Погода: -12°C
Samara24.Форум /Компьютеры Интернет Связь / Операционные системы и системное ПО /

Alert! W32.Sasser.*.Worm!

ПечатьRSSДеревом


  • Всем!!

    Появился новый червяк, который распространяется наподобии бластера! Ломает lsass (дырка описана в буллетине MS04-011).

    Ломает по порту 445, запускает внутренний FTP-сервак на 5554, а удаленный шелл на 9996. Дальше ломится по айпишниками разным.


    Этих червяков уже 3 (мутируют).

    W32.Sasser.Worm (3)
    W32.Sasser.B.Worm (4)
    W32.Sasser.C.Worm (2)

    (В скобочках указан уровень тревоги по-симантеку на момент написания этого поста).

    Судя по информации с сайта Microsoft:

    В ответ на: Software Affected by This Worm
    • Microsoft Windows XP and Windows XP Service Pack 1
    • Windows 2000 Service Pack 2, Windows 2000 Service Pack 3, and Windows 2000 Service Pack 4


    Software Not Affected by This Worm
    • Windows XP 64-Bit Edition Version 2003
    • Windows Server™ 2003
    • Windows XP 64-Bit Edition Service Pack 1
    • Windows Millennium Edition
    • Windows 98 Second Edition
    • Windows 98
    • Windows NT® 4.0 Service Pack 6a
    На странице буллетина есть ссылки на патчики. Так же есть Sasser Removal Tool (вычищает Sasser и Sasser.B), для C симантек пока не выпустил, но написано, как удалять ручками.

    Фуфф :). Слава богу я патчусь вовремя.... А в локалке у нас сейчас эпидемия...

    Завтра будет лучше!!! ©
    Whatever you do - do it at Microsoft!

  • Ответ на сообщение Alert! W32.Sasser.*.Worm! пользователя netghost

    Эпидемия как раз началась 1 мая. Комп у меня жил просто своей жизнью :ха-ха!:. Сейчас вроде патчики поставила, все вернулась на свои места.
    Люди, будьте бдительны! :ха-ха!:
    У нас просто полсетки сидят зараженные :безум:

    и опыт , сын ошибок трудных....

  • Ответ на сообщение Alert! W32.Sasser.*.Worm! пользователя netghost

    А я то уже 3-й день читаю этот форум, пытаюсь выяснить. что с ХРенью случилось:хммм:
    При обращениях к HDD (WinCMD или Explorer) виснет намертво..:хммм:Уже ХР переставил бестолку...

    Спасибо за сообщение! :live:

  • Ответ на сообщение Alert! W32.Sasser.*.Worm! пользователя netghost

    А у меня никаких проблем:улыб:
    Все чинно-благородно, по-старому (с)

    Norton сам ходит обновляться, Outpost дает волю только тому, чему я сам разрешил. Заплатку скачал, поставил... Так что, на этот раз "не в меня":улыб:

    Кто яростно ненавидит мотоциклистов тот сам латентный мотоциклист.

  • Ответ на сообщение Alert! W32.Sasser.*.Worm! пользователя netghost

    >>> Этих червяков уже 3 (мутируют).

    W32.Sasser.Worm (3)
    W32.Sasser.B.Worm (4)
    W32.Sasser.C.Worm (2)


    Ндя.... Уже 4....
    Появился Sasser.D

    Кстати, текущая версия FxSasser.exe (ссылка есть выше) уже справляется и с C-, и с D-мутациями.

    Когда проснулся, тогда и "Доброе утро!"

    Исправлено пользователем Поручик Голицын (05.05.04 11:04)

  • Ответ на сообщение Alert! W32.Sasser.*.Worm! пользователя netghost

    Фарволом давить,
    deny tcp from any to me 1-1024

    Зато хотьприличное описание дали, что за червь, и как ползает...
    А то меня тут продвинутые юзвери пугнули, описание попсовое, понял только, что будет ломиться куда-нить RPC-LSASS, посему и не напрягся...

    ---
    Full
    -------
    ... Баба с возу - потехе час.

