Mogelijk nieuwe Phatbot / Agobot variant *

[Attilla]

Ik kom net terug van mijn werk. Het hele netwerk ligt daar op dit moment plat door denken we nog een "onbekend" virus. Issue (bedrijf waar we oa. service contracten mee hebben), die zeggene dat de lijnen van nai voor support geheel overbelast zijn.

Nai, noemt het voorlopig ook Beagle.p, symantec geeft nog geef nieuws erover. Maar het schijnt een variant te zijn op Beagle.g. Het virus versprijd zich op schijnbaar een hele hoop manieren, schijnbaar via mail en diverse bugs binnen w2k en xp.

Al met al, is er dus niet veel duidelijk over. Ik heb ook geen idee wat het precies doet buiten het verspreiden, maar 1 van de symtomen is iniedergeval disconnects en netwerk lag.

[edit]
Even een extra uitleg:

Zoals al gezegd ging dus op mijn werk het gehele netwerk (clients + servers) rond half 12 vanochtend plat. Clients werden zeer traag met netwerk applicatie (SAP oa.). Daarna waren ook de servers niet tot nouwelijks bereikbaar. Er was een hoop netwerk verkeer, vooral op poort 137 (RPC). Voordat de gehele problemen begonnen waren er wel een hoop clients die vastsloegen/onverklaarbare problemen hadden.

Collega's van mij hebben wat kennisen opgebeld en er schijnen dus meer bedrijven hetzelfde probleem hebben. Er was zelfs 1 bedrijf wat om dezelfde tijd plat is gegaan.

Wij hebben externe medewerkers die via vpn verbinding maken, dus dat is een mogelijkheid hoe het op het netwerk is gekomen.

[ Voor 38% gewijzigd door Attilla op 24-03-2004 19:12 ]

[Verwijderd]

[rml][ VirusAlert] Bagle varianten lijken o.a. van ISP af te komen[/rml]
Even zoeken in het vervolg.

[Verwijderd]

Na wat overleg via IM/onderzoek gooi ik deze toch weer open.
De kans is reëel dat het hier om een nieuwe Agobot variant gaat, ook wel Phatbot dan wel Nortonbot genoemd.

Wat info:

Ready for this? YOUR little treat is a *NEW* "NORTONBOT!" Only THIS time, it gets a WHOLE lot worse. It's POLYMORPHIC, not only in the files replicating but in *MEMORY* as well! But between the earlier one and this one, it allowed me to code the second "definition" so as to catch about 50 variants we've been able to create from the samples and we have a SOLID definition for variants despite the polymorphism.

Today is going to be a TRULY nasty day for those who provide "file scanning" solutions. I can see the number of letters following each of the new definitions outdoing SDBOT ... errr ... agobot ... errr ... gaobot ... errr ...

The one you sent brought just about every box I tried it on to its KNEES ... even the trusty ctrl-alt-del took about 5 minutes to show up since this thing was creating more threads than the machine could handle. Whoever wrote this has been ONE busy beaver in the past few hours and this cuss is *nasty* ...

Ik hoop dat [Airwolf] z'n post wat aanpast zodat het geheel wat duidelijker wordt en er ook meer op valt te zeggen.

[Miki]

Om welke variant gaat het hier als ik vragen mag? Daarnaast heeft iedere vendor weer een creatieve naam bedacht

Polybot
Goabot
Agobot

Daarnaast in enkelvoudige en dubbelvoudige codes B of BB en zelfs met bck afkortingen ervoor wordt het niet echt duidelijk.

[ Voor 13% gewijzigd door Miki op 24-03-2004 18:59 ]

[Attilla]

Ja, maar het vreemde is dat de Goabot vannacht nog was geupdate door NAV. En die hebben we zowel vannacht geupdate en vanochtend nog een keer met de hand. En toch ging om Half 12 de boel plat. Maar als ik het zo mag horen zijn wij niet het enige bedrijf wat er last van heeft, er waren er meer die om die tijd.

[Verwijderd]

Miki schreef op 24 maart 2004 @ 18:57:
Om welke variant gaat het hier als ik vragen mag? Daarnaast heeft iedere vendor weer een creatieve naam bedacht

Een nieuwe..
Het is gewoon een afgeleide van een Agobot.

Edit:
KAV detecteert de door mij eerder genoemde variant als Backdoor.Agobot.iu

[ Voor 14% gewijzigd door Verwijderd op 24-03-2004 19:04 ]

[BoGhi]

Zo nieuw is deze toch niet? Hier is ook al eerder over gepost, zie topic over poort 1025..

[Verwijderd]

Dit gaat waarschijnlijk over een nieuwe variant, die pas sinds vanmorgen(USA time)ITW is.

[BoGhi]

.. ik word niet goed van die verschillende naamgevingen

[Verwijderd]

BoGhi schreef op 25 maart 2004 @ 18:54:
.. ik word niet goed van die verschillende naamgevingen

Dat lijkt tenminste nog wat op elkaar..
Van FSAV weblog:

Some new smaller-scale outbreaks have been seen lately, including Snapper and Mywife/Nyxem/Blackworm/Hunchi/Blueworm (awful lot of aliases for this one).

Ain't that great.

/off-topic.

[0xDEADBEEF]

offtopic:
Wie maakt deze troep; en met welke toolkit