Newsgroup: it.comp.os.dibattiti
Titolo: Siete pronti per Code Red?

Siete pronti all'apocalisse?
Usate IIS?
Avete messo la patch?
No?
Cazzi vostri.
Ed anche di chi si ritroverà bersaglio del tiro incrociato
degli almeno 5000/8000 server italiani infettati (fatto del quale
i proprietari sono all'oscuro).
Siete nel mirino?
Staremo a vedere.
Saluti.

 Cazzi vostri.
Signore e signori, ecco a voi GdG che mette avanti
le mani! ;o)
Comunque sono d'accordo. La patch e' pronta da un pezzo.
Se non la installano, cazzi loro.

 Cazzi vostri.
Ih ih ih... giusto ieri leggevo l'advisory su Bugtraq...
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 le mani! ;o)
Io non metto mai avanti le mani. Che quando cadi te le sbucci.
Io metto sempre l'airbag, davanti. Anzi, metto un sistema anti-ribaltamento
:-)


 Siete nel mirino?
Si. Ma e' veramente divertente vedere come cercano di bucarti un apache 
code red... :-))))))))))))))))
bye
Gianluca

Ih ih ih... giusto ieri leggevo l'advisory su Bugtraq...
Beh, e' un po' in ritardo, saranno 20 gg che ho avuto occasione di
vedere il primo attacco...
Obelix

Siete nel mirino?
Abbiamo gia' dato..
Obelix

 vedere il primo attacco...
Non e' che lo legga giornalmente, sono talmente tante le mail che
arrivano che le lascio accumulare e poi di tanto in tanto le smaltisco.


Cazzi vostri.
Come faccio  a saperlo  ? Quando accendo  il monitor  del UEB-Server
(Che poi dicono  essere pure un MAIL-Server, un  POP-Server, e altri
server che non ho capito), c'e' uno schermo tutto nero con scritto
===
Welcome to SuSE Linux 7.1 (i386) - Kernel 2.2.19 (tty1).
tamino login:
===
Cosa  vuol  dire   ?  Perche'  non  ci  sono  le   icone  ?  Perche'
l'amministratore porta via il monitor e la tastiera ? Poi come fa' a
fare il rebut ?  Ha anche smontato il CDROM e il  floppy, come fa' a
ripristinare il sistema ?
Tutti si fidano di lui, magari dopo che avro' conferito la laurea in
UEB engiiniring a Cepu saro' anche io un hACkeR come lui ?
-- 
 __
| _         "The Internet is slow, could you please reboot it ?"
|__|iambo   mailto:
gabr...@giambonini.com
 
www.giambonini.com

 UEB engiiniring a Cepu saro' anche io un hACkeR come lui ?
Ma razza di UEB ingegnering sei.
Se non vedi la scritta (c) 2000 Microsoft Corporation non stai usando
IIS. Non hai problemi immediati :-)
Saluti.

 IIS. Non hai problemi immediati :-)
Ne futuri.
-- 
Vincenzo 
A volte a Lourdes i film muti si mettono a parlare.

 Ne futuri.
Semmai solo problemi passati con l'ortografia :P.
Saluti.
--
Wilmer Ricciotti
wi...@bigfoot.com

 UEB engiiniring a Cepu saro' anche io un hACkeR come lui ?
Non riuscirai mai ad essere un HaCkEr[1], perKe' non metti abbastanza K
nelle parole :-)
CiauZ
--
Medaglia, medaglia, medaglia....
Mutley
[1] O forse quelli erano i lamer, mha... :-)

 Ne futuri.
E se tutti gli zombies se la prendono con il tuo Apache e te lo sommergono
di richieste assurde?
Saluti.

Gabriele DELGIOVINE ha scritto:

Diventa lento, al limite dell'impossibile da usare, rifiuta connessioni,
ma rimane
su. (il che non vuol dire che sia anche utilizzabile ovviamente)
Pero' un conto sono i DDoS e un conto sono i worm.
bye
Gianluca

 wrote in
news:3B692CCE...@louise.it
: 

