Newsgroup: it.comp.sicurezza.varie
Titolo: Nuovo worm?

Vedi anche post di Skull "Udp source port 18007 scan".
Magari e' qualcosa di gia' noto (anzi, mi chiedo come,
con tutto questo traffico, non potrebbe essere cosi').
C'e' un aumento nelle scansioni sulla porta 137/udp ad
opera, in apparenza, di un possibile worm. Il traffico
si presenta come una node status request broadcast, ma
diretta ad indirizzi ip unicast. Alcune particolarita'
per i piu' curiosi :-P
Header IP
---------
Presenta un icremento dell'IP ID tipico di certi stack 
M$ (lineare+256); certi ttl coerenti con quelli attesi
ma a volte no. Ci son forti indizi che in parte gli ip
sorgente siano spoofati ed altri forti indizi a favore
di una sorgente non spoofata, come se fossero presenti
entrambi i comportamenti.
Header udp
----------
La porta src e > 1024, fissa all'interno di uno stesso
sweep ma variabile secondo l'host. E' probabile che la
scelta della porta sia stata lasciata al SO: se e' una
svista OK, altrimenti vuol dire che i target di questo
traffico sono win2k/XP/NT (ndr: win9x/me risponde solo
a query nbt da porta sorgente 137/udp).
Non ci sono ritrasmissioni quando i datagrammi vengono
droppati, che lascerebbe pensare quasi a roba forgiata
via raw socket (ma perche' sbattersi per cambiare 'sti
IP ID "a la windows" allora? Anche se, effettivamente,
gli incrementi +256 non son tipici di _quest_ win...).
Tutto forgiato, direi.
Header NBT
----------
Forgiato: la query NBT si spaccia per broadcast mentre 
l'ip di destinazione e' unicast, e il "transaction ID"
NBT e' sempre fisso su 0x0100, mentre dovrebbe esserci
una variazione anche all'interno dello stesso sweep. I
transaction ID direi che potrebbero essere i marchi di
fabbrica di questo traffico. 
Per completezza: le query nbt come queste (ma unicast)
servirebbero per eseguire la risoluzione inversa di un
ip nel nome (o, meglio, nei nomi) netbios.
Altro
-----
Poco. Alcuni ip src sembrerebbero non esser spoofati e
sono macchine win NT/2k/XP. A risposta positiva non si
ottengono altre interazioni dalla sorgente ma ho fatto
poche prove. E' traffico di cui non mi ero accorto fin
ora (la 137/udp e' un fastidioso rumore di fondo, e la
filtro dai log nella fase di visualizzaione), ma se ne
trovano tracce fino dai primi giorni di gennaio. 
Una conferma viene da 
isc.incidents.org
:
 
http://isc.incidents.org/port_details.html?port=137
 &repax=1&tarax=2&srcax=2&percent=N&days=70&Redraw=
dove e' evidente il netto incremento di report di scan
diretti verso la porta 137/udp, non accompagnato da un
analogo aumento di scan aventi la 137 come sorgente. I
sintomi sembrerebebro quelli di un nuovo scan su larga
scala avente porta sorgente !=137 che si sovrappone al
rumore di fondo. 
Rispondendo alla query in modo opportuno si ottiene in
molti casi un immediato tentativo di connessione sulla
139/tcp e poi... poi basta, gli altri esperimenti alla
prossima settimana.
Su incidents solo un post di dicembre senza reply.
Altre info? Qualcuno sa che cos'e'? Post nelle mailing
list che mi sono perso?
Grazie a skull per il materiale e le info.
Fabio

 Se ho altri dettagli ti faccio sapere
Uhmmmmmm... pensavo di avere cancellato questo post. Vabbe', poco
male.
Questa query nbt al 99% e' d'un opaserv. Quando ne ho parlato con
skull al momento mi era sfuggito. Era evidente dal transaction id
netbios di 0x0100. Mi sembra un po' strano che arrivi da host che
sembrano macchine di classe NT ma, a parte questo, penso sia lui.
Piu' tardi magari rimetto su la honeypot per vedere cosa ci casca
dentro: pensavo che non potesse propagarsi su macchine diverse da
winme ma probabilmente mi sbagliavo. Oppure e' una nuova variante
o un nuovo uorm che usa lo stesso codice per fare la query nbt ma
poi usa altre tecniche entrare nel sistema.
Fabio (allora, dove ho messo il manuale di hamster...)

 post e ti ho risposto. :)
twister2.libero.it
!... ahah...
cyclone2.libero.it
!... mhh...
inn1.libero.it
!... sssi'...
x-privat.org
!... eeeeh?!... leggo bene? 
area.cu.mi.it
!...
bofh.it
!... ah, ecco :-)
Fabio tra l'infosecurity e una pizza

 E ci sono anche domani :-p
... ma non ieri sera, disgraziato: pensavo che sapessi della pizza :-) 
Comunque, giusto per riportare IT il discorso, stamattina ero li anche
io per seguire gli speech in sala puricelli ma poi son dovuto scappare
in ufficio. Interessanti le parti di andrea monti e del chairman, meno
l'altra. Ho messo il naso nelle altre sale ma mi sembravano assai poco
interessanti, la solita aria fritta: dal punto di vista dei convegni e
workshop mi pare che siano stati fatti dei passi indietro, mediamente.
I prodotti piu' interessanti dell'aera espositiva: uhmm... interesanti
l'aeroplanino di astaro ed il freesbee di websense (?), imperdibile la
tazza gialla di sun (chissa' se delymyth e' riuscita prenderla?).
Fabio (ma c'erano cosi' tanti produttori di antivirus gli altri anni?)

 managed security e pen test vicino all'ingresso ;)
Il pen test inteso ai danni delle standiste?!?
-- 
the Skull says:
+----------------------------------------------------------------------+
Actually without signature.
Any idea?!?

 tazza gialla di sun (chissa' se delymyth e' riuscita prenderla?).
Mi sono perso cosi' tanto?
HappyCactus meno male 
-- 
*    HappyCactus - Linux User #209744 - BOFH Certified Engineer    *
*           27/11/2003 Rilaciata la prima relase di qixl!          *
*    
http://sourceforge.net/projects/qixl
 : una gui per iSiloXC    *
*  
www.google.com
 / 
groups.google.com
 : cercare prima di chiedere  *