Moin!

Bekomme bei Kaspersky Internet Security Suite Computerbild Edition v7.0.1.325 immer wieder folgende Meldung:

20.10.2008 23:03:36 Intrusion.Win.MSSQL.worm.Helkern! IP-Adresse des Angreifers: 211.137.203.6. Protokoll/Dienst: UDP auf lokalem Port 1434. Zeit: 20.10.2008 23:03:36

Habe versucht das hier:

http://www.microsoft.com/downloads/details.aspx?displaylang=de&FamilyID=8E2DFC8D-C20E-4446-99A9-B7F0213F8BC5

und das hier:

SQL-MSDE-CriticalUpdate_GER.msi

zuu installieren, aber ich bekomme die Meldung, dass SQL Server 2000 auf meinem System nicht installiert ist bzw. der Patch nicht erforderlich ist. SQL Server 2000 habe ich ja auch nie installiert bzw. Programme, die ihn installieren.
Habe aber SQL Server 2005, welcher Teil von Visual Studio 2008 ist. Dieser ist auf den Stand von SP2. Da ich ihn momentan nicht brauche - werde ihn aber sicherlich irgendwann brauchen - habe ich den Dienst abgeschaltet.
Zusätzlich zur Kaspersky Firewall ist auch die Windows Firewall eingeschaltet und AntiVir ist installiert.
Mein System: Windows Vista Home Premium x64

Beim Suchen hab ich nur dies gefunden:
http://www.trojaner-board.de/31242-mal-kurz-helfen.html

Das hier: http://www.dingens.org/
kann ich nicht anwenden, da mein System Windows Vista ist. Ich habe aber schon ein paar Dienste abgestellt

Frage: Was macht mein System anfällig für den oben genannten Wurm und was kann ich tun, um die Lücken zu schließen?

Hi,

irgendwie hast Du hier ein paar Sachen verwechselt. Dein System ist nicht anfällig für Helkern. Das waren nur Windows 2000 Systeme mit einer bestimmten Version von Microsoft SQL, nichts davon hast Du. Den Patch gibt es seit Jahren, dennoch hängen immer noch infizierte Systeme im Internet, die auf der Suche sind nach anderen Systemen um sie zu infizieren.

Kaspersky hat bloß gemeldet, dass von außerhalb ein Paket für Port 1434/UDP eingegangen ist. Dort wäre so ein infizierbarer SQL-Server anzutreffen. Es ist noch nicht einmal klar, ob es wirklich ein Infektionsversuch war oder einfach nur irgendein Portscan, der diesen Port berührt hat.

Das Problem ist eigentlich nur, dass Kasperskys Firewall nicht einfach still und leise ihre Arbeit tut, sondern einen Riesenalarm wegen einem Nichts macht, damit Du auch weißt wie toll es ist, diese Software installiert zu haben. Sowohl die Windowsfirewall als auch ein Router hätten diese Anfrage einfach weggeworfen ohne dir Angst zu machen. Sogar ganz ohne irgendeine Firewall wäre nichts passiert, da Du entweder auf dem Port nichts am laufen hast oder jedenfalls nicht den angreifbaren SQL.

Fazit: Viel Lärm um nichts, eine "Security"software die ihren Nutzer mal wieder dran gehindert hat, vernünftig den Computer zu nutzen.

Gruß, Karl

Hi Karl,

danke für die schnelle Antwort.
Hab ja schon öfter gelesen, dass es einfach nur eine Meldung ist, um die man sich keine Sorgen machen muss. War mir aber nicht sicher, weil ich die Meldung erhalten hab, ohne irgendeine passende Software installiert zu haben. Jetzt bin ich schon etwas beruhigt. Bist Du wirklich sicher, dass da nix passieren kann?
Wie sicher ist denn ein System ohne separate Firewall (separater Rechner mit Linux & Firewallsoftwarelösung oder etwa ein Cisco System)? Also ein normaler Home PC mit Windows Vista. Hab ich das richtig verstanden, dass die OS Firewall besser ist als ISSs weil sie tiefer im System steckt?
Wie sicher kann ich mir sein, dass Microsoft keine Hintertüren eingebaut hat? SUSE Linux als Firewall kann ich ja schon mal vergessen. Novell hat 400 Mio. $ von MS erhalten.
Sorry für die Paranoia. Sie ist aber leider notwendig.

Gruß
Holotropium

Die Meldung kommt, weil von der Seite des Internets aus ein passendes Datenpaket an deinen Anschluss geschickt wurde, das funktioniert ohne dass Du irgendwas installierst (außer natürlich der Software, die die Meldung erzeugt). Ja, ich bin mir da ganz sicher, dass da nichts passieren kann.

So sicher wie Du das System eben machst. Installation aller Updates ist jedenfalls viel wichtiger als die Installation irgendwelcher "Schutz"software. Ein Vorteil der OS-Firewall ist natürlich, dass sie nahtlos in das System integriert ist und als Teil des Betriebssystems entwickelt ist. Nachteil (wie auch der aller anderen auf dem System zu installierenden Programme) ist, dass ein einmal auf dem System aktiv gewordener Angreifer sie unterwandern und hintergehen kann. Ich habe schon Systeme hier am laufen gehabt (kontrollierte Testumgebungen), auf denen Backdoorserver mit ihrem Chef sprachen, im Akkord Spam versandt wurde, usw., ohne dass eine installierte Firewall etwas bemerkt hätte. Aufgefallen ist es erst auf dem Router, den ich davor gesetzt hatte. Da muss dann der Traffic durch, kann ermittelt und aufgezeichnet werden und schließlich gefiltert werden (natürlich habe ich den Spam nicht rausgelassen). Das ist Vorteil einer externen Lösung. Nachteile dort sind wiederum, dass keine Möglichkeit besteht den Traffic mit laufenden Prozessen abzugleichen und dass natürlich mehr Hardwareaufwand angesagt ist.

Suse wär auch nicht mein Fall, schon alleine weil dort einfach zu viel anders läuft als auf anderen Distributionen. Solange es quelloffen ist, halte ich heimlich integrierte Backdoors für relativ unwahrscheinlich. Für die Zahlung sehe ich noch andere mögliche Gründe, Microsoft beobachtet sicher sehr genau, was sich bei Linux tut und passt auf, einen Fuß in der Tür zu haben.

Ich setzte solche Firewallsysteme meist mit Debian auf. Das ist auch die Basis vieler anderer Distributionen.

Ich nutze ein DSL-Router-Modem, jedoch steht auf dem Gerät nirgends die ip Adresse. Daher bin ich nie dazu gekommen das Gerät zu konfigurieren. Werde mal bei Gelegenheit recherchieren, wie man da ran kommt.

Danke @Karl für die Infos!