  • Ответ на сообщение Re: Alert! W32.Sasser.*.Worm! пользователя Full

    В ответ на: Фарволом давить,
    deny tcp from any to me 1-1024
    Аха и будем жить без почты, днс и т.д и т.п. :улыб:

  • Ответ на сообщение Re: Alert! W32.Sasser.*.Worm! пользователя RAGE

    Почта и DNS не должны работать на платформе win32, ибо не для нее они в свое время были рождены:улыб:

  • Ответ на сообщение Re: Alert! W32.Sasser.*.Worm! пользователя VinD

    В ответ на: deny tcp from any to me 1-1024
    Это как раз с фришного файрвола

  • Ответ на сообщение Re: Alert! W32.Sasser.*.Worm! пользователя RAGE

    Да с чего бы ради то?
    Мои запросы на днс ходят выше 1024 порта. Почту разрешить? Ну бога ради...
    принципиальные куски файрвола:
    ==== кусь ====
    ############################################
    # Setup loopback
    ${fwcmd} add 100 pass all from any to any via lo0
    ${fwcmd} add 200 deny all from any to 127.0.0.1/8
    ${fwcmd} add 300 deny all from 127.0.0.1/8 to any

    ############################################
    # deny and REJECT rules block
    # Stop spoofing
    ${fwcmd} add deny all from ${inet}:${imask} to any in via ${oif}
    ${fwcmd} add deny all from ${onet}:${omask} to any in via ${iif}

    # Stop RFC1918 nets on the outside interface
    ${fwcmd} add deny all from any to 10.0.0.0/8 via ${oif}
    ${fwcmd} add deny all from any to 172.16.0.0/12 via ${oif}

    # Stop draft-manning-dsua-03.txt (1 May 2000) nets (includes RESERVED-1,
    # DHCP auto-configuration, NET-TEST, MULTICAST (class D), and class E)
    # on the outside interface
    ${fwcmd} add deny all from any to 0.0.0.0/8 via ${oif}
    ${fwcmd} add deny all from any to 169.254.0.0/16 via ${oif}
    ${fwcmd} add deny all from any to 192.0.2.0/24 via ${oif}
    ${fwcmd} add deny all from any to 224.0.0.0/4 via ${oif}
    ${fwcmd} add deny all from any to 240.0.0.0/4 via ${oif}

    ##############################################
    # Count ip for outside traffic (full statistic)
    ${fwcmd} add count all from any to any in via ${oif}

    ###############################################
    # Allow POP3, SMTP
    ${fwcmd} add pass tcp from any to ${oip} pop3
    ${fwcmd} add pass tcp from any to ${oip} smtp
    ${fwcmd} add pass tcp from ${oip} pop3 to any
    ${fwcmd} add pass tcp from ${oip} smtp to any
    # deny all low services
    ${fwcmd} add deny tcp from any to ${oip} 1-1024
    ${fwcmd} add deny udp from any to ${oip} 1-1024
    # deny indide services from onet
    ${fwcmd} add deny log tcp from not ${inet}:${imask} to me 20,21,80,119,3128......

    # Allow DNS resolving in local network
    ${fwcmd} add pass tcp from ${inet}:${imask} to ${iip} domain setup in via ${iif}
    ${fwcmd} add pass udp from ${inet}:${imask} to ${iip} domain in via ${iif}
    ${fwcmd} add pass udp from ${iip} domain to ${inet}:${imask} out via ${iif}
    ${fwcmd} add deny udp from ${inet}:${imask} to any 53

    #################################################
    # Allow for router connections
    # Allow DNS queries out in the world
    ${fwcmd} add 50000 pass udp from ${oip} to any 53 keep-state
    === наелся ===

    ---
    Full
    -------
    ... Любишь кататься - люби и катайся.

  • Ответ на сообщение Alert! W32.Sasser.*.Worm! пользователя netghost

    а вот если бы еще и про патчи подвесили подобный топик, зараженных

    было бы, хоть чуть-чуть, да поменьше :-)

  • Ответ на сообщение Re: Alert! W32.Sasser.*.Worm! пользователя ugly

    А разве хождение на виндовсапдейт уже запретили???

  • Ответ на сообщение Alert! W32.Sasser.*.Worm! пользователя netghost

    Тэкс ! Что-то сцылочку Симантек похерил походу...
    Есть эта затея у кого - кинтесь рабочим линком !

  • Ответ на сообщение Alert! W32.Sasser.*.Worm! ))8 пользователя YURСНА

    Да нет, у меня прекрасно работает.

