GOVCERT.NL

Case I

Internationale kennisuitwisseling voorkomt schade wormuitbraak

Case I - Preventie
13 april 2004 - Microsoft brengt verschillende patches uit voor Windows. Een van deze patches blijkt een lapmiddel voor een ernstige kwetsbaarheid in LSASS.EXE, een onderdeel van Windows. Deze kwetsbaarheid is ernstig, want een worm zou deze kwetsbaarheid kunnen misbruiken. Daarom stellen we onze overheidsdeelnemers niet alleen per e-mail maar ook telefonisch op de hoogte.

19 april 2004 - Minder dan een week later signaleert de technisch specialist van GOVCERT.NL die waakdienst heeft, dat er een zogenoemde exploitcode voor LSASS.EXE op internet beschikbaar is. Dat zijn kleine stukjes voorbeeldprogramma die laten zien hoe je misbruik kunt maken van een kwetsbaarheid. We waarschuwen onze deelnemers: de patch moet nu absoluut geïnstalleerd zijn, want het is slechts een kwestie van tijd voordat er een worm uitbreekt.

Case I - Kennisuitwisseling
30 april 2004 - Het is inmiddels ruim een week geleden dat de exploitcode op internet opdook, maar tot nu toe is het nog niet tot een uitbraak van een worm gekomen. We houden onze bronnen goed in de gaten, mailinglijsten en internationale collega-organisaties.

1 mei 2004 (’s ochtends) - Een van de eerste berichten die ochtend komt van een collega-CERT (Computer Emergency Response Team) in Europa. Op verschillende publieke en besloten mailinglijsten doen geruchten de ronde over de poorten waarop de worm zou werken en waar hij allemaal toe in staat is.

1 mei 2004 (’s middags) - Het is zover: de worm, die inmiddels de naam Sasser heeft gekregen, breekt grootschalig uit. We stellen direct een technisch beveiligingsadvies (advisory) op over de worm, gebaseerd op de gegevens die op dat moment bekend zijn, en versturen die naar alle deelnemers. Ook telefonisch praten we onze deelnemers bij. Organisaties die een 24-uurs dienst hebben, kunnen - indien nodig - direct actie ondernemen.

Case I - Incidentafhandeling
15 mei 2004 - Tijdig installeren van de patch voor de LSASS-kwetsbaarheid heeft bij de deelnemers aan GOVCERT.NL schade door Sasser voorkomen. Toch kon de Sasser-worm onverwacht nog voor een ICT-veiligheidsincident zorgen.

16 mei 2004 - Een medewerker van een departement was ten tijde van de Sasser-uitbraak op vakantie. Zodoende is zijn laptop niet beschermd wanneer hij deze na terugkomst thuis aansluit op het internet. De nu met Sasser besmette laptop neemt hij ook mee naar kantoor. Daar kan de worm het netwerk niet verder infecteren maar zorgt wel voor een grote hoeveelheid netwerkverkeer.

17 mei 2004 - De contactpersoon van het departement bemerkt dit en neemt contact op met GOVCERT.NL om dit ICT-veiligheidsincident te melden. Op verzoek ondersteunen we bij het lokaliseren van het besmette systeem, in dit geval de met Sasser-geinfecteerde laptop.

Medewerkers van GOVCERT.NL ondersteunen de contactpersoon bij het departement op afstand. Onderdeel van de dienstverlening van GOVCERT.NL is onderzoek naar de schade die is aangericht door dit incident en advies over hoe deze weer te herstellen.

Datum publicatie
01 / 02 / 2005

Meer informatie hierover bij:

Mail GOVCERT.NL

producten en rapporten

GOVCERT.NL

- Algemeen
- Achtergrond
- Medewerkers
- PGP-sleutel GOVCERT.NL
- Routebeschrijving
- Deelnemerschap aan GOVCERT.NL
- Jaaroverzichten
- Deelnemende organisaties
- Downloads (English)
- Vacatures
- Deelnemer worden?
- Dienstencatalogus GOVCERT.NL

Preventie

- Beveiligingsadviezen
- Bescherming tegen DDos-aanvallen

Incidentafhandeling

- Coördinatie
- Assistentie

Kennisuitwisseling

- Trendrapport 2009: cybercrime in trends en cijfers
- Kennisproducten
- Films
- Deelnemersforum
- Kennisbank
- References from the Trend Report 2009
- Taranis
- Referenties uit het Trendrapport 2009
- References from the Trend Report 2008
- Referenties uit het Trendrapport 2008
- CERT-in-a-box & Alerting-service-in-a-box

Internationale Partners

- Internationaal netwerk

Nieuws

- Factsheet over de nieuwe Windows kwetsbaarheid en Stuxnet
- Vacature: Specialist informatiebeveiliging
- Vacature: communicatieadviseur