Sasser fährt w2k und xp pcs übers netz herunter?

[Delphi Star]

Sasser fährt von einem infizierten Computer aus nicht infizierte XP und w2k sp4 Computer herunter.
Wie geht das?

[alcaeus]

Hi Delphi Star,

warum willst du dies wissen? Ich geb dir nur einen kleinen Tipp: shutdown.exe
Aber von dem "Feature" hab ich noch nie was gehört.

Greetz
alcaeus

[Plague]

Windows machts möglich

[Meflin]

Zitat von Delphi Star:

Sasser fährt von einem infizierten Computer aus nicht infizierte XP und w2k sp4 Computer herunter.
Wie geht das?

auch die delphi suche sollte dir mit diesen stichwörtern helfen!
übers netzwerk herunterfahren

[Delphi Star]

@alcaeus: Mit der Shutdown.exe geht das unter XP, aber wie hat er den w2k Rechner runtergefahren, da gibt es keine Shutdown.exe

[static_cast]

Er killt doch einen kritischen system service, deswegem fahren die rechner runter!

[alcaeus]

Zitat von Delphi Star:

@alcaeus: Mit der Shutdown.exe geht das unter XP, aber wie hat er den w2k Rechner runtergefahren, da gibt es keine Shutdown.exe

Vergiss nicht dass es sich um einen Virus gehandelt hat, der über ein Exploit in der RPC ein Programm auf den Rechner geladen hat. Der Rechner wurde erst neu gestartet, als er infiziert war.
Ob das hier weiter besprochen werden sollte weiß ich nicht, erklär mal wozu du es brauchst.

Greetz
alcaeus

[raziel]

wie static_cast schon angesprochen hatte, killt sasser den systemprozess lsass.exe, was eigentlich iirc vom Virenschreiber gar nicht beabsichtigt war. quasi ein bug im virus. das liegt daran, dass die der angegriffene rpc-code der unterschiedlichen windowsversionen an unterschiedlichen adressen ausgeführt wird. nach dem injezieren des codes durch einen buffer-overflow stimmte allerdings bei einigen versionen die rücksprungadresse nicht mehr -> der prozess crashte -> windows wird heruntergefahren. that's it.