Blaster
Blaster (ook Lovsan, Lovesan, Poza of MSBlast) is een computerworm die zich in augustus 2003 verspreidde via Microsoft Windows NT 4.0, 2000, XP en Server 2003. De worm werd opgemerkt op 11 augustus dat jaar, toen hij zich steeds sneller verspreidde met een hoogtepunt op 13 augustus. Filtering door providers en wijdverspreide kennis over de worm, verhinderden de verdere verspreiding. De 18-jarige Jeffrey Lee Parson uit Hopkins (Minnesota) schreef de B-variant en infecteerde 48.000 computers. Op 29 augustus 2003 werd hij gearresteerd, bekende en kreeg in januari 2005 18 maanden gevangenisstraf.

Ontstaan en gevolgen
Volgens gegevens van justitie werd de originele Blasterworm gemaakt nadat Xfocus reverse, een Chinese hackersorganisatie, een patch ontwikkelde die sommige Windowssystemen kwetsbaar maakte. De worm verspreidde zich met een buffer overflow, een slordige programmeergewoonte waardoor een programma tijdens het schrijven van gegevens naar een buffer aangrenzend geheugen kan overschrijven. De mogelijkheid tot misbruik van deze buffer overflow werd ontdekt door de Poolse hackersgroep Last Stage of Delirium.

Later werd een patch uitgebracht om de desbetreffende fouten aan te pakken. 
Dankzij deze fouten kon de worm zich verspreiden zonder dat gebruikers bijlagen openen, door zichzelf simpelweg vaak naar willekeurige IP-adressen te versturen. Er werden vier verschillende versies van de worm ontdekt.

De worm was geprogrammeerd om een SYN flood te starten op 15 augustus 2003 tegen poort 80 van windowsupdate.com, als een DDoS-aanval tegen de site. Microsoft leed bijna geen schade doordat windowsupdate.com werd aangevallen in plaats van windowsupdate.microsoft.com. Microsoft sloot ter bescherming tijdelijk de site.

Symptomen
Het misbruik van de fouten in de Windowssystemen veroorzaakt een aantal functiestoornissen in de geïnfecteerde systemen. De volgende symptomen komen voor:
 Hyperlinks openen in een nieuw venster gaat niet meer.
 Pictogrammen verslepen is niet meer mogelijk.
 Plakken of kopiëren van bestanden gaat (bijna) niet meer.
 Het zoeken naar een Windows-bestand werkt onregelmatig.
 Poort 135/TCP is gesloten.
 Windows XP start voortdurend opnieuw op door het NT Authority/System die volgende boodschappen weergeeft:
Windows must now restart because the Remote Procedure Call (RPC) service terminated unexpectedly.
This system is shutting down in 60 seconds. Please save all work in progress and log off. Any unsaved changes will be lost. This shutdown was initiated by NT AUTHORITY SYSTEM.

Broncode
De worm bevat twee berichten in zijn broncode:
 I just want to say LOVE YOU SAN!!, waardoor de worm soms Lovesanworm wordt genoemd. 
 billy gates why do you make this possible? Stop making money and fix your software!!, een bericht aan Bill Gates, de medeoprichter van Microsoft, het doelwit van de worm.

De worm maakt ook de volgende registry entry zodat het iedere keer samen met Windows opstart:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\windows auto update=msblast.exe

Externe links
  Geschiedenis Blaster 
  Blaster worm guy arrested
  Arrestatie Jeffrey Lee (Parson news.xinhuanet.com) (gearchiveerd)
  Blaster-Virus op antivirus.about.com
  Symptomen Blaster
  Blaster-Virus op www.virusalert.nl

Bronnen
 Susan W. Brenner: Cybercrime: criminal threats from cyberspace, 2010, p. 65-71.
 

Computerworm
Blaster ( ook Lovsan , Lovesan , Poza of MSBlast ) is een computerworm die zich in augustusverspreidde via Microsoft Windows NT0 , XP en Server De worm werd opgemerkt opaugustus dat jaar , toen hij zich steeds sneller verspreidde met een hoogtepunt opaugustus . Filtering door providers en wijdverspreide kennis over de worm , verhinderden de verdere verspreiding . Dejarige Jeffrey Lee Parson uit Hopkins ( Minnesota ) schreef de B-variant en infecteerde000 computers . Opaugustuswerd hij gearresteerd , bekende en kreeg in januari18 maanden gevangenisstraf . Ontstaan en gevolgen Volgens gegevens van justitie werd de originele Blasterworm gemaakt nadat Xfocus reverse , een Chinese hackersorganisatie , een patch ontwikkelde die sommige Windowssystemen kwetsbaar maakte . De worm verspreidde zich met een buffer overflow , een slordige programmeergewoonte waardoor een programma tijdens het schrijven van gegevens naar een buffer aangrenzend geheugen kan overschrijven . De mogelijkheid tot misbruik van deze buffer overflow werd ontdekt door de Poolse hackersgroep Last Stage of Delirium . Later werd een patch uitgebracht om de desbetreffende fouten aan te pakken . Dankzij deze fouten kon de worm zich verspreiden zonder dat gebruikers bijlagen openen , door zichzelf simpelweg vaak naar willekeurige IP-adressen te versturen . Er werden vier verschillende versies van de worm ontdekt . De worm was geprogrammeerd om een SYN flood te starten opaugustustegen poortvan windowsupdate.com , als een DDoS-aanval tegen de site . Microsoft leed bijna geen schade doordat windowsupdate.com werd aangevallen in plaats van windowsupdate.microsoft.com . Microsoft sloot ter bescherming tijdelijk de site . Symptomen Het misbruik van de fouten in de Windowssystemen veroorzaakt een aantal functiestoornissen in de geïnfecteerde systemen . De volgende symptomen komen voor : Hyperlinks openen in een nieuw venster gaat niet meer . Pictogrammen verslepen is niet meer mogelijk . Plakken of kopiëren van bestanden gaat ( bijna ) niet meer . Het zoeken naar een Windows-bestand werkt onregelmatig . PoortTCP is gesloten . Windows XP start voortdurend opnieuw op door het NT Authority/System die volgende boodschappen weergeeft : Windows must now restart because the Remote Procedure Call ( RPC ) service terminated unexpectedly . This system is shutting down inseconds . Please save all work in progress and log off . Any unsaved changes will be lost . This shutdown was initiated by NT AUTHORITY SYSTEM . Broncode De worm bevat twee berichten in zijn broncode : I just want to say LOVE YOU SAN !! , waardoor de worm soms Lovesanworm wordt genoemd . billy gates why do you make this possible ? Stop making money and fix your software ! ! , een bericht aan Bill Gates , de medeoprichter van Microsoft , het doelwit van de worm . De worm maakt ook de volgende registry entry zodat het iedere keer samen met Windows opstart : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft \Windows\CurrentVersion \Run\windows auto update=msblast.exe Externe links Geschiedenis Blaster Blaster worm guy arrested Arrestatie Jeffrey Lee ( Parson news.xinhuanet.com ) ( gearchiveerd ) Blaster-Virus op antivirus.about.com Symptomen Blaster Blaster-Virus op www.virusalert.nl Bronnen Susan W. Brenner : Cybercrime : criminal threats from cyberspace , p. 65-71 . Computerworm