[ACTU] blackice laisse passer le vers witty

]Une faille dans Blackice amène à la destruction de milliers d'ordinateurs

Un ver a détruit ou endommagé des dizaines de milliers d'ordinateurs personnels ce week-end, en exploitant une faille présente dans le firewall blackice, censé normalement les protéger contre ce genre de programmes destructeurs.

Le ver witty a ainsi pu écrire à sa guise de façon aléatoire sur les disques durs des ordinateurs touchés, plus de 50000 à l'heure actuelle. Cela a entrainé une destruction du système d'exploitation des PC en question.

Ce ver est donné pour être très destructeur. Une fois l'ordinateur contaminé, il est nécessaire de le réinstaller entièrement, la majorité des données étant corrompues ou carrément détruites.

A la différence des vers actuels qui se répandent en tant que pièce jointe dans un e-mail, le ver witty se diffuse automatiquement entre les ordinateurs vulnérables, sans aucune action de l'utilisateur.

Une machine infectée par witty se met à envoyer sur le réseau local une grande quantité de paquets UDP, pouvant aller jusqu'à saturer la bande passante disponible sur la liaison LAN.

A aucun moment le ver ne s'inscrit sur le disque dur. Un simple reboot suffit à l'enlever du système. En revanche, s'il a eu le temps d'écrire dans les parties sensibles de votre disque dur, il est possible que votre ordinateur ne redémarre pas.

Les deux produits de type pare-feu de la société ISS, sensibles à cette faille sont blackice et real secure
Posté le 24 mars 2004 à 10:21:33 CET par Bruno

http://www.ixus.net/modules.php?name=News&sid=630


W32.Witty.Worm uses a vulnerability in ICQ parsing by ISS products. The worm sends itself to multiple IP addresses using UDP source port 4000 and a random destination port. The worm resides in memory only, and does not create files on an infected computer. The worm also has a payload that overwrites random sectors of a random hard disk.




--------------------------------------------------------------------------------
Note: If your computer is not running a vulnerable version of one of the affected products, then you will not be infected. Products affected by this vulnerability are listed below:

BlackICE™ Agent for Server 3.6 ebz, ecd, ece, ecf
BlackICE PC Protection 3.6 cbz, ccd, ccf
BlackICE Server Protection 3.6 cbz, ccd, ccf
RealSecure® Network 7.0, XPU 22.4 and 22.10
RealSecure Server Sensor 7.0 XPU 22.4 and 22.10
RealSecure Desktop 7.0 ebf, ebj, ebk, ebl
RealSecure Desktop 3.6 ebz, ecd, ece, ecf
RealSecure Guard 3.6 ebz, ecd, ece, ecf
RealSecure Sentry 3.6 ebz, ecd, ece, ecf

If you are running a product that has the vulnerability, which the worm uses, we recommend that you apply the relevant patch as soon as possible. Patches for this vulnerability are available at http://www.iss.net/download/.

broadcom.comSymantec Security CenterSymantec security research centers around the world provide unparalleled analysis of and protection from IT security threats that include malware, security risks, vulnerabilities, and spam.

comme quoi... une protection 100 % efficace n'est qu'une douce utopie...

vive le pare-feu de XP!!!

Aie!!! je comprend mieux pourquois ces temps ci j'ai plus de logs sur UDP!!!
moi qui pensait que c'etait un nouveau sniffer et que les kiddys jouaient avec...

moi je vois rien a l'horizon