rxnmb.com, oder: Der Chinamann greift an

[Schib]

Also ich bin Internetverwantwortlicher(iv) in nem Wohnheim und hab mich gerade erkundigt was nu los ist. URZ versucht gerade ne Lösung zu finden und sperrt erstma alle Anschlüsse der verseuchten PCs, der zuständige iv muss die dann entfernen.
Und bis jetzt empfiehlt das URZ entweder das System neuzuinstallen oder ein Virenprog von nem anderem Medium zu starten (Knoppix,Win-PE CD oder von USB-Stick) oder Linux zu "installen" und dann nen Virenscann unter Linux zustarten und die Windows Partition zu untersuchen....
Das Problem wird nur sein das jetzt Ferien sind und viele werden heimfahren und ihren PC mitnehmen, möglicherweise infiziert mit dem Wurm, und wenn sie nächstes Jahr wieder herkommen geht das alles wieder von vorne los.

 

[Trialer]

Solche Lösungen sind einfach keine Lösungen. Ich meine wer, außer den fortgeschrittenen Usern bis Computercracks, wird denn eine solche Aktion durchführen!? Zumal ja dank der tollen Informationspolitik des URZ kaum jemand überhaupt irgendetwas Definitives weiß (wie wär es denn einmal mit einem simplen Aushang?!)

Und zum Heimfahren: Macht es denn einen Unterschied ob der PC hier bleibt und die ganze Zeit ausgeschaltet ist oder ob er heim genommen wird? Falls nein tritt doch der von schib beschriebene Fall, dass alles wieder von vorn los geht im neuen Jahr, definitiv ein, weil ja wohl die wenigsten Leute über Weihnachten und Silvester in Jena verweilen werden...

 

[Ark'Shell]

So wie ich das verstehe sollen die IV den Leuten ja helfen und das es Januar wieder losgeht wenn die Leute zurückkommen ist wohl auch klar. Ich hoffe mal das das RZ dann etwas schneller mit sperren reagiert bzw. Leute die jetzt gesperrt sind auch erstmal gesperrt lässt. Eine Neuinstallation bringt aber auch nur was wenn derjenige sich nicht gleich wieder den Virus ins System packt. Also das Scannen des Rechners ist für mich unumgänglich genau wie ein paar Tipps zum Thema wie hänge ich einen Rechner ans Netz.

Aushänge würden aber echt nicht schaden. Einige laufen ja fast Amok weil sie Angst haben das es sie unbemerkt auch erwischt hat. Meine Rettungs-CDs sind jedenfalls schon gut in Umlauf

 

[JackB]

Hm, ich finde das Vorgehen des URZ eigentlich gut so wie es Schib beschrieben hat. Allerdings wird man das dieses Jahr wohl wirklich nicht mehr loesen koennen. Ich denke mal, bis alle Anschluesse identifiziert und gesperrt sind (man mag es kaum glauben, aber es soll Leute geben, die nicht jeden Tag ins Internet gehen) wird der Januar wohl noch vorrueberziehen.

Bis dahin sollte aber auch einmal grundlegend darueber nachgedacht werden, wie so ein Wurm ein derart grosses und teilweise wichtiges Netz streckenweise so lahmlegen kann. Ausserdem muesste man sich auch mal ueber die Informatonspolitik in Richtung der User Gedanken machen. Ein paar Infozettel in den Briefkaesten, eine Rundmail oder ganz einfach ein simpler, zeitnaher Aushang haette vielleicht wirklich etwas gebracht und vielleicht einige Leute dazu bewogen, ihr System mal zu durchsuchen.

Naja, morgen is der ganze Spuk fuer mich erstmal vorbei und ... ich hatte nicht geglaubt, dass ich das nochmal sagen wuerde, aber ich freue mich jetzt schon auf mein DSL-4000 daheim.

Frohes, wurmfreies Fest und guten Rutsch euch!

 

[il_capitano]

ich hab das forum erst jetzt entdeckt... ich bin auch internetverantwortlicher in einem wohnheim. das erste:wenn es bei euch keine infos (aushänge usw. ) gibt macht den IV bei euch im wohnheim druck!! dafür sind wir da und bekommen da auch geld für. sowas kann es nicht sein... ich hatte diese woche auch keine freie minute...
zum ganzen thema:
wir denken, dass sich ein viruspaket durch die sicherheitslücke zero-day-exploit ins netzwerk eingeschlichen hat. es gibt also eine gewissen anzahl an infizierten rechnern. diese ahmen die adresse des gates nach (also das rechenzentrum) und leiten den kompletten datenstrom über private rechner. wenn das mehrere machen gibt das natürlich ein rießiges chaos und das netz wird langsam oder bricht zusammen.
erkenntlich wird das problem bei ausführen des befehls arp -a (gate-ip). die dort zu sehende macadresse stimmt dann nicht mit der originalen überein.
weitehrin werden auf mir bzw. uns unerklärliche weise diese pinguinpopups verschickt. wir denken das auch virenfreie rechner diese sehen. diese werben für den qq-messenger mit dem chinesischen text "es wurde eine nachricht für sie hinterlassen". man wird bei klick auf eine chinesische seite geleitet.
wird der datenstrom gerade über einen fremden rechner geleitet werden downloads umgeleitet.(alle - auch windowsupdates, antivirusupdates,....) auf eine adresse namens "rxnmb.com"
dort versucht sich dann eine setup.exe zu installieren die voller viren ist.
weiterhin scheinen von außen mac adressen geändert zu werden. dies geschieht auch auf virenfreien (wahrscheinlich) computern. die neuen macs ähneln sich alle stark und der hersteller ist angeblich microsoft. diese attacken passieren exakt zeitgleich.
ob sich der bzw. die viren über das netzwerk ausbreiten können steht nicht fest. tendenz geht gegen nein.
unsere lösung: abschalten der betroffenen anschlüsse und komplettes formatieren des computers. netz läuft ja schon wieder deutlich stabiler.
auf infizierten rechnern findet sich ein cocktail von verschiedenen viren. werden aber alle von gängigen antivirenprogrammen erkannt.
sicherlich wird das problem anfang januar nochmal auftauchen.
eine andere möglichkeit als abschalten der betroffenen anschlüsse hat das rechenzentrum nicht. wenn sich jemand viren einfängt ist das privates verschulden (sicherlich konnten die leute nix dafür) und kann nur vor ort wieder behoben werden.
wie gesagt, macht euren leuten druck! für fragen steh ich auch gern zur verfügung!

 

[JackB]

Offensichtlich wird auf den infizierten Rechnern ein transparenter Proxy eingerichtet. Wenn nun der Datenstrom eines nicht-infizierten Rechner durch eine gespoofte MAC ueber solch einen Fake-Proxy laeuft, kann damit beliebiger Code auf den aufgerufenen Seiten angehaengt bzw. veraendert werden. Somit sieht eben auch der nicht infizierte Rechner dieses Werbeding. Btw. sollte vielleicht auch erwaehnt werden, dass MS vor einigen Tagen (allerdings erst einige Tage nachdem das Netz kollabierte) einen Patch fuer das IE-Exploit rausbrachte.