Worm: Code Red/II/Nimda Variant

[gasolio's]

Mi arrivano a gruppi di 5-10 alla volta e vengono bloccati da SpyStopper.
Sapete dirmi se sono veramente dei WORM dannosi?

Logged Entry martedì, ott 8 2002 at 01.00.45
Remote Port: 4643
Local Port: 80
Host: ...............
[BLOCKED]

Worm: Code Red/II/Nimda Variant
NOTE: The actual worm contents have been suppressed to avoid Anti-Virus
programs from alerting you with False Positives.

[amvinfe]

Secondo te???

http://www.trendmicro.com/vinfo/viru...BAT_CODERED.II

http://www.trendmicro.com/vinfo/viru...ame=PE_NIMDA.E

Marco(amvinfe)

[gasolio's]

Come mai il NAV2002 tra l'altro aggiornatissimo nn li rileva??
Quindi se nn avessi SpyStopper me li beccherei tutti?
E' possibile avere da qualche "buonanima" un parere che sia almeno un po' esauriente?

[barney09]

sono chiamate sulla porta 80.

[gasolio's]

Cosa vuol dire, sono chiamate sulla porta 80?
Ma ragazzi........ volete x favore elemosinare qualche parolina in +
Grazie

[barney09]

questi due worm, facevano strage sui server tramite delle chiamate tipo:



default.ida XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXX%234128345%6qw9e8ydfgjh2'3458234'95234563

praticamente mandavano in tilt IIS e permettevano l'esecuzione di codice sul server.

Potevi fare ad esempio un dir sul HD del server tramite IE.

Esistevano versioni di questo virus che si diffondevano tramite la forma classico di allegato e-mail.

Le chiamate tramite la porta 80 colpiscono solo chi ha un servizio di IIS attivo sulla propria macchina. Se non hai IIS attivo, o hai installato gli ultimi Service Pack e le ultime pach (per ultime intendo quelle uscite dopo la scoperta di questi 2 worm) sei piu' che aposto.

[gasolio's]

Grazie