Newsgroup: it.comp.sicurezza.varie
Titolo: [mail] Il punto su Swen (e non solo)

 Vorrei fare qualche considerazione sul fenomeno Swen.A, o piu' esattamente
su cio' che sta accadendo dal 18 settembre.
A parte la falsa patch e il worm, noto queste anomalie (mi scuso se tratto
di roba trita e ritrita):
- Symantec ha identificato il worm dapprima come Automat.AHB (non e' un
dramma, pero' e' strano)
- Sul mio server e' paurosamente aumentato lo spam diretto al fake email che
uso nei ng, e non credo sia stato il worm a scansionare i ng per trovarlo
- Su un server di un Cliente ho trovato una interessante crescita dei
tentativi di spam riusciti; il server usa postfix e avevo implementato un
setup piuttosto sicuro, e tale e' stato fino a quella data. Dopodiche' sono
subentrati attacchi contro vulnerabilita' nuove, che hanno scavalcato la
protezione (i .gz dei log passano da una media di 60-80kb a settimana a
104MB della scorsa, e oggi il log di postfix era oltre il mezzo giga (adesso
e' a posto ...)
- La famosa mail Microsoft cambia le parole che identificano mittente,
destinatario e oggetto, per superare le regole posta in arrivo dei client di
posta (e questo e' sicuramente il worm che dispone di un vocabolario da
usare random)
- Lo snort che ho su un firewall ha gradualmente smesso di loggare attacchi
da IIS worm (cmd.exe e compagnia) o scanners, e ha iniziato a registrare
solo Large ICMP packets (che non mi sembra una tecnica di cracking
particolarmente sofisticata, a meno che snort sbagli e si tratti di altro)
Insomma, senza voler saltare a conclusioni affrettate, mi sembra un'azione
su piu' fronti oltre al worm.
Cosa ne pensate?
Ciao
Luca
-- 
Luca Sasdelli
Microsoft MVP - Networking, Windows NT/2000/XP
http://mvp.support.microsoft.com


Non mi sono mai accuratamente documentato su swen, ma anch'io ho
notato una strana diffusione delle email. Mi spiego meglio.
Ho un server abbastanza nuovo nel quale ospito pochi domini (per
adesso), e solo in uno arrivano mail da swen, anzi, solo ad un indirizzo,
di quel dominio, che e' usato per postare qui su usenet, e solo nella 
gerarchia it.*
Arrivano circa 400 e-mail al giorno infette da swen a quell'indirizzo,
mentre agli altri ne arrivano al massimo 2 o 3.
Le email infette provengono dai luoghi piu' disparati del pianeta.
Se swen si diffondesse con il metodo "classico" cioe' si autoreplicasse
algli indirizzi della rubrica, una valanga di gente dovrebbe avere in
rubrica quell'idirizzo, ma non e' verosimile.
Avevo ipotizzato che swen guardasse anche la "cache" delle news di 
outlook per ricavare piu' indirizzi e-mail possibili. Ma mi sembra strano
che ci siano cosi tanti koreani cinesi e compagnia bella che leggono 
newsgroup della gerarchia it.*
2 EÃ§
Banana

 outlook per ricavare piu' indirizzi e-mail possibili.
Questo e' interessante. Potrebbe essere.


 aperto :-)
non credo:
W32.Swen.A@mm is a mass-mailing worm that uses its own SMTP engine to
spread itself.
tratto da:
http://securityresponse.symantec.com/avcenter/venc/data/w32.s...@mm.html

 spread itself.
Ah, allora il discorso cache si fa piu' lontano, e si ritorna sull'attacco
distribuito su piu' modalita'.
E' quindi possibile che l'autore abbia contemporaneamente attinto a qualche
spam list; bisogna vedere se la lista e' stata inserita nel worm (ma il
reverse engineering l'avrebbe rilevato, e non mi pare se ne parli), oppure
si tratta proprio di un'azione simultanea e separata.



Received: from [212.59.31.78] (HELO 
mail.takas.lt
)
  by 
linux3.dave.it
 (CommuniGate Pro SMTP 4.0.6)
  with ESMTP id 249413 for 
happy...@vene.ws
; Fri, 26 Sep 2003
14:15:47 +0200 thread-index: AcOEKE9L5axlu1cWShihCKdZUGyTUA==
Content-Transfer-Encoding: 7bit
Importance: normal
X-MimeOLE: Produced By Microsoft MimeOLE V5.50.4910.0300
e 212.59.31.78 e' listato da osirusoft (mi risulta: ma non era stata
chiusa?)
A meno che non sia stato uno spammer, ad infettarsi.
Non ricordo dove avevo letto, il virus sembra raccogliere anche gli
indirizzi dei relays utilizzati.
-- 
HappyCactus - Linux User #209744 - 
 
www.google.com
 - 
groups.google.com

 uso nei ng, e non credo sia stato il worm a scansionare i ng per trovarlo
Su questo punto ho trovato info diverse.
Dal sito della Trend:
http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=WORM_SWEN.A&VSect=T
Propagation via Newsgroups
Again, using its own SMTP engine, the malware also connects to any
of the following Network News Transfer Protocol (NNTP) servers where
it attempts to search for its target contacts: [CUT sulla lista dei
newsserver]
This list can be found in the SWEN1.DAT file that has been dropped
by the worm in the Windows directory.
************
Mentre la Symantec dice:
http://securityresponse.symantec.com/avcenter/venc/data/w32.s...@mm.html
Creates the file, %Windir%\Swen1.dat, where it stores a list of remote news
and mail servers.
[CUT]
Transmission through newsgroups
The worm will enumerate the registry looking for newsgroup server
addresses, then attempt to contact that newsgroup server. If a newsgroup
server is not configured on the system, the worm will randomly select
one from a predefined list. The worm will download the available groups
and post messages to randomly selected groups.
************
O si parla di versioni diverse, o usa entrambi i sistemi. :-(
Bye, G.

 si tratta proprio di un'azione simultanea e separata.
Probabilmente qualche bot fa collezione di indirizzi made in usenet, 
dalla quale swen estrae le sue vittime. 
Basterebbe sacrificare un po' di macchine infettandole, e fare un dump 
del tarffico di rete generato. Usando le dovute precauzioni per non 
contribuire alla diffusione del virus.
Purtroppo non ho il tempo per fare delle prove (ma immagino che qualcuno
le abbia gia' fatte).
Solo un'ipotesi...
CYA
Banana

 A meno che non sia stato uno spammer, ad infettarsi.
:-)


 news and mail servers.
Ah, allora anche per le email dei ng e' lui. L'autore evidentemente ha fatto
le cose per benino.
Si autoinstalla, si autoaggiorna, lavora su piu' fronti ... non si potrebbe
desiderare di piu'.


 it attempts to search for its target contacts: [CUT sulla lista dei
Ok, ora e' piu' chiaro.
TNX
Banana

 e' chiuso. Risponde solo al ping.
Infatti: oltretutto osirusoft dovrebbe essere chiusa - rblcheck pero'
continua ad interrogarlo, prendendo lucciole per lanterne.


 desiderare di piu'.
Lo facciamo assumere da Microsoft? :-)
/me integrante Swen-FAQ.
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SETI@home: 201WU/1yrs now on Athlon 2.2+ :-)
SecurFaq             : 
http://securfaq.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/