Port 135 wird hauptsächlich vom RPC-Protokoll verwendet, das die Kommunikation zwischen Windows-Diensten und -Anwendungen ermöglicht, die auf verschiedenen Computern ausgeführt werden. Er ist auch anfällig für DoS-Angriffe und wurde in der Vergangenheit bereits Ziel eines groß angelegten Angriffs durch einen effektiven Computerwurm. In diesem Artikel erfahren Sie einige allgemeine Informationen über diesen Port sowie grundlegende Tipps, wie Sie verhindern können, dass er zu einer Sicherheitsbedrohung wird.
Wie RPC funktioniert und warum es Port 135 verwendet
RPC (Remote Procedure Calls) ermöglichen es Programmierern, Windows-Anwendungen und -Dienste auf entfernten Computern zu verbinden, ohne Netzwerkintegrationen selbst implementieren zu müssen. Alle Aufrufe an die entfernte Anwendung werden stattdessen an eine lokale „Stub“-Prozedur weitergeleitet, die dann die RPC-Bibliotheken verwendet, um den Aufruf über das Netzwerk zu senden. Alles außer dem initialen Aufruf passiert im Hintergrund.
Endpoint Mapper, eine Komponente von RPC, verwendet Port 135, um Verbindungen zu initiieren und die Portnutzung zu koordinieren. Sowohl aus Sicherheits- als auch aus Effizienzgründen neigen Anwendungen dazu, separate TCP-Ports zu verwenden. Ein RPC-Server oder -Client hat üblicherweise Port 135 geöffnet. Der entfernte Rechner nutzt den geöffneten Port, um eine Verbindungsanfrage an den Endpoint Mapper zu senden und erhält die Portnummern, die für die Verbindung verwendet werden. Die für RPC genutzten Ports, außer 135 oder einen anderen vereinbarten Port, werden immer dynamisch ausgewählt und nicht vom Benutzer festgelegt.
RPC-Bibliotheken sind in Windows enthalten und somit ein häufig genutztes Kommunikationsmittel. Tatsächlich wird es auch im Active Directory verwendet, das ein groß angelegtes Verwaltungstool für Windows-Computer ist. Das macht es umso notwendiger, mögliche Bedrohungen für Port 135 oder andere feste RPC-Ports zu kennen.
Port 135 Exploits
Da RPC und insbesondere Port 135 potenzielle Zugangspunkte zu den Systemdiensten eines Computers darstellen, sind sie Ziel zahlreicher Angriffe gewesen. Einer der bekanntesten Angriffe auf RPC ist der Blaster-Wurm. Er nutzte eine Schwachstelle im Endpoint Mapper aus und infizierte über 400.000 Rechner, bevor die Lücke geschlossen wurde.
Heutzutage wird der Port hauptsächlich für DoS-Angriffe verwendet, wobei eine Schwachstelle von Port 135 erst im Jahr 2025 entdeckt wurde. Auch wenn dies bei Weitem nicht so bedrohlich wie ein Wurm ist, kann es dennoch ein Netzwerk von Windows-Computern stören und einem Unternehmen finanziellen Schaden zufügen.
Bewährte Verfahren
Sowohl Microsoft als auch Drittanbieter im Bereich Cybersicherheit empfehlen, keine unnötigen Ports, insbesondere den RPC-Port 135, für das Internet offen zu lassen. RPC ist nur für die Verwendung in vertrauenswürdigen Netzwerken vorgesehen.
Es ist außerdem entscheidend, aktualisierte Windows-Versionen zu verwenden, selbst auf Rechnern, die nur einem lokalen Netzwerk ausgesetzt sind. Zum Beispiel hat sich der Blaster-Virus viel schneller verbreitet, sobald er einen externen Server überwunden und in ein vertrauenswürdiges Netzwerk gelangt war. Dies könnte auch bei zukünftigen Exploits der Fall sein.
Wenn eine RPC-Kommunikation über das Internet erforderlich ist, sollte Port 135 nicht geöffnet, sondern eine Alternative genutzt werden. Eine VPN-Verbindung zu einem vertrauenswürdigen Netzwerk oder eine RPC-over-HTTP-Verbindung bietet eine höhere Sicherheit, ohne die Nutzung von RPC zu verwehren.