[/14] Anti-Code Red worm

[Grum]

vandaag/gisteren kwam de worm weer in beeld

wat ik niet snap is dat er nog niet gebruikt is gemaakt van het gat zelf om de servers te patchen/onklaar te maken voor de worm

de simpelste manier die ik kon verzinnen was
1) rename default.ida naar default.idiot
2) crash de hele server (of reset)

we hebben zelf een hele rits met besmette ip adressen (uit de logs van gotters) en de worm is gewoon op internet te vinden

wat we dus zouden kunnen doen is de worm laten starten met 3 ip search algoritmes
1) standaard algoritme (voor alle pc's die NA die pc infect zijn)
2) reversed algoritme (voor alle pc's ervoor)
3) random algoritme (voor alle andere takken waar dit niet onze ip's hebben bereikt)

als je bij het opstarten van de 100 clones uit 1 vd 3 algoritmes weet te kiezen ... denkik wel dat wij voor de 20'ste alle pc's gepatched kunnen hebben

edit:
dus dat ELKE thread zelf 1 vd 3 algoritmes kiest

nu weet ik natuurlijk niet of der nog een andere manier mogelijk is (door het ECHT patchen van de servers of het programma aan te passen in het geheugen) om Code Red uit te zetten en in hoeverre het 'rechtmatig' zou zijn om geinfecteerde pc's te crashen/rebooten om ze te 'fixen'

maar ik denk dat als we zoiets doen dat we wel in USA et nieuws halen

(helaas kan ik vandaag niet meer reageren (moet weg ) dus maak der wat van dames en heren)

edit:

Code Red Beschrijving
http://eeye.com/html/Research/Advisories/AL20010717.html

Code Red commented disassembly, full IDA database, and binary
http://www.eeye.com/html/advisories/codered.zip

[D2k]

<semi ot>
ik heb gister de patch voor w2k gedowned maar je moest minstens 1 SP geinstalled hebben (heb ik niet draait hier prima) en de vorige keer draaide die in de soep na SP1

maar ik heb geen IIS geinstalled staan kan iig default.ida niet vinden
dus dan kan ik niet besmet zijn toch?
</semi ot>

[Grum]

neej je kan alleen geinfecteerd zijn als je IIS draait

[D2k]

Op dinsdag 31 juli 2001 10:21 schreef Grum_ het volgende:
neej je kan alleen geinfecteerd zijn als je IIS draait

mooi
dat wilde ik alleen maar ff horen

[dusty]

Helaas is het verspreiden van een virus strafbaar. Er staat niet in de wet dat "goed-aardig" virussen uitgezonderd zijn.

Men is gewaarschuwd.

[Tim]

het virus zelf gebruiken om het te bestrijden, is wel slim natuurlijk

Even loeren

[beetje-ot]
De media geeft wel een HELEmaal verkeerd beeld van deze worm zeg
[/ot]

[Infinitive]

Mooie worm trouwens , maar hij had van mij nog wel veel meer moeten doen.

Jammer dat ik voorlopig alleen assembly kan lezen en nog niet schrijven.

Ik heb trouwens nog wat ASM documentatie in m'n HTML directory gepleurt (http://www.case.to/~arie/), mocht iemand interesse hebben om wat assembly te leren. In de 5 MB tar.gz-file zitten wat pdf'jes genaamd 'Art of Assembly', heb ik ooit eens gedownload van een of andere .edu websiteje. Ik zou niet weten door wie het geschreven is, maar het is redelijk oud, in de tijd dat net de eerste pentiums eraan kwamen.

[Ericston]

Op dinsdag 31 juli 2001 11:07 schreef Timpie2000 het volgende:
[beetje-ot]
De media geeft wel een HELEmaal verkeerd beeld van deze worm zeg
[/ot]

* Ericston ziet al die duizenden Win9x gebruikers, die niet geinfecteerd kunnen worden, "het speciale software op de website van Microsoft" (zoals het journaal dat zo mooi zei) downloaden en lekker gaan patchen.

Daarnaast was die opmerken dat je een virus kan downloaden dmv het openen van een webpagina erg naief. ... Tenzij er natuurlijk scripts zijn die threads in het geheugen kunnen stoppen. Hmm, bestaat dat?

[Verwijderd]

Er zijn web pages /danwel mailtjes in html die gebruik maken van scripting en hopen dat er op de comp van het slachtoffer nooit een patch is gedraaid. Op die manier verspreid js.seeker zich. Bij outlook direct in de viewpane, op een site zonder dat je iets merkt.
Ook worden op die manier wel trojans op je schijf gezet. Als je alle scripting toestaat en de sriptlet/typelib patch is niet gedraaid dan kan dat. Vooral als je je security instellingen nooit hebt aangepast.

[Infinitive]

ach:

visual basic standard uit;
active x standaard uit;
java applets standaard uit;
regelmatig windowsupdate.microsoft.com.

dat moet verder wel goed zijn.

[EDIT:] bovenstaande wat javascript/webpage virussen betreft.

[EDIT:] wat code-red betreft: ik heb geen IIS

Op dinsdag 31 juli 2001 10:50 schreef dusty het volgende:
Helaas is het verspreiden van een virus strafbaar. Er staat niet in de wet dat "goed-aardig" virussen uitgezonderd zijn.

Er is een bedrijf (noem geen namen) dat dat wel (legaal) doet... en laten zij nou ook precies een foutje in ISS hebben laten sluipen...

Trouwens volgens het laatste nieuws dat ik gehoord heb valt het tot nu toe nog wel mee met die worm...

