Newsgroup: it.comp.reti.ip-admin
Titolo: Banda satura, Nuovo Virus?

E' da qualche giorno, ma specialmente oggi, che abbiamo la ns. banda
Internet satura, piena completamente al 100%.
abbiamo installato la patch URLSCAN della microsoft su IIS5 e dai file di
log notiamo che siamo continuamente attaccati dall'esterno.
allego uno spezzo del file di log quì sotto.
Siamo praticamente piantati.
Cosa può essere? Dai controlli antivirus non risulta nulla.
[mer, set 19 2001 - 11:22:33] Client at 
210.117.85.183
: URL contains
extension '.exe', which is disallowed. Request will be rejected.  Raw
URL='/scripts/..%c1%9c../winnt/system32/cmd.exe'
[mer, set 19 2001 - 11:22:36] Client at 
61.139.234.119
: URL contains
extension '.exe', which is disallowed. Request will be rejected.  Raw
URL='/c/winnt/system32/cmd.exe'
[mer, set 19 2001 - 11:22:38] Client at 
61.139.234.119
: URL contains
extension '.exe', which is disallowed. Request will be rejected.  Raw
URL='/d/winnt/system32/cmd.exe'
[mer, set 19 2001 - 11:22:38] Client at 
203.80.236.100
: URL normalization
was not complete after one pass. Request will be rejected.  Raw
URL='/scripts/..%252f../winnt/system32/cmd.exe'
[mer, set 19 2001 - 11:22:43] Client at 
61.139.234.119
: URL normalization
was not complete after one pass. Request will be rejected.  Raw
URL='/scripts/..%255c../winnt/system32/cmd.exe'
[mer, set 19 2001 - 11:22:45] Client at 
210.117.85.183
: URL normalization
was not complete after one pass. Request will be rejected.  Raw
URL='/scripts/..%%35%63../winnt/system32/cmd.exe'
[mer, set 19 2001 - 11:22:45] Client at 
61.139.234.119
: URL normalization
was not complete after one pass. Request will be rejected.  Raw
URL='/_vti_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe'
mas...@boraso.it

 Siamo praticamente piantati.
dai un occhio a it.comp.sicurezza.virus cercando del Virus NIMDA !!
Si stà diffondendo alla grande...la vedo dura !!
Bye
Alex

 Cosa può essere? Dai controlli antivirus non risulta nulla.
Ritengo che siate parzialmente OT ma non completamente :)
Il fatto che siate attaccati dall'esterno non significa che voi siate
infestati.
Spesso la maggior parte degli gli attacchi proviene sempre dalle stesse
macchine (magari solo poce decine): se avete accesso alla configurazione del
firewall/router potete provare a bloccare le richieste di accesso da parte
di queste macchine ottenendo una sensibile riduzione del traffico e un
logging ridotto al livello del web server.
Fabio

Internet satura, piena completamente al 100%.
so che il GARR ha bloccato tutte le richieste di connessione alla
porta 80 verso host esterni.
spero non sia una info OT :)
--
ciao dal Tinto (aka Alessandro)
www.tinto.org

 ha scritto nel
messaggio news:sw_p7.5518$bf.2...@news.infostrada.it...


 Si stà diffondendo alla grande...la vedo dura !!
Tanto per tornare in topic, quanto costera' "Nimda" a tutti i full business 
company, a traffico, senza firewall (o con giusto un paio di ACL) "che 
tanto chi vuoi che se la prenda con me"?
-- 
ciao
hobs

 attacco mi arriva da un IP diverso???
Avevo scritto che spesso gli attacchi provengono sempre dagli stessi host.
Nel mio caso è così: non tutti ma una quota abbastanza significativa.
Ovviamente se sono sempre host diversi non hai molte possibilità salvo
quella di tirare giù il tuo web fino a tempi migliori in modo da garantire
gli altri servizi (se sei alla canna del gas).
Una domanda stupida: non avete *qualcun'altro* nella vostra rete interna che
ha un server web infestato e che può passare attraverso il vostro firewall?
Fabio

 attacco mi arriva da un IP diverso???
fermo restante che qui e' OT discutere di windows, ma visto che c'e' questo
attacco vediamo di chiarire un po' di cose :
1) gli 'attacchi' sulla porta 80 ci sono per tutti, che sia IIS, apache o
quello che vuoi. Filtrali dove meglio credi (router, firewall ecc...)
2) vedi di non farti infettare come pirla se usi IIS.
visto che torno da adesso da un grosso cliente che ha un bel po' di macchine
infette, ti passo la checklist per NT4 server con IIS 4
(e non lasciare condivisioni di disco aperte a cazzo, ma questo non dovrebbe
servire che te lo spiego)
1) Service pack 6a
2) Security Update, July 26, 2001 - U.S. English  [q299444i.exe -15 mega]
3) 15 August 2001 Cumulative Patch for IIS [Q301625i.exe - 1 mega]
4) UrlScan (ISAPI filter that analyzes and screens HTTP requests)
            [
http://www.microsoft.com/technet/security/urlscan.asp
 - 150 k]
             [ e controllare/modificare il file URLSCAN.INI !!! ]
3) per quanto riguarda i client aggiornare a internet explorer 5.5sp2 o 6,
visto che ci sono webserver che insieme alla pagina servono anche il virus
(visto personalmente)

