS03-026). Dit komt omdat het wormvirus de beveiligingspatch 823980 (MS03-026) installeert in de modus 'no archive'. Beheerders kunnen de beveiligingspatch 823980 (MS03-026) installeren in de modus 'no archive' door de schakeloptie /n te gebruiken.
• De volgende vermelding wordt weergegeven in het gebeurtenislogboek van het systeem:

  Bron: NtServicePack
  Categorie: Geen
  Gebeurtenis-id: 4359
  Gebruiker: NT AUTHORITY\SYSTEM
  Beschrijving: Besturingssysteem Hotfix KB823980 is geïnstalleerd.

  Opmerking: U kunt het gebeurtenislogboek van het systeem sorteren op Bron door te klikken op de kolomkop Bron in Logboekinzage.

Preventie

Voer de volgende stappen uit om te voorkomen dat dit virus uw computer besmet:

1. Schakel de Firewall voor Internet-verbindingen (ICF) van Windows XP, Windows Server 2003, Standard Edition of Windows Server 2003, Enterprise Edition in. U kunt ook Basic Firewall, Microsoft Internet Security and Acceleration (ISA) Server 2000 of een firewall van een andere leverancier gebruiken om TCP-poorten 135, 139, 445 en 593, UDP-poorten 69 (TFTP), 135, 137 en 138 en TCP-poort 80 te blokkeren.
   
   
   U kunt als volgt de Firewall voor Internet-verbindingen in Windows XP of Windows Server 2003 inschakelen:
   1. Klik op Start en op Configuratiescherm.
   2. Dubbelklik in het Configuratiescherm op Netwerkverbindingen.
   3. Klik met de rechtermuisknop op de verbinding waarvoor u de firewall wilt inschakelen en klik op Eigenschappen.
   4. Open het tabblad Geavanceerd en schakel het selectievakje Mijn computer en netwerk beveiligen door toegang vanaf het Internet te beperken of te blokkeren in.
   Opmerking Sommige inbelverbindingen worden mogelijk niet weergegeven in de mappen met netwerkverbindingen. Dit kan het geval zijn bij AOL- en MSN-inbelverbindingen. Soms kunt u met de volgende procedure de Firewall voor Internet-verbindingen inschakelen voor een verbinding die niet wordt weergegeven in de map met netwerkverbindingen. Als deze procedure niet werkt, neemt u contact op met uw internetprovider voor informatie over het instellen van een firewall voor uw internetverbinding.
   1. Start Internet Explorer.
   2. Open het menu Extra en klik op Internet-opties.
   3. Open het tabblad Verbindingen, klik op de inbelverbinding waarmee u verbinding maakt met internet en klik op Instellingen .
   4. Klik bij Inbelinstellingen op de knop Eigenschappen.
   5. Open het tabblad Geavanceerd en schakel het selectievakje Mijn computer en netwerk beveiligen door toegang vanaf het Internet te beperken of te blokkeren in.
   
   Klik voor meer informatie over het inschakelen van de Firewall voor Internet-verbindingen in Windows XP of in Windows Server 2003 op het volgende artikelnummer in de Microsoft Knowledge Base:
   

   283673Procedure: De firewall voor Internet-verbindingen in- of uitschakelen in Windows XP

   Opmerking De Firewall voor Internet-verbindingen is alleen beschikbaar in Windows XP, in Windows Server 2003, Standard Edition en in Windows Server 2003, Enterprise Edition. Basic Firewall is een onderdeel van Routing and Remote Access dat u kunt inschakelen voor elke openbare interface op een computer met zowel Routing and Remote Access als een product uit de Windows Server 2003-familie.
2. De infectiemethode van dit wormvirus is gebaseerd op twee eerder gemelde beveiligingslekken. Het is dan ook belangrijk dat de beveiligingspatches 823980 en 815021 beide zijn geïnstalleerd op alle computers om de problemen die worden beschreven in Microsoft Security Bulletins MS03-026 en MS03-007 te voorkomen. De beveiligingspatch 824146 vervangt de beveiligingspatch 823980. Microsoft raadt u aan de beveiligingspatch 824146 te installeren. Deze patch bevat ook correcties voor de problemen die worden beschreven in het Microsoft Security Bulletin MS03-026 (823980).
   Klik voor meer informatie over beveiligingspatch 824146 op het volgende artikelnummer in de Microsoft Knowledge Base:
   

   824146MS03-039: Een bufferoverloop in RPCSS zorgt er voor dat een aanvaller schadelijke programma's kan uitvoeren

   
   Voor meer informatie over beveiligingspatch 823980 en eventuele andere vereisten (zoals een service pack voor uw versie van Windows) klikt u op het volgende artikelnummer in de Microsoft Knowledge Base:
   

   823980MS03-026: Bufferoverloop in RPC kan leiden tot uitvoering van code

   
   Voor meer informatie over beveiligingspatch 815021 en eventuele andere vereisten (zoals een service pack voor uw versie van Windows) klikt u op het volgende artikelnummer in de Microsoft Knowledge Base:
   

   815021MS03-007: Ongecontroleerde buffer in Windows-onderdeel kan ernstige bedreiging voor webserver vormen

3. Gebruik de meest recente virusherkenningsbestanden van de leverancier van uw antivirussoftware om nieuwe virussen en virusvarianten op te sporen.

