Newsgroup: it.comp.sicurezza.windows
Titolo: [1/2 OT] Red code ?

Sto cercando info sul sito M$, e da un po' è tutto lentissimo... tutto
normale, direte voi. Ma anche altri siti USA sono quasi inaccessibili.
La domanda sorge spontanea: l'ora prevista di attivazione quale
doveva essere ? Il bollettino M$ diceva:
Code Red is likely to start spreading again on July 31st, 2001 8:00 PM EDT
ed è quell'"EDT" che mi perplime.
Se è l'orario locale, non dovrebbe corrispondere alle 2 di notte, qui ?
Bye, G.

 Se è l'orario locale, non dovrebbe corrispondere alle 2 di notte, qui ?
Se non ricordo male EDT è a -4 rispetto a GMT, mah, stranezze dei server!
--
 Saluti
¯massimo_
Non dica di ME, se di ME non sa.
Pensi per SE, e poi di ME dirà. [windows del mese]
                                                          [aggiorna i bug]

 ? 
dovrebbe essere Eastern Delayed Time, quindi un'ora indietro rispetto al  
Eastern Standard Time. In sostanza EDT sta 4 ore di ritardo da GMT... spero 
di essere stato chiaro! :)
Cmq cio' almeno spiega che cappero sono questi accessi sul nostro proxy:
08/06/2001 12:19:51 194.230.20.30 - WWW "GET /default.ida?
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX%
u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%
u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a  
HTTP/1.0" 403 438 438 0 530 - - -
che dite? e' lui?
-- 
Pascal-X - mICQ 25553477 - 
www.pascalbrax.com
Responsabile Pubbliche Relazioni del SIACD
Profeta del Sommo C_R_O_S_S__B_O_N_E_S
Nemico dichiarato del Kyle Jordan Klan
Se volete scrivermi, mandate una mail a
spamb...@pascalbrax.com
 :)

 che dite? e' lui?
CodeRed II, la prima versione usava le N la seconda le X...
Sta impestando tutta internet, carico in salita :(
--
--
           ~~ ICQ#: 8761263 ~~ 
http://www.delymyth.net/
 ~~
            E-Mail Addy: DElyMyth [at] delymyth [dot] net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=
GnuPG Fingerprint: F6D3 E002 C55A 0B58 7BD4  70CE A69B CCFC 741D 3099

che dite? e' lui?
Da it.comp.sicurezza.virus ho appreso che si tratta di Code Red II,
che pare sia piu' fetente del primo in quanto installa una backdoor
root.exe nella cartella degli scripts di IIS. :-(

che dite? e' lui?
č lui :)
tu quanti ne hai? io:
ALDEBARAN\Administrator [d:\programmi\rete\server\apache\logs]
::grep /default.ida? access.log|wc -l
     64
di cui ben 38 della seconda variante.
Gli IP sono un totale di:
ALDEBARAN\Administrator [d:\programmi\rete\server\apache\logs]
::grep /default.ida? access.log|cut -d" " -f1|uniq|wc -l
     61
Io quasiquasi quel "default.ida" lě ce lo metto...

Io quasiquasi quel "default.ida" lě ce lo metto...
Gia' fatto :-)
193 IP unici, 245 tentativi.
Alcuni di costoro sono stati disinnescati a colpi di smbclient -M. Altri,
ho scoperto con sgomento, sono seguaci del buopillonzi - sto studiando un
sistema per sovvertire CodeRed e ampliare il mio parco utenti 8-D
Leonardo
-- 
ftp://warez.slashdot.com:12345
 - Warez for nerds. Stuff that matters.

 Io quasiquasi quel "default.ida" lě ce lo metto...
mah... il mio proxy continua a sbatterli in faccia un 403 ogni volta! :D
ah propox: qui dice che attacca anche i vecchi cisco:
http://www.ip-plus.net/news/code_red-en.html
ps: carina la tua x-face! :D


Alcuni di costoro sono stati disinnescati a colpi di smbclient -M. Altri,
   Che messaggio gli mandi? Se gli mando l'url per la patch, il client
winpopup la rende "clickabile"? Altrimenti mi sa che e` poco utile :(
-- 
Totuccio.

Che messaggio gli mandi?
Ne ho provati diversi. Uno dei piu' pittoreschi:
	QUESTO PC E' POSSEDUTO DA "CODE RED"! BWAHAHAHA
e quello attuale:
	DANGER: SYSTEM INFECTED BY "CODE RED" VIRUS
	URGENTLY SEE 
www.cert.org
 FOR DETAILS


utenti 8-D
sciacallo :P

PsShutdown v1.0 - Local and remote shutdown/reboot program
aspett... questo non sarebbe affatto gentile :)
magari un
net send $REMOTE_ADDR "1 0Wn Y00!!! H4H4H4 1'm 50 1337!!!"
sarebbe più costruttivo, ne'?

"buopillonzi"? :-D
Si', hai presente "all of your shares are belong to us"?


	URGENTLY SEE 
www.cert.org
 FOR DETAILS
   Credo che nel mio mettero un link alla pagina sul sito Microsoft.
Ho idea che l'utonto ignaro si fidi piu` facilmente dell'avviso
pubblicato da mamma M$, che delle pagine di 
cert.org
 (che qualcuno di
loro potrebbe scambiare per un sito di akker).
-- 
Totuccio.

 Si', hai presente "all of your shares are belong to us"?
8-)))))) Viperuccia, ti ricordi qualche mese fa, poi l'avevo cercata la
frase, e il bello e' che l'avevo pure tirato giu' qualche tempo prima da
Classicgaming!!!!!!!!!
/me che va a prendere il cappello a cono e le orecchie d'asino con
scritto LAMER.
-- 
Abrogato l'art. 21 della Costituzione Italiana:
 
http://punto-informatico.it/petizione.asp
SecurFaq             : 
http://members.nbci.com/gouldukat/
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/