Newsgroup: it.comp.os.linux.sys
Titolo: lamer contro il mio apache

Salve a tutti.
Lo so che non è il NG piu' adatto ma comunque non e' del tutto OT:
Guardate che bel log che ho su apache (versione 1.3.19)
141.250.83.106 - - [19/Jul/2001:23:11:16 +0200] "GET 
/default.ida?NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNN%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u90
90%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u5
3ff%u0078%u0000%u00=a  HTTP/1.0" 400 328
61.38.26.3 - - [19/Jul/2001:23:12:47 +0200] "GET 
/default.ida?NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNN%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u90
90%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u5
3ff%u0078%u0000%u00=a
HTTP/1.0" 400 328
e cosi' via per parecchi minuti.
Che ca%%o vogliono? Che stanno tentando? Un buffer overflow? Ma perche' se 
non ci sono riusciti la prima volta continuano? 
SONO VULNERABILE?????
Come li becco visto che l'attacco sembra venire da indirizzi sempre 
diversi???
VI PREGO AIUTATEMI!!!!!

...

.IDA "Code Red" Worm
http://www.securiteam.com/securitynews/5OP0B204UA.html

VI PREGO AIUTATEMI!!!!!
Sinceramente non lo so ma c'e' l'ho anchio uguale e non solo su apache.
Stanno facendo uno scanning per tutto il mondo ma perche' prorpio non riesco
ad immaginarlo.
Ciao.
-- 
Zio Ciano

Ecco la risposta, prelevata da un newsgroup Debian... DEBIAN RULEZ!!!!
This is an IIS worm.  It's running wild today...and I do mean wild.  My
server has seen about 10 requests for it today.  It's known as the Code
Red worm.  There some analysis of it at
http://www.eeye.com/html/advisories/codered.zip
If you're running IIS, be worried.  Otherwise it's nothing.
Max

 Lo so che non č il NG piu' adatto ma comunque non e' del tutto OT:

ho trovato traccia di attacchi identici nei log di apache anche sui 
server che amministro...
-- 
konrad
Those who can't write, write manuals.

Pure io li ho....
ma attacca solo IIS? se si.. che bello... forse capiscono che č meglio
linux... :)
Cosa fa in particolare?
Grazie

 - ICQ# 92905138
http://www.mascanc.net/~skolem

 Cosa fa in particolare?
C'e' una bella descrizione su attrition (
www.attrition.org
).
Davide

grazie mille!
Se volete altre informazioni potete controllare le risposte datemi sul NG 
comp.os.linux.security

 diversi???
Non li becchi.
-- 
Chiusura di Windows in corso.  Sto dando fuoco al computer... _/Davide\_
Ora si puo` spegnere il computer!  Se ci riuscite...          \Alberani/
Per contattarmi: 
http://digilander.iol.it/alberanid/

 Grazie
E' un worm che si sta diffondendo a macchia d'olio su server IIS ( sembra 
che abbia colpito anche il server  
http://www.windowsupdate.microsoft.com/
 :
mi ha fatto "tenerezza" una persona che su bugtraq face notare:
OK, c'è il problema ma come faccio a fare l'update se il server per 
l'update è colpito anche lui ? ).
L'obiettivo sembra un attacco DoS verso la casa bianca da attuarsi oggi ( 
20/7/2k1 ... ).
Da quello che si dice su bugtraq sembra senza successo ...
Oltre al diffondersi cambia la home page facendo un redirect su 
www.worm.qualcosa-che-non-ricordo...