DoS virus in omloop?

[Bjorker]

Sinds vanmiddag 4 uur geeft mijn Sygate firewall een hele berg Dos attack security warnings. Als ik ze backtrace zijn het allemaal @home users (heb ik zelf ook)
Ik tel ondertussen al zo'n 12 verschillende ip's waar dit vandaan komt.
Is iemand anders dit ook al opgevallen?

Normaal gebeurt dit eens 1 keer (per ongeluk?) in de maand ofzo, maar kom nu net thuis, en mijn hele log staat vol.

[bazs2000]

Het zou kunnen dat je aangevallen wordt door zombies "pc's van mensen die besmet zijn met een trojan waardoor deze op afroep een DDoS-attack uitvoeren".

Ik zal even een voorbeeldtopic opzoeken, moment.

Edit:
ineens veel upload

Dit topic zal jou misschien niet van een antwoord voorzien maar het geeft wel een leuk inzicht over de zombies waar ik het eerder over had. Ik vond het iig een buitengewoon interessant topic om te lezen.

[ Voor 43% gewijzigd door bazs2000 op 11-03-2003 18:39 ]

[pven]

Deze misschien?

Meer info op http://www.f-secure.com/v-descs/deloader.shtml en http://securityresponse.s...ata/w32.hllw.deloder.html

[ Voor 58% gewijzigd door pven op 11-03-2003 18:40 ]

[PolarBear]

Bjorker schreef op 11 March 2003 @ 18:33:
Sinds vanmiddag 4 uur geeft mijn Sygate firewall een hele berg Dos attack security warnings. Als ik ze backtrace zijn het allemaal @home users (heb ik zelf ook)
Ik tel ondertussen al zo'n 12 verschillende ip's waar dit vandaan komt.
Is iemand anders dit ook al opgevallen?

Normaal gebeurt dit eens 1 keer (per ongeluk?) in de maand ofzo, maar kom nu net thuis, en mijn hele log staat vol.

Post eens delen van het logbestand ...

[Verwijderd]

Het kan inderdaad heel goed een virus/trojan zijn die een IP-reeks afscannen. Als enkele @home machine's in dezelfde reeks dan besmet zijn, proberen ze dus jou machine ook te besmetten. Zie je ook een port-nummer in log?

[Bjorker]

Er staat geen port in de logs.
Logfile komt zo, even ip's een beetje editten ivm pricacy.

[Verwijderd]

Ik heb zelf chello en bescherm mijn pc met norton Personal firewall en ik heb hetzelfde "probleem om de 3 min komt er een aanval binnen van een @home gebruiker, volgens Visual Tracking een pc uit sneek, is dat bij jullie ook zo?

[Bjorker]

Stukje ge-edite logfile:

code:

03/11/2003 16:26:28 Denial of Service Major Incoming TCP  213.51.70.** 213.51.165.**
03/11/2003 16:26:48 Denial of Service Major Incoming TCP  213.51.70.** 213.51.165.**
03/11/2003 16:39:49 Denial of Service Major Incoming TCP  213.51.169.** 213.51.165.**
03/11/2003 16:40:39 Denial of Service Major Incoming TCP  213.51.169.** 213.51.165.**
03/11/2003 16:49:50 Denial of Service Major Incoming TCP  213.51.201.** 213.51.165.**
03/11/2003 16:50:10 Denial of Service Major Incoming TCP  213.51.201.** 213.51.165.**
03/11/2003 16:51:20 Denial of Service Major Incoming TCP  213.51.201.** 213.51.165.**
03/11/2003 16:57:51 Denial of Service Major Incoming TCP  213.51.141.** 213.51.165.**
03/11/2003 16:58:01 Denial of Service Major Incoming TCP  213.51.141.** 213.51.165.**
03/11/2003 17:54:25 Denial of Service Major Incoming TCP  213.51.201.** 213.51.165.**
03/11/2003 17:54:35 Denial of Service Major Incoming TCP  213.51.201.** 213.51.165.**
03/11/2003 18:25:15 Denial of Service Major Incoming TCP  213.51.241.** 213.51.165.**
03/11/2003 18:25:25 Denial of Service Major Incoming TCP  213.51.241.** 213.51.165.**
03/11/2003 18:25:45 Denial of Service Major Incoming TCP  213.51.241.** 213.51.165.**

Er zijn wat stukken tussenuit, maar ze komen zo gemiddeld per ip met 20 seconden, en dan een tijdje later op een zelfde manier weer met een ander ip.
Geen massale attack op mijn adres in elk geval, daarom vermoed ik een of ander virus..

[ Voor 3% gewijzigd door Bjorker op 11-03-2003 19:09 ]

[bazs2000]

Doe eens een traceroute naar één van de IP-adressen.
Zoek voor de grap eens uit bij welke ISP dit vandaan komt en stuur eens een abusemailtje.

[Bjorker]

Zoals ik al eerder zei, allemaal @home users... Geen verband op het eerste gezicht, enschede, roosendaal, hengelo, schoo1 ?
Het is nog steeds aan de gang nu. Ook al heeft het geen impact op mijn internetverbinding, ik zou toch wel willen weten of dit nu een nieuwe trojan oid is.

edit: voor Majic... DoS : Denial of Service
enneuh ik ben ook een oudje hoor, valt me mee dat er nog mensen weten wat DOS betekend
But what's in a name...

[ Voor 23% gewijzigd door Bjorker op 11-03-2003 22:19 ]

[Verwijderd]

Ik heb sinds begin maart ook probes op poort 445. Het aantal neemt gestaag toe, niet zo vreemd als je het artikel, over de worm Deloder, op webwereld leest http://www.webwereld.nl/nieuws/14409.phtml

code:

1,[11/Mar/2003 21:24:23] Rule '1st Rules': Blocked: In TCP, (null) [212.143.41.**:1777]->localhost:445, Owner: SYSTEM
1,[11/Mar/2003 21:24:26] Rule '1st Rules': Blocked: In TCP, (null) [212.143.41.**:1777]->localhost:445, Owner: SYSTEM
1,[11/Mar/2003 21:24:32] Rule '1st Rules': Blocked: In TCP, (null) [212.143.41.**:1777]->localhost:445, Owner: SYSTEM
1,[11/Mar/2003 21:39:37] Rule '1st Rules': Blocked: In TCP, (null) [24.59.192.**:1978]->localhost:445, Owner: SYSTEM
1,[11/Mar/2003 21:39:40] Rule '1st Rules': Blocked: In TCP, (null) [24.59.192.**:1978]->localhost:445, Owner: SYSTEM

Met een goede firewall hoef je hier echt niet wakker van te liggen

edit:
Nog een uitgebreide link van de Waarschuwingsdienst http://www.waarschuwingsdienst.nl/render.html?it=208 en http://www.waarschuwingsdienst.nl/render.html?it=202

[ Voor 20% gewijzigd door Verwijderd op 11-03-2003 22:55 . Reden: linkje ]

[nero355]

http://www.zonnet.nl/cont...-record_id-457034,00.html

Deze dus Had me PA inderdaad last van beneden Irri hoor doe ik me ADSL uit wilt ie weer connecten

Beware!!!