Forse l'osservazione di GdG non č cosě campata per aria :)
Il problema vero (ovviamente IMHO) č che anche chi prende tutte le 
misure di sicurezza possibili (e nel caso di CodeRed voleva dire 
installare una patch rilasciata almeno un mese prima!) rischia di essere 
danneggiato dalla dabbenaggine e dall'impreparazione di altri.
Una versione di CodeRed piů "cattiva" avrebbe potuto cercare di 
catturare informazioni sulla rete locale del PC "infetto" (rischiando di  
intercettare delle password o andare a "curiosare" tra gli share di 
rete, ad esempio) danneggiando anche chi si trovava (volente o nolente) 
a lavorare a contatto con il server gestito da incapaci, magari solo 
perchč č in housing dallo stesso provider... (per la serie, dai nemici 
mi guardo io... dai deficienti mi guardi iddio...).
E per un utente che prova ad accedere al tuo sito, poco cambia tra 
trovarsi scritto "Hacked by the chinese" o ricevere un errore 10060.
-- 
Valter Minute
min...@inwind.it
 (the reply address of this message is invalid)

 di richieste assurde?
Direi che siamo al livello di 'si apre un buco nel pavimento ed il server
smette di funzionare'.


 trovarsi scritto "Hacked by the chinese" o ricevere un errore 10060.
Al massimo un "connection refused" prego ;-)
Una versione di CodeRed piu' cattica puo' anche farmi sniffing, ma se ho
configurato bene il _MIO_ server, risulta inutile (al massimo puo' 
provocarmi dei disservizi temporanei). Hint: se le connessioni le
fai in ssh, i servizi non sono lanciati come root ma come utente
comune, gia' riduci quasi a zero questi problemi.
Non risolvi nulla contro un eventuale DDos, ma almeno sei piu' sicuro.
bye
Gianluca

 Pero' un conto sono i DDoS e un conto sono i worm.
Perchè, a cosa credi serva REALMENTE Code Red?
A bucare gli IIS dei SysAdmin fessacchiotti?
Saluti.

Gabriele DELGIOVINE ha scritto:

Boh. L'unica cosa che so e' che buca solo IIS e winNT/2000 e di
sicuro e' colpa di IIS e dei sysadmin fessacchiotti se CodeRed e' cosi' 
diffuso... non di sicuro di altri.
Anche perche' volendo essere cattivo e fare molti danni, sarebbe piu'
logico bucare apache
per avere le macchine zombi (e sarebbero molte di piu'). Ah gia', apache
e' due anni che non viene
bucato come IIS :-))))))
bye
Gianluca

 
Il punto che volevo mettere in luce io era questo.
Puoi proteggerti al massimo contro eventuali attacchi e intrusioni, ma 
il funzionamento del sito (dal punto di vista dell'utente) non dipende 
solo da te e rischia (e il numero di vittime di codered è un indicatore 
allarmante) di essere in mano a degli incompetenti.
Purtroppo la solidità della catena tra il tuo server e gli utenti e 
relativi browser è pari a quella dell'anello più debole e quindi passare 
sopra a problemi come quello di CodeRed dicendo "chemmifrega uso 
apache" è sicuramente miope (anche se poi nessuno di noi ha il potere di 
far diventare bravi sistemisti tutti i gestori di siti web...).


 far diventare bravi sistemisti tutti i gestori di siti web...).
Giusto. Ma dato che non posso andare in giro a piallare macchine con
Windows (per
metterci Linux) e teste di sysadmin improvvisati (per fargli entrare un
po' di sale
in zucca), l'unica cosa che IO posso fare e' proteggere il MIO sistema.
E fregarmene
di COdeRed.
bye
Gianluca

 po' troppo ottimistico il "Ne futuri" di Vincenzo Valvano :)
Pero`, se guardi il subject, il discorso faceva riferimento ad un worm.
L'unico modo per essere danneggiati da code red usando Apache e` di
avere un indirizzo 'preso di mira' dai programmatori del code red stesso.
Questo esclude la quasi totalita` dei siti web mondiali. Quindi 
l'eventualita` di essere danneggiati da code red (avendo un web 
server Apache) e` nulla. E comunque, se si vuole prendere di mira un 
sito web con un DDoS, ci sono metodi molto piu` semplici per farlo.
Comunque a me code red e` servito a qualcosa. Mi e` arrivato un messaggio
di uno che si lamentava di un probabile attacco (attribuendolo a
code red) proveniente da un mio indirizzo ip. La cosa buffa e` che
l'indirizzo ip non e` mio, ma al Ripe (per colpa di quei simpaticoni 
di interbusiness) risulta a mio nome.


