Newsgroup: it.comp.sicurezza.varie
Titolo: Novita' sul vermetto della 137

Per chi fosse interessato ho il tcpdump di due tipologie di attacco.
La prima, quella nota e sommariamente descritta negli advisories, ha
come target le condivisioni \\host\c non protette. La seconda, della
quale non ho trovato cenno, prevede il password cracking della share
di rete \\host\c quando questa e' protetta. Come era supponibile, il
uorm usa il nome netbios della macchina, rilevato con la node status
request, per eseguire la connessione smb.
L'infezione della vittima avviene come descritto: copia il noto file
\\host\c\windows\scrsvr.exe, preleva \\host\c\windows\win.ini e poi,
dopo avere modificato la linea run=c:\windows\scrsvr.exe, lo rimette
al suo posto. Questo per quanto riguarda quel che succede in rete. A
qualcuno di un po' piu' skillato il debug di scrsvr.exe (sigh!). Con
un colpetto di strings, comunque, si vede gia' qualcosina.
La pagina 
www.opasoft.com
 e' ancora nella cache di google insieme ad
un'altro paio di pagine del sito, ma a prima vista non c'e' molto di
utile.
Fabio

 un colpetto di strings, comunque, si vede gia' qualcosina.
Se ne posti un paio di significative, possiamo magari creare una regola 
per snort. O se ci hai gia' provveduto...
-- 
HappyCactus - Linux User #209744 - LFS User #6046 - >>> SMSPM950 <<<
 
Ci sono 10 categorie di persone al mondo: quelle che capiscono
il sistema binario e quelle che non lo capiscono.

 A qualcuno di un po' piu' skillato il debug di scrsvr.exe (sigh!).
posso averne una copia? manda in mail, se ce l'hai, che provo a 
smontarlo
-- 
 < 
http://www.reactos.com/
 >  Open source clone of Windows NT. Current
     Don't stand, REACT!      version 0.0.20. C, C++ and ASM developers
                              and beta testers are welcome!

 smontarlo
Idem. Sabato la morosa e' dal parrucchiuere, qualche ora di tempo dovrei 
averla :)


 per snort. O se ci hai gia' provveduto...
Ho un paio di regole che uso per monitorare la honeypot. La
"Opaserv worm network share infection" e' stata scritta per
l'occasione ma mi vergogno quasi a postarla: si limita alla
ricerca della stringa scrsvr.exe nel traffico verso la 139.
Per diminuire i possibili falsi positivi ho stretto la zona
di ricerca nel payload e cerco la stringa WS\scrsvr.exe. La
ricerca potrebbe anche essere case insensitive, direi.
alert tcp any any -> any 139 (
msg:"Opaserv worm network share infection"; 
flags: A+; 
content: "|57 53 5c 73 63 72 73 76 72 2e 65 78 65|";
offset:51; 
depth: 13; 
reference:url,
http://www.symantec.com/avcenter/venc/data/w32
.
opaserv.worm.html;
classtype:misc-activity; 
sid:1000031; 
rev:2;)
L'altra e' una regola che avevo scritto per un altro scopo,
ma puo' essere utile anche in questo caso. Serve per tenere
sotto controllo la copia di win.ini sulle share di rete. La
sessione viene taggata per avere una copia di win.ini. Pure
qui cerco ws\win.ini (ma questa volta e' case insensitive).
alert tcp any any -> any 139 (
msg:"Win.ini pushed over network share"; 
flags:A+; 
content: "ws|53|win.ini"; 
nocase; 
tag:session,30,packets,src;
classtype:misc-activity;
sid:1000024; 
rev:3;)
Le mie regole per rilevare (parola grossa) i brute force non
sono applicabili in questo caso, perche' sono pensate per le
condivisioni del tipo "user" e non "share" (errori diversi).
Fabio