 ecc...)
<provocatorimanete polemico>
Pero' Apache non si "infetta"
<provocatorimanete polemico>
;-)
-- 
Saluti,
Giancarlo

 wrote in message
news:9oagbv$hq0$1...@stargate1.inet.it...

... e soprattutto non infetta i client che si collegano. Mentre ho visto dei
vecchi internet explorer ricevere il virus visitando pagine web !
comunque non vorrrei dire una cazzata (analisi fatta in fretta), ma
guardando agli IP delle macchine a me vicine che stanno provando ad
infettare il mio firewall vedo che una parte grossa di IP sono gli stessi di
quelli che a fine luglio mi bussavano con il code-red e a fine agosto con il
code-red II
fra l'altro gli attacchi che prova sono tutte vecchie vulnerabilities di
IIS, che per quello che vedo sono le stesse (piu' o meno) sfruttate da code
red.
non vorrei dire, ma mi sa che la gran parte dei server che hanno NIMDA sono
gli stessi che avevano il code red, per il quale microsoft aveva rilasciato
le patch... boh... un anno fa ?
ach... come cavolo fa uno ad amministrare un server che viene bucato ad ogni
fine mese ?  Forse NON sa di avere un server ?
(diverso e' il discorso infezione via mail e infezione da server a browser
... li' e' follia pura se non hai le ultimissime versioni di IE sei nei
casini... e credo che almeno il 70% degli utenti internet mondiali usi
versioni bucate di ie)

 mondiali usi versioni bucate di ie)
Continuiamo a OT-izzare... vabbe' solo l'ultima osservazione,
la vulnerability usata per infettare i server e' la stessa di Red Code 
e RC II, quindi i server patchati per quelli non dovrebbero subire 
neppure questo.
Su
http://www.cert.org/advisories/CA-2001-26.html
c'e' il solito dettaglito report del CERT.
Comunque questi worm sono noiosi pero' per certi aspetti li trovo anche 
geniali e affascinati... :-)
-- 
Saluti,
Giancarlo

 tanto chi vuoi che se la prenda con me"?
il firewall non conta, i pacchetti sono quelli in casa Telecom :((((
comunque alla fine non saranno mica casini di byte...

 comunque alla fine non saranno mica casini di byte...
Dici? Ho qui grafici di linee a N Mbps saturate dal Nimda prima che si 
riuscisse a reperire gli amministratori delle macchine infettate.
-- 
ciao
hobs

 attacco vediamo di chiarire un po' di cose :
Ma non mi sembra che qui si stia affrontando un argomento *windows*. Si è
parlato di una possibile tecnica per limitare la banda occupata e di
management di reti IP (verifica di server web non ufficiali sulla propria
rete). L'unico che andato OT con la sua risposta mi sa che sei tu :)).
Un altro consiglio: mettete una 404.html e una 400.html vuote.
Fabio

 riuscisse a reperire gli amministratori delle macchine infettate.
.... tu intendi server? Cavolo non pensavo che si potesse mettere un server
web in fondo ad una hdsl, non mi sembra che ci sia una "stabilita" di
performance.
Pensavo solo a utenti come me che usano hdsl come accesso a internet.

 Pensavo solo a utenti come me che usano hdsl come accesso a internet.
Giusto per la cronaca io ho un server web e un server di posta in fondo ad
una *ADSL*: risparmio 15 milioni all'anno rispetto alla cdn che avevamo
prima avendo la stessa banda passante e accettando un paio d'ore di downtime
in piů all'anno.
Fabio

 Pensavo solo a utenti come me che usano hdsl come accesso a internet.
Sopravvaluti l'"esperto" medio.
-- 
ciao
hobs

