lug-bg: Code Red i Sircam

[bkrosnov@xxxxxxxx (Boyan Krosnov)]

Code Red:
Na wnimanieto na administratorite na golemi mreji.
Code Red otnovo vilnuwa iz mrejata.
Prowerete dali nqmate code red nqkyde iz mrejata wi. Kakto sigurno
znaete towa neshto wyrvi samo na ISS, ama toq server ima swojstwoto da
se poqwqwa na naj-neweroqtni mesta. Efekta kojto shte nabljudawate e
opiti za otwanqne na mnogo sesii ot edno source ip do mnogo razlichni i
ne posledowatelni destination ip-ta na port 80, ako widite takowa neshto
s golqma weroqtnost towa e Code Red. Wse pak predpolaga se che imate
opit s gledane na tcp sesii taka che nqma da obyrkata nenormalnoto
powedenie s normalno. Towa neshto minawa prez transparent proxy-ta i
natowe, taka che ako poluchite syobshtenie che washtata proxy ili masq
mashina e skanirala i se e opitwala da exploitwa s .ida exploit ili da
zarazqwa s Code Red mashinite na nqkoj administrator po sweta da znaete
che moje i wytre w mrejata wi da se krie virusa.
Kato namerite mashinata koqto e zarazena pyrwoto neshto koeto trqbwa da
naprawite e da i iztrygnete mrejowiq kabel. Wtoroto e a q rebootnete,
taka se ottyrvavate ot virusa i zatwarqte wratata prez koqto moje da
wleze. Sled towa sprete IIS service-a i q wkljuchete w mrejata. Idete na
windowsupdate.microsoft.com i dyrpajte .ida ili Code Red patcha.

Sircam:
t.k. poluchawam okolo 50 mail-a na den sys toq proklet worm hodesht po
nerazbirashti useri startirashti wseki .pif .bat i .exe attachment kojto
poluchat, precenih che naj-dobroto koeto moga da naprawq e da prashtam
na choweka kojto mi e pratil poshta bez da znae za towa slednata poshta.
------------------------
Imate virus:
informaciq za virusa:
http://www.mcafee.com/anti-virus/viruses/sircam/default.asp?cid=2360
http://www.symantec.com/avcenter/venc/data/w32.sircam.worm@xxxxxxx

malka pochistwashta programa:
http://www.sarc.com/avcenter/FixSirc.com

BR,

---
CCNP Boyan Krosnov
Network Administrator
LirexNet 
-------------------------
Towa w powecheto sluchai trqbwa da e dostatychno. Ima obache i uporiti.
:)

BR,
Boyan
===========================================================================
A mail-list of Linux Users Group - Bulgaria (bulgarian linuxers)
http://www.linux-bulgaria.org/ Hosted by Internet Group Ltd. - Stara Zagora