webForumDet fria alternativet
Logga in / Bli medlem

Nimda.E

Datasäkerhetur Datasäkerhet

12 svar · 400 visningar · startad av matthew

matthewMedlem sedan okt. 2001166 inlägg
Frågan#1

Hej

Upptäckte precis att jag fått Nimda.E viruset. Vet inte hur länge jag har haft det, uppdaterade nyligen mitt virus program. Trodde att jag skulle slippa virus om jag bara körde kända filer. Men så fel jag verkar ha. Jag kör IIS 5 och w2k pro. Hittills har inte några problem uppstått.

Vilket syfte har viruset ?

Så här ser loggen ifrån mitt virus program ut:
C:\program files\common\microsoft Shared... ... rverextentions\40\isapi\TFTP2176
C:\inetpubscripts\TFTP2288
C:\admin.dll
C:\httpodbc.dll

////////////////////////

C:\Program Files\Common Files\Microsoft Shared\web server extensions\40\isapi\TFTP1300 infected I-Worm.Nimda
12.12.2001 12:21:32 C:\Program Files\Common Files\Microsoft Shared\web server extensions\40\isapi\TFTP2176 infected I-Worm.Nimda.e
12.12.2001 12:23:52 C:\Program Files\Common Files\Microsoft Shared\web server extensions\40\isapi\TFTP1976 infected I-Worm.Nimda.e
12.12.2001 12:23:57 C:\Program Files\Common Files\Microsoft Shared\web server extensions\40\isapi\TFTP2876 infected I-Worm.Nimda.e
12.12.2001 12:23:59 C:\Program Files\Common Files\Microsoft Shared\web server extensions\40\isapi\TFTP2228 infected I-Worm.Nimda.e
12.12.2001 12:24:03 C:\Program Files\Common Files\Microsoft Shared\web server extensions\40\isapi\TFTP1300 disinfection failed I-Worm.Nimda
12.12.2001 12:25:32 C:\Program Files\Common Files\Microsoft Shared\web server extensions\40\isapi\TFTP2176 disinfection failed I-Worm.Nimda.e
12.12.2001 12:25:35 C:\Program Files\Common Files\Microsoft Shared\web server extensions\40\isapi\TFTP1976 disinfection failed I-Worm.Nimda.e
12.12.2001 12:25:37 C:\Program Files\Common Files\Microsoft Shared\web server extensions\40\isapi\TFTP2876 disinfection failed I-Worm.