Microsoft-Sicherheitsempfehlung (899588)
Sicherheitsanfälligkeit in Plug-and-Play kann Remotecodeausführung und Erhöhung von Berechtigungen ermöglichen.
Microsoft warnt vor dem Wurm „Worm:Win32/Zotob.A“ und seinen Varianten, die sich derzeit im Internet verbreiten. Der Wurm attackiert Computer, auf denen das Betriebssystem Windows 2000 installiert ist. Hierfür nutzt er eine Sicherheitsfälligkeit aus, die im Microsoft Security Bulletin MS05-039 vom 9. August 2005 beschrieben ist. Zotob und seine Varianten installieren auf attackierten Systemen so genannte Malware (böswillige Software) und suchen dann nach anderen infizierbaren Computern.
Wenn Sie das mit dem Security Bulletin MS05-039 veröffentlichte Sicherheitsupdate installiert haben, sind Sie vor einem Angriff durch Zotob und seine Varianten geschützt. Zotob attackiert ausschließlich Windows 2000-Systeme, d.h. für jede andere unterstützte Windows-Version besteht keine Gefahr. Laut Untersuchungen im Rahmen des Software Security Incident Response Process von Microsoft sind derzeit nur sehr wenige Kunden von Zotob betroffen. Unsere Sicherheitsexperten stehen in direktem Kontakt mit diesen Kunden, um das Problem gemeinsam zu lösen. Es gibt derzeit keine Indizien für eine massenhafte Verbreitung von Zotob über das Internet. Falls Sie von Zotob betroffen sind, wenden Sie sich an Ihre örtliche Polizeidienststelle.
Informationen dazu, wie Sie feststellen können, ob Ihr System mit diesem Wurm infiziert ist, finden Sie auf der Webseite Das sollten Sie über Zotob wissen oder in den unter "Übersicht" genannten Einträgen in der Malicious Software Encyclopedia von Microsoft. Hier stehen Ihnen auch Erläuterung zur Wiederherstellung infizierter Systeme zur Verfügung. Zudem hat Microsoft eine aktualisierte Version des Tools zum Entfernen böswilliger Software zur Verfügung veröffentlicht, die Sie beim Schutz vor Zotob unterstützt.
Andere Versionen von Windows wie Windows XP Service Pack 2 oder Windows Server 2003 sind nicht von Worm:Win32/Zotob.A, seinen Varianten oder ähnlichen Würmern, die die im Microsoft Security Bulletin MS05-039 beschriebene Sicherheitsanfälligkeit auszunutzen versuchen, betroffen. Sie können sich vor jedem Angriff, der auf diese Sicherheitsanfälligkeit abzielt, schützen, indem Sie das im Microsoft Security Bulletin MS05-039 bereitgestellte Sicherheitsupdate installieren.
Microsoft ist enttäuscht, dass gewisse Sicherheitsforscher die branchenübliche Praxis verletzt haben, indem sie so kurz vor der Updateveröffentlichung Daten bezüglich einer Sicherheitsanfälligkeit zurückgehalten und Angreifercode veröffentlicht haben, der eine potenzielle Gefahr für Computerbenutzer darstellt. Wir fordern Sicherheitsforscher weiterhin dazu auf, Informationen bezüglich Sicherheitsanfälligkeiten verantwortungsbewusst offen zu legen und Benutzern Zeit für die Bereitstellung von Updates zu gewähren. Andernfalls könnten sie Kriminelle dabei unterstützen, softwarebezogene Sicherheitsanfälligkeiten auszunutzen.
Schadensbegrenzende Faktoren:
| • | In erster Linie sind Windows 2000-Systeme von dieser Sicherheitsanfälligkeit betroffen. Benutzer von Windows 2000, die das Sicherheitsupdate MS05-039 installiert haben, sind von dieser Sicherheitsanfälligkeit nicht betroffen. Falls ein Administrator anonyme Verbindungen deaktiviert hat, indem er die Standardeinstellung für den Registrierungsschlüssel RestrictAnonymous auf den Wert 2 geändert hat, können Windows 2000-Systeme ebenfalls nicht remote durch anonyme Benutzer angegriffen werden. Beachten Sie allerdings, dass durch diese Änderung des genannten Registrierungsschlüssels unter Umständen Kompatibilitätsprobleme bei einigen Anwendungen auftreten können. Wir empfehlen deshalb, diese Änderung höchstens dann in einer Produktionsumgebung vorzunehmen, wenn Sie zuvor ausführliche Tests unternommen haben. Weitere Informationen zu RestrictAnonymous finden Sie auf der Website Microsoft Hilfe und Support. |