 Sopravvaluti l'"esperto" medio.
Quali sono le controindicazioni di una adsl o hdsl come connessione anche
per ospitare server? Intendo dire qualcosa che vada oltre l'availability,
che č 99.4 per la mia adsl attuale ed era 99.5 per la mia ex cdn.
Fabio

 fisica di accesso su cui viaggia il traffico? Forse puoi spiegarti meglio.
E' il seguito di una discussione che forse ti sei perso sul *modo* in cui 
veniva (viene?) venduta la full business company. Il problema e' la 
soluzione "chiavi in mano" per PMI, che di finito non ha proprio niente, 
non certo la modulazione sul mezzo trasmissivo.
-- 
ciao
hobs

 non certo la modulazione sul mezzo trasmissivo.
Scusa per il mio intervento velatamente polemico ma forse non avevo capito.
Il fatto che il tuo post fosse imediatamente seguente al mio mi aveva dato
l'idea che ci fosse una correlazione diretta.
Pur non avendo esperienza diretta dell'offerta specifica di cui parli è in
effetti abbastanza frequente che venga proposta una soluzione chiavi in mano
che in realtà, soprattutto per quanto riguarda la sicurezza (ma non solo),
non può prescindere dalla presenza di adeguate competenze in azienda: questo
punto non viene chiarito abbastanza (o non viene chiarito affatto).
Comunque ritengo che anche le aziende abbiano la loro parte di
responsabilità, anche se più per colpa che per dolo (se mi passi il gergo):
queste problematiche vengono spesso sottovalutate perchè ritenute di
secondaria importanza e soprattutto non meritevoli dell'investimento che
sarebbe invece richiesto.
Ciao
Fabio

 che č 99.4 per la mia adsl attuale ed era 99.5 per la mia ex cdn.
Adesso non e' per voler trovare a tutti i costi qualcosa che non va, ma 
anche il rtt end-to-end e' rimasto uguale tra la cdn e l'adsl? :) [1]
-- 
ciao
hobs
[1] Se si, sei uno dei (pochi) fortunati.

 in piů all'anno.
i tuoi visitatori (che numero?) sono del tuo stesso parere? ;)

 anche il rtt end-to-end e' rimasto uguale tra la cdn e l'adsl? :) [1]
C'è sicuramente un peggioramento.
La differenza più sensibile la nota sicuramente chi passa da una cdn usata
come linea dedicata punto a punto ad una VPN basta su xDSL (es. connessione
tra due sedi).
Non ritengo che per una connessione a internet la differenza sia così
limitante, considerando il numero medio di hops che i pacchetti in uscita/in
arrivo devono percorrere prima di arrivare a destinazione; in questi casi
l'aumento percentuale del rtt totale non è sensibile come nel primo caso.
20 o 30 ms in più di rtt valgono la differenza di prezzo, valutati
ovviamente anche insieme agli altri svantaggi?.
Secondo me per molte realtà la risposta potrebbe benissimo essere *no* ma la
politica commerciale degli isp spinge sempre verso la cdn per chi vuole
fornire contenuti e le aziende si adeguano, non avendo spesso capacità
tecniche per valutare in autonomia.
Conclusione: la cdn *è* superiore ad una xDSL ma non si può prescindere da
una valutazione attenta del rapporto costi/benefici per scegliere.
Fabio

> i tuoi visitatori (che numero?) sono del tuo stesso parere? ;)
La risposta è: si.
Anzi: rispetto a quando eravamo in housing (presso quello che ritengo essere
il miglior fornitore in Italia) c'è stato un miglioramento.
Io ritengo che, semplificando:
Una prima parte del problema l'hai indicata tu tra parentesi: che numero?
Un'altra parte è: cosa fornisco? Come è composto il mio traffico?
Un'altra parte è: da quanti hops di distanza accedono i miei utenti?
Un'altra parte è: il mio utente cha tipo di accesso usa?
L'ultima parte è: quanto mi costano le varie alternative?
Secondo me la prima parte del problema non è la più rilevante.
Mettendo insieme le altre tre la decisione di passare a ADSL *per la mia
realtà* è stata quasi immediata, e penso che la mia sia una realtà
abbastanza comune nella media impresa italiana.
E' evidente che esistano anche realtà in cui questa potrebbe essere unsa
scelta sbagliata ma darlo per scontato mi sembra eccessivo.
Fabio

 scelta sbagliata ma darlo per scontato mi sembra eccessivo.
daiiii! non fare lo scontroso!
E' "l'aria da ng"; si parte affermando principi per poi scivolare in guerre
sante.
comunque la tua adsl continua a puzzarmi :) ho la sensazione che il tuo non
sia un servizio tipicamente "web"... vuoi passare delle stat?

 presso quello che ritengo essere il miglior fornitore in Italia
dimenticavo, ovvero?

> dimenticavo, ovvero?
i.net
(taglio di banda a 64)
Fabio

 sia un servizio tipicamente "web"... vuoi passare delle stat?
Oddio: cosa intendi per 'servizio tipicamente web'?
E' sicuramente un sito a basso traffico: non ho sotto mano i dati del
vecchio server ma da quando c'è questo (Aprile 2001) abbiamo avuto circa
25000 accessi (intesi come entry in access_log) compresi qualche migliaio
Code Red e nimda.
Il traffico di posta da allora è stato di circa 7000 e-mail, esclusa la
posta interna ovviamente.
Fabio