di COdeRed.
Finche` qualcuno decidera` che la vittima del prossimio DDoS sarai tu.
-- 
ciao, | "You're one of those condescending Unix computer users!"
Marco | "Here's a nickel, kid. Get yourself a better computer"  -- Dilbert
      | (Ri)scoprire fidonet: 
http://bbs.bofh.it

 
Su questo non ho dubbi, e infatti non contestavo il "Non hai problemi 
immediati", ma il "Ne futuri".
Il fatto è che CodeRed ha dimostrato (o tentato di dimostrare, visto che 
non ha funzionato come il suo autore avrebbe desiderato...) che è 
possibile bucare un grandissimo numero di server sfruttando un bug già 
documentato e "patchato" da parecchio tempo. 
CodeRed non ha sfruttato a dovere (in senso negativo) il potere che si 
era "conquistato", ma il rischio è reale e, IMHO, dovremmo 
preoccuparcene tutti, soprattutto quelli che hanno la capacità di 
gestire un sito nel modo giusto, poichè un eventuale replica di CodeRed 
potrebbe non essere così buona e danneggiare anche altri, oltre agli 
admin incapaci. 
L'aspetto positivo è che è stata montata una grossa campagna di 
terrorismo informativo che ha, speriamo, contribuito a "svegliare" un 
po' qualche webmaster "pigro", anche se il "lieto fine" rischia di far 
ritornare tutto come prima (ripeto, soprattutto per chi non è un 
professionista serio e non credo sia il tuo caso, ne quello di 
Gianluca).
Forse un servizio che provveda a controllare i web server e a testare 
che siano almeno state applicate le patch più recenti (un "code red 
buono"), segnalandolo immediatamente al webmaster e magari pure a chi 
gli fornisce il collegamento (e addirittura sbugiardandolo su un sito-
gogna :)) potrebbe essere utile e non troppo complesso da mettere in 
piedi.
Per fare un altro esempio di virus-worm-trojan collegato 
fondamentalmente alla "dabbenaggine" degli utenti che però rischia di 
colpire anche chi segue tutte le misure di sicurezza, pensa a SirCam 
(
http://www.f-secure.fi/v-descs/sircam.shtml
) che prende un documento a 
caso dal PC "infetto" e lo spedisce come attachment "camuffato" 
(".DOC.EXE",".ZIP.EXE" o simili) agli indirizzi dell'address book. 
Ovviamente nessuno di noi (quelli coinvolti in questa discussione) si 
sogna di aprire un documento in attachment con estensione .EXE (perchè 
anche quelli di noi che usano windows non aprono i documenti in 
attachment non richiesti e, anche quelli che si fidano di outlook, 
controllano comunque l'estensione). 
Il problema potrebbe però essere che il commerciale a cui hai passato un 
documento di analisi riservato non è così "smaliziato" e la sua 
"sbadataggine" (per non dire peggio) provoca un danno pure a te che hai 
sempre evitato attentamente di cadere in questi "tranelli". 
Il giorno che SirCam deciderà di cancellare tutti i file che l'utente 
"infetto" può cancellare all'interno della sua rete locale potresti 
rischiare di perdere dei dati (ovviamente tutti noi abbiamo i backup, 
parlo solo di perdite di tempo e di lavoro inutile) per colpa di qualche 
altro utente della tua rete aziendale.


 logico bucare apache
Secondo me è piu logico usare le macchine che si possono bucare in quantità
maggiore nel
piu breve tempo.
Saluti.

 documentato e "patchato" da parecchio tempo.
Ci sono due aspetti da prendere in considerazione. Il primo riguarda
la 'giurisdizione' del sistemista, che deve avere server non bucati.
Il secondo riguarda la struttura della rete a cui i server si 
collegano. Se vieni preso di mira da un DDoS, l'unica soluzione
e` quella di contattare il tuo provider e sperare che sia disposto
, in tempi brevi, a mettere dei filtri sui suoi router. E` chiaro
che il problema non puoi risolverlo con scelte piu` o meno giuste
nella *tua* rete. Era al primo aspetto che mi riferivo.


IIS. Non hai problemi immediati :-)
Dove trovo la scritta ? Dov'e' "start" ?
Oddio, non sara' mica un compiuter con *Linus* =:-O !


[1] O forse quelli erano i lamer, mha... :-)
Boh, ai tempi  dell'Amiga, i lamerZ erano quelli  che "fregavano" il
lavoro altrui e se ne attribuivano il merito ...


piedi.
Ci hanno provato  con gli open-relay, e si sono  attirati un mucchio
di critiche :-(