    Отсутствие вариантов – тоже вариант, но самый худший.

  • Ответ на сообщение Re: Alert! W32.Sasser.*.Worm! ))8 пользователя Deft

    НП
    Вот еще одна хреновина похожая на сассер.

  • Ответ на сообщение Re: Alert! W32.Sasser.*.Worm! пользователя Barlog

    Интересно, а про апдейты виндовозные все забыли?, или отключили галочку чтоб трафик не жрала и спим спокойно?)

  • Ответ на сообщение Re: Alert! W32.Sasser.*.Worm! пользователя demosfen

    Это ты мне или просто было желание высказатся вслух? Если мне - то ты ошибся адресом. Причем капитально ошибся.:миг:

  • Ответ на сообщение Re: Alert! W32.Sasser.*.Worm! пользователя Barlog

    Пардон, не тебе, так вышло)). Высказал, так сказать свою солидарность.

  • Ответ на сообщение Re: Alert! W32.Sasser.*.Worm! пользователя Full

    В ответ на: Мои запросы на днс ходят выше 1024 порта. Почту разрешить? Ну бога ради...
    принципиальные куски файрвола:
    ==== кусь ====
    ############################################
    # Setup loopback
    ${fwcmd} add 100 pass all from any to any via lo0
    ${fwcmd} add 200 deny all from any to 127.0.0.1/8
    ${fwcmd} add 300 deny all from 127.0.0.1/8 to any

    ############################################
    # deny and REJECT rules block
    # Stop spoofing
    ${fwcmd} add deny all from ${inet}:${imask} to any in via ${oif}
    ${fwcmd} add deny all from ${onet}:${omask} to any in via ${iif}

    # Stop RFC1918 nets on the outside interface
    ${fwcmd} add deny all from any to 10.0.0.0/8 via ${oif}
    ${fwcmd} add deny all from any to 172.16.0.0/12 via ${oif}

    # Stop draft-manning-dsua-03.txt (1 May 2000) nets (includes RESERVED-1,
    # DHCP auto-configuration, NET-TEST, MULTICAST (class D), and class E)
    # on the outside interface
    ${fwcmd} add deny all from any to 0.0.0.0/8 via ${oif}
    ${fwcmd} add deny all from any to 169.254.0.0/16 via ${oif}
    ${fwcmd} add deny all from any to 192.0.2.0/24 via ${oif}
    ${fwcmd} add deny all from any to 224.0.0.0/4 via ${oif}
    ${fwcmd} add deny all from any to 240.0.0.0/4 via ${oif}

    ##############################################
    А можно ссылочку на инфу по которой я ничего из перечисленного не зная смог бы хоть немного в этом разобраться?
    У меня зон лаб стоит, но там тоже есть возможность использовать правила некоторые, только я не соображаю как это корректно делать.

Записей на странице:

Samara24.Форум /Компьютеры Интернет Связь / Операционные системы и системное ПО /
Перейти в форум

Модераторы:
Наверх
Rambler's Top100
SHKULEV HOLDING
Сетевое издание «63.ру» (18+)
Зарегистрировано Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор)
Свидетельство о регистрации СМИ ЭЛ № ФС 77–71022 от 13.09.2017 г.
Учредитель: Общество с ограниченной ответственностью «ИНТЕРНЕТ ТЕХНОЛОГИИ»
Главный редактор: Плотникова Татьяна Николаевна
Адрес редакции: 443080, г. Самара, пр. Карла Маркса, д. 201б, этаж 12, офис 22, 23, +7 (960) 8-321-574
Электронный адрес редакции: 63@rugion.ru
Контактные данные для Роскомнадзора и государственных органов: juristchel@iportal.ru
Техподдержка: help@shkulev.ru
Связаться с отделом продаж: 8 (383) 212-52-52, 8 (800) 200-03-83 (звонок с сотового бесплатный), reklama@ngs.ru
Публикации с пометкой «На правах рекламы», «Партнёрский проект», «Новости телекома», «Открытая трибуна», «Выборы-2019» и «Выборы-2020» оплачены рекламодателем. Редакция сайта не несет ответственности за достоверность информации, содержащейся в рекламных объявлениях.

Информация об ограничениях

Политика использования cookies
Политика конфиденциальности и обработки персональных данных и правила использования сайта