| • | Windows XP Service Pack 2 und Windows Server 2003 sind zwar nicht die aktuellen Ziele dieses Angreifercodes; dennoch ist zu beachten, dass ein Angreifer gültige Anmeldeinformationen benötigt und sich lokal anmelden muss, um diese Sicherheitsanfälligkeit auszunutzen. Unter Windows XP Service Pack 2 und Windows Server 2003 kann die Sicherheitsanfälligkeit nicht per Remotezugriff von anonymen Benutzern oder Benutzern mit standardmäßigen Benutzerkonten ausgenutzt werden. Benutzer mit Administratorrechten können jedoch per Remotezugriff auf die betroffene Komponente zugreifen. Selbst wenn ein Administrator die Standardeinstellung des Regisitrierungsschlüssels RestrictAnonymous geändert und dadurch anonyme Verbindungen aktiviert hat, sind Windows XP Service Pack 2 und Windows Server 2003 nicht für einen Remoteangriff anfällig – jedenfalls nicht, wenn dieser Angriff von anonymen Benutzern ausgeht bzw. von Benutzern, die lediglich Standardrechte besitzen. Benutzern mit Administratorrechten steht die betroffene Komponente jedoch zur Verfügung. |
| • | Windows XP Service Pack 1 ist zwar nicht das aktuelle Ziel dieses Angreifercodes; dennoch ist zu beachten, dass ein Angreifer gültige Anmeldeinformationen benötigt, um diese Sicherheitsanfälligkeit ausnutzen zu können. Die Sicherheitsanfälligkeit kann nicht per Remotezugriff von anonymen Benutzern ausgenutzt werden. Benutzer mit standardmäßigen Benutzerkonten unter Windows XP Service Pack 1 können jedoch per Remotezugriff auf die betroffene Komponente zugreifen. Der vorhandene Angreifercode ist nicht dafür ausgelegt, die erforderliche Authentifizierung bereitzustellen, um dieses Problem bei diesen Betriebssystemen auszunutzen. Selbst wenn ein Administrator die Standardeinstellung des Regisitrierungsschlüssels RestrictAnonymous geändert und dadurch anonyme Verbindungen aktiviert hat, ist Windows XP Service Pack 1 nicht für einen Remoteangriff durch anonyme Benutzer anfällig. |
| • | Windows 98, Windows 98 SE und Windows Millennium Edition sind von diesem Problem nicht betroffen. |
Allgemeine Informationen
Ressourcen:
| • | Sie können uns über das Formular auf folgender Website Ihr Feedback zukommen lassen. |
| • | Technischer Support ist in den USA und Kanada über die Microsoft Support Services erhältlich. Weitere Informationen zu verfügbaren Supportoptionen finden Sie auf der Microsoft-Website „Hilfe und Support“. |
| • | Kunden außerhalb der USA erhalten Support bei ihren regionalen Microsoft-Niederlassungen. Weitere Informationen dazu, wie Sie Microsoft in Bezug auf internationale Supportfragen kontaktieren können, finden Sie auf der International Support-Website. |
| • | Die Website Microsoft TechNet Sicherheit bietet weitere Informationen zur Sicherheit von Microsoft-Produkten. |
Verzichtserklärung:
Die Informationen in dieser Empfehlung werden wie besehen und ohne jede Gewährleistung bereitgestellt. Microsoft schließt alle anderen Garantien, gleich ob ausdrücklich oder konkludent, einschließlich der Garantien der Handelsüblichkeit oder Eignung für einen bestimmten Zweck aus. In keinem Fall kann Microsoft Corporation und/oder deren jeweilige Lieferanten haftbar gemacht werden für Schäden irgendeiner Art, einschließlich direkter, indirekter, zufällig entstandener Schäden, Folgeschäden, Folgen entgangenen Gewinns oder spezieller Schäden, selbst dann nicht, wenn Microsoft Corporation und/oder deren jeweilige Lieferanten auf die mögliche Entstehung dieser Schäden hingewiesen wurde. Weil in einigen Staaten/Rechtsordnungen der Ausschluss oder die Beschränkung einer Haftung für zufällig entstandene Schäden oder Folgeschäden nicht gestattet ist, gilt die obige Einschränkung eventuell nicht für sie.
Revisionen:
| • | 11. August 2005: Empfehlung veröffentlicht |
| • | 14. August 2005: Empfehlung aktualisiert, um Benutzer darauf hinzuweisen, dass Microsoft derzeit intensiv einen schädlichen Wurm untersucht, der als „Worm:Win32/Zotob.A“ identifiziert wurde. Anleitungen zum Schutz vor dem Wurm zur Verfügung gestellt. |
| • | 15. August 2005: Empfehlung aktualisiert, um zusätzliche Varianten von Worm:Win32/Zotob.A zu dokumentieren. Informationen zur Bearbeitung des Registrierungsschlüssels RestrictAnonymous eingefügt. |
| • | 16. August 2005: Empfehlung aktualisiert, um weitere neue Varianten von Worm:Win32/Zotob.A zu dokumentieren. Informationen zum Fortgang der derzeit laufenden Untersuchungen eingefügt. |
| • | 17. August 2005: Empfehlung aktualisiert, um weitere Informationen zu Varianten von Worm:Win32/Zotob.A zur Verfügung zu stellen. Zudem wird auf eine aktualisierte Version des Tools zum Entfernen böswilliger Software hingewiesen, die Sie beim Schutz vor Zotob unterstützt. |