Beveiligingsgigant Symantec heeft de alarmfase voor het internet verhoogd vanwege een nieuwe worm die Windows 2000 systemen infecteert. De malware verspreidt zich via het Windows Server Service lek, waar sinds 23 oktober een update voor is, toch zijn er nog altijd ongepatchte systemen te vinden. Via de kwetsbaarheid kan een aanvaller zonder enige interactie van de gebruiker zijn of haar systeem overnemen. Vanwege de aard van het lek was het lastig voor exploit ontwikkelaars om een generieke exploit te ontwikkelen.

Downadup
De meeste wormen die zich via deze kwetsbaarheid verspreidden, deden dit in eerste instantie alleen via Chinese Windows versies. De afgelopen 24 uur heeft de beveiliger een nieuwe worm ontdekt die alle Windows 2000 systemen kan aanvallen waar de patch niet is geïnstalleerd. "Downadup" gebruikt een routine van het Metasploit Framework, de bekende hackertoolkit. De worm weet de systemen via TCP poort 445 te infecteren. Zodra het systeem is overgenomen, creëert Downadup een HTTP server met een willekeurige poort, die het in UPnP routers openzet. De URL van de server wordt naar andere computers gestuurd, die op hun beurt de worm van de gecompromitteerde machine downloaden.

Patchen
Zowel Symantec als het Internet Storm Center zien een toegenomen activiteit op poort 445, wat deels met de verspreiding van de worm te maken heeft. Om klanten en consumenten voor de worm te waarschuwen, verhoogde Symantec haar ThreatCon, een graadmeter voor het gevaar op internet, van "normaal" naar "verhoogd". Het belangrijkste wat beheerders moeten doen is het updaten van het systeem, daarnaast is het ook verstandig om poort 139 en 445 te blokkeren en een firewall te gebruiken.