Herstel

Als u een besmette computer hebt, is het raadzaam een volledig 'schone' installatie uit te voeren om niet eerder ontdekte beveiligingslekken te verwijderen die in de toekomst tot problemen zouden kunnen leiden. Bezoek voor meer informatie de volgende website van het CERT Coordination Center (CERT/CC): Diverse leveranciers van antivirussoftware leveren echter programma's waarmee het beveiligingslek dat door dit wormvirus wordt gebruik, kan worden weggenomen. Als u een dergelijk programma wilt downloaden van de site van uw leverancier, gebruik dan een van de volgende procedures, afhankelijk van uw besturingssysteem.

Herstelprocedure voor Windows XP, Windows Server 2003, Standard Edition en Windows Server 2003, Enterprise Edition

1. Schakel de Firewall voor Internet-verbindingen van Windows XP, Windows Server 2003, Standard Edition of Windows Server 2003, Enterprise Edition in. U kunt ook Basic Firewall, Microsoft Internet Security and Acceleration (ISA) Server 2000 of een firewall van een andere leverancier gebruiken.
   
   
   Ga als volgt te werk om de ingebouwde Firewall voor Internet-verbindingen in te schakelen:
   1. Klik op Start en op Configuratiescherm.
   2. Dubbelklik in het Configuratiescherm op Netwerkverbindingen.
   3. Klik met de rechtermuisknop op de verbinding waarvoor u de firewall wilt inschakelen en klik op Eigenschappen.
   4. Open het tabblad Geavanceerd en schakel het selectievakje Mijn computer en netwerk beveiligen door toegang vanaf het Internet te beperken of te blokkeren in.
   Opmerkingen
   • Als uw computer tijdens het uitvoeren van deze stappen herhaaldelijk wordt afgesloten of opnieuw wordt opgestart, verbreek dan de verbinding met internet voordat u de firewall inschakelt. Als u een breedbandverbinding gebruikt voor toegang tot internet, haal dan de kabel van de externe ADSL-modem of kabelmodem uit de modem of de telefoonaansluiting. Als u een inbelverbinding gebruikt, haal dan de telefoonkabel van de modem in uw computer uit de telefoonaansluiting of uit uw computer. Als u de internetverbinding niet kunt verbreken, gebruikt u de volgende opdracht om te voorkomen dat RPCSS de computer opnieuw opstart als de service door een fout niet kan worden uitgevoerd:

     sc failure rpcss reset= 0 actions= restart

     Gebruik de volgende opdracht om de standaardherstelinstelling voor RPCSS weer in te stellen nadat u deze stappen hebt uitgevoerd:

     sc failure rpcss reset= 0 actions= reboot/60000

   • Als verschillende computers een internetverbinding delen, gebruik dan alleen een firewall op de computer die rechtstreeks is verbonden met internet. Schakel geen firewall in op de andere computers die gebruikmaken van de internetverbinding. Als u met Windows XP werkt, gebruik dan de wizard Netwerk instellen om de Firewall voor Internet-verbindingen in te stellen.
   • Het inschakelen van een firewall mag geen invloed hebben op e-mailfuncties of de werking van uw webbrowser. Het is echter wel mogelijk dat sommige internetsoftware, -services of -functies niet meer werken achter een firewall. Als dat het geval is, moet u wellicht enkele poorten in de firewall vrijgeven om het probleem te voorkomen. Raadpleeg de documentatie bij de service die niet werkt om te kijken welke poorten u moet open zetten. De procedure voor het openen van deze poorten vindt u in de documentatie bij uw firewall.
     Ga naar het volgende artikel in de Microsoft Knowledge Base voor meer informatie:
     

     308127Handmatig poorten openen in Firewall voor Internet-verbinding onder Windows XP

   • Mogelijk kunt u met de volgende procedure de Firewall voor Internet-verbindingen inschakelen voor een verbinding die niet wordt weergegeven in de map met netwerkverbindingen. Als deze procedure niet werkt, neemt u contact op met uw internetprovider voor informatie over het instellen van een firewall voor uw internetverbinding.
     1. Start Internet Explorer.
     2. Open het menu Extra en klik op Internet-opties.
     3. Open het tabblad Verbindingen, klik op de inbelverbinding waarmee u verbinding maakt met internet en klik op Instellingen .
     4. Klik bij Inbelinstellingen op de knop Eigenschappen.
     5. Open het tabblad Geavanceerd en schakel het selectievakje Mijn computer en netwerk beveiligen door toegang vanaf het Internet te beperken of te blokkeren in.
   
   Klik voor meer informatie over het inschakelen van de Firewall voor Internet-verbindingen in Windows XP of in Windows Server 2003 op het volgende artikelnummer in de Microsoft Knowledge Base:
   

   283673Procedure: De firewall voor Internet-verbindingen in- of uitschakelen in Windows XP

   Opmerking De Firewall voor Internet-verbindingen is alleen beschikbaar in Windows XP, in Windows Server 2003, Standard Edition en in Windows Server 2003, Enterprise Edition. Basic Firewall is een onderdeel van Routing and Remote Access dat u kunt inschakelen voor elke openbare interface op een computer met zowel Routing and Remote Access als een product uit de Windows Server 2003-familie.
2. Ga naar de volgende registersleutel en verwijder deze:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Hotfix\KB823980

   Ga hiervoor als volgt te werk:
   1. Klik op Start, klik op Uitvoeren, typ regedit en klik op OK.
   2. Ga naar de volgende registersleutel:

      HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Hotfix\KB823980

   3. Klik met de rechtermuisknop op de registersleutel KB823980 en klik op Verwijderen.
3. Download en installeer beveiligingspatches 824146 en 815021 op alle computers ten behoeve van het beveiligingslek dat wordt beschreven in de Microsoft Security Bulletins MS03-039, MS03-026 en MS03-007.
   Voor meer informatie over beveiligingspatch 824146 en eventuele andere vereisten (zoals een service pack voor uw versie van Windows) klikt u op het volgende artikelnummer in de Microsoft Knowledge Base:
   

   824146MS03-039: Een bufferoverloop in RPCSS zorgt er voor dat een aanvaller schadelijke programma's kan uitvoeren

   
   Voor meer informatie over beveiligingspatch 823980 en eventuele andere vereisten (zoals een service pack voor uw versie van Windows) klikt u op het volgende artikelnummer in de Microsoft Knowledge Base:
   

   823980MS03-026: Bufferoverloop in RPC kan leiden tot uitvoering van code

   
   Voor meer informatie over beveiligingspatch 815021 en eventuele andere vereisten (zoals een service pack voor uw versie van Windows) klikt u op het volgende artikelnummer in de Microsoft Knowledge Base:
   

   815021MS03-007: Ongecontroleerde buffer in Windows-onderdeel kan ernstige bedreiging voor webserver vormen

4. Installeer uw virusherkenningssoftware of werk deze bij en voer vervolgens een volledige systeemscan uit.
5. Download het programma voor het verwijderen van het wormvirus van de site van de leverancier van uw antivirussoftware en voer het programma uit.

Herstelprocedure voor Windows 2000 en Windows NT 4.0

De Firewall voor Internet-verbindingen is niet beschikbaar in Windows 2000 of Windows NT 4.0. Als u niet beschikt over Microsoft Internet Security and Acceleration (ISA) Server 2000 of een firewall van een andere leverancier om TCP-poorten 135, 139, 445 en 593, UDP-poorten 69 (TFTP), 135, 137 en 138, en TCP-poort 80 te blokkeren, voer dan deze stappen uit om de aangegeven poorten te blokkeren voor LAN-verbindingen. Er zijn geen TCP/IP-filters beschikbaar voor inbelverbindingen. Als u verbinding maakt met internet via een inbelverbinding, moet u een firewall inschakelen.

1. TCP/IP-beveiliging configureren. Gebruik hiervoor de voor uw besturingssysteem geldende procedure.
   
   Windows 2000
   1. Dubbelklik in het Configuratiescherm op Netwerkverbindingen.
   2. Klik met de rechtermuisknop op de interface die u voor internettoegang gebruikt en klik op Eigenschappen.
   3. Klik op Internet-protocol (TCP/IP) in het vak Geselecteerde onderdelen worden voor deze verbinding gebruikt en klik op Eigenschappen.
   4. Klik op Geavanceerd in het dialoogvenster Eigenschappen voor Internet Protocol (TCP/IP).
   5. Open het tabblad Options.
   6. Klik op TCP/IP-filtering en klik op Eigenschappen.
   7. Klik om het selectievakje TCP/IP-filtering inschakelen (alle adapters) in te schakelen.
   8. Er zijn drie kolommen, die de volgende namen hebben:
      • TCP-poorten
      • UDP-poorten
      • IP-protocollen
      Klik in elke kolom op de optie Alleen toestaan.
      
      
      Voor meer informatie over de poorten die geopend moeten zijn voor domeinen en vertrouwensrelaties, klikt u op het volgende artikelnummer in de Microsoft Knowledge Base:
      

      179442Een firewall configureren voor domeinen en vertrouwensrelaties

   9. Klik op OK.
      
      Opmerkingen
      • Als uw computer tijdens het uitvoeren van deze stappen herhaaldelijk wordt afgesloten of opnieuw wordt opgestart, verbreek dan de verbinding met internet voordat u de firewall inschakelt. Als u een breedbandverbinding gebruikt voor toegang tot internet, haal dan de kabel van de externe ADSL-modem of kabelmodem uit de modem of de telefoonaansluiting. Als u een inbelverbinding gebruikt, haal dan de telefoonkabel van de modem in uw computer uit de telefoonaansluiting of uit uw computer.
      • Als verschillende computers een internetverbinding delen, gebruik dan alleen een firewall op de computer die rechtstreeks is verbonden met internet. Schakel geen firewall in op de andere computers die gebruikmaken van de internetverbinding.
      • Het inschakelen van een firewall mag geen invloed hebben op e-mailfuncties of de werking van uw webbrowser. Het is echter wel mogelijk dat sommige internetsoftware, -services of -functies niet meer werken achter een firewall. Als dat het geval is, moet u wellicht enkele poorten in de firewall vrijgeven om het probleem te voorkomen. Raadpleeg de documentatie bij de service die niet werkt om te kijken welke poorten u moet open zetten. De procedure voor het openen van deze poorten vindt u in de documentatie bij uw firewall.
      • Deze stappen zijn gebaseerd op een aangepast uittreksel van artikel 309798 van de Microsoft Knowledge Base.
        Ga naar het volgende artikel in de Microsoft Knowledge Base voor meer informatie:
        

        309798TCP/IP-filtering configureren in Small Business Server 2003

   Windows NT 4.0
   1. Dubbelklik in het Configuratiescherm op Netwerk.
   2. Open het tabblad Protocol, klik op TCP/IP-protocol en klik op Eigenschappen.
   3. Open het tabblad IP-adres en klik op Geavanceerd.
   4. Schakel het selectievakje Beveiliging inschakelen in en klik op Configureren.
   5. Selecteer in de kolommen TCP-poorten, UDP-poorten en IP-protocollen de instelling Alleen toestaan.
   6. Klik op OK en sluit het onderdeel Netwerk.
2. Download en installeer beveiligingspatches 824146 en 815021 op alle computers ten behoeve van het beveiligingslek dat wordt beschreven in de Microsoft Security Bulletins MS03-039, MS03-026 en MS03-007. De beveiligingspatch 824146 vervangt de beveiligingspatch 823980. Microsoft raadt u aan de beveiligingspatch 824146 te installeren. Deze patch bevat ook correcties voor de problemen die worden beschreven in het Microsoft Security Bulletin MS03-026 (823980).
   Klik voor meer informatie over beveiligingspatch 824146 op het volgende artikelnummer in de Microsoft Knowledge Base:
   

   824146MS03-039: Een bufferoverloop in RPCSS zorgt er voor dat een aanvaller schadelijke programma's kan uitvoeren

   
   Voor meer informatie over beveiligingspatch 823980 en eventuele andere vereisten (zoals een service pack voor uw versie van Windows) klikt u op het volgende artikelnummer in de Microsoft Knowledge Base:
   

   823980MS03-026: Bufferoverloop in RPC kan leiden tot uitvoering van code

   
   Voor meer informatie over beveiligingspatch 815021 en eventuele andere vereisten (zoals een service pack voor uw versie van Windows) klikt u op het volgende artikelnummer in de Microsoft Knowledge Base:
   

   815021MS03-007: Ongecontroleerde buffer in Windows-onderdeel kan ernstige bedreiging voor webserver vormen

3. Installeer uw virusherkenningssoftware of werk deze bij en voer vervolgens een volledige systeemscan uit.
4. Download het programma voor het verwijderen van het wormvirus van de site van de leverancier van uw antivirussoftware en voer het programma uit.

   Network Associates
   http://vil.nai.com/vil/content/v_100559.htm
   
   Trend Micro
   http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=WORM_MSBLAST.D
   
   Symantec
   http://securityresponse.symantec.com/avcenter/venc/data/w32.welchia.worm.html

   Ga naar de volgende Microsoft-website voor meer informatie over de Virus Information Alliance (VIA):

   http://www.microsoft.com/technet/security/alerts/info/via.mspx