[ACM]

Op woensdag 01 augustus 2001 08:38 schreef Infinitive het volgende:
ach:

visual basic standard uit;
active x standaard uit;
java applets standaard uit;
regelmatig windowsupdate.microsoft.com.

dat moet verder wel goed zijn.

En wat helpt dat je tegen deze Code Red worm?
Niets...
windowsupdate bezoeken is het enige wat (een beetje?) soelaas (had kunnen)/(kan) bieden.

[Infinitive]

En wat helpt dat je tegen deze Code Red worm?
Niets...

Ik heb dan ook geen IIS geinstalleerd staan... maar apache4windows

(die post hierboven sloeg op otaku-san's post)

[Verwijderd]

Wie MS heeft en de scriptlet/typelib patch nooit gerdraaid heeft heeft dus het filesystem.object als veilig staan. Ieder script kan daar dan bij zonder dat er waarschuwing komt, tenminste bij de gewone gebruikers die alles default laten staan.
VBS maakt daar gebruik van js.seeker etc
ALs je op een systeem kunt schrijven dan kan je daar alles geinstalleerd krijgen. Iets toevoegen aan autoexec.bat is simpel, de registry bewerken kan ook en anders is er altijd nog aanmaken van wininit.ini waarin je kan vertellen waar je virusdropper staat en dan wordt bij de volgende reboot jouw virus geinstalleerd. Fluitje van een cent en dat het bij jou niet kan niet zeggen dat het onmogelijk is. Bij heel veel mensen kan het wel.

[Infinitive]

Fluitje van een cent en dat het bij jou niet kan niet zeggen dat het onmogelijk is. Bij heel veel mensen kan het wel.

Op die manier heb ik dat niet gezegt. Ik zet alleen standaard al die shit uit (op javascript na dan - voor outlook zou ik zelfs javascript uitzetten). De meeste sites blijven goed te bezoeken, alleen jammer dan IE soms komt waarschuwen dat een pagina mogelijk niet goed te bezoeken omdat activeX controls uitgeschakeld zijn. Als je dan op die pagina kijkt zie verder niets bijzonders...

[Verwijderd]

Op woensdag 01 augustus 2001 08:55 schreef Infinitive het volgende:

[..]

Ik heb dan ook geen ISS geinstalleerd staan... maar apache4windows

(die post hierboven sloeg op otaku-san's post)

ISS <- International Space Station, wat heeft dat er nou weer mee te maken

Op woensdag 01 augustus 2001 08:41 schreef ACM het volgende:

[..]

En wat helpt dat je tegen deze Code Red worm?
Niets...
windowsupdate bezoeken is het enige wat (een beetje?) soelaas (had kunnen)/(kan) bieden.

nee hoor, die lag ook plat
Als je dit virus niet wil moet je geen IIS gebruiken

[MRic3]

Op woensdag 01 augustus 2001 08:41 schreef ACM het volgende:

[..]

En wat helpt dat je tegen deze Code Red worm?
Niets... windowsupdate bezoeken is het enige wat (een beetje?) soelaas (had kunnen)/(kan) bieden.

uuuuuuuhhhhnnnnn.. nop, dat had ook niet gewerkt... windows update sjekt niet op "hot-fixes' je moet echt de security updates hebben... hiero

[ACM]

Op woensdag 01 augustus 2001 15:49 schreef MRic3 het volgende:
uuuuuuuhhhhnnnnn.. nop, dat had ook niet gewerkt... windows update sjekt niet op "hot-fixes' je moet echt de security updates hebben... hiero

Werkt dat ook voor Apache onder linux?

Magoed, dat is ook eigenlijk wat ik bedoelde, je moet minstens echt moeite doen.

[Verwijderd]

Je moet ook Apache als webserver nemen he . Ik denk dat er dan ook meer potentiele hackers overstappen op ontwikkelen van source voor apache oid..

Het gaat nu vooral om dat &%$#^*# Microsoft aan te vallen..
Behoorlijk lame trouwens.

[Verwijderd]

Op woensdag 01 augustus 2001 18:53 schreef Tizzwat het volgende:
Je moet ook Apache als webserver nemen he . Ik denk dat er dan ook meer potentiele hackers overstappen op ontwikkelen van source voor apache oid..

Het gaat nu vooral om dat &%$#^*# Microsoft aan te vallen..
Behoorlijk lame trouwens.

Het heeft natuurlijk zo z'n nadelen dat iedereen z'n eigen apache kan compilen, met wat 'eigen toevoegingen'. UITERAARD download je alleen een reeds gecompilede direct van de officiele distributeur...

Stel je voor dat één of andere idioot een download.com site opzet met 'eigen' webservers...

Dus open source is ook niet altijd zo slim, wie gaat er nou door alle source bladeren alvorens te compilen?

[Onno]

Op woensdag 01 augustus 2001 19:36 schreef Cheatah het volgende:
UITERAARD download je alleen een reeds gecompilede direct van de officiele distributeur...

[...]

Dus open source is ook niet altijd zo slim, wie gaat er nou door alle source bladeren alvorens te compilen?

Ehm, je kunt er wel vanuit gaan dat in de source die je van apache.org aftrekt niet bewust achterdeurtjes zijn opgenomen hoor. Als men daar nl. achter zou komen loopt hun naam een flinke deuk op, en dat risico willen ze echt niet lopen.

Gewoon zelf die source compileren is dus niks onveiliger dan een precompiled binary van je distrobakker. (die de source ook gewoon maar van apache.org afhaalt trouwens)

[Grum]

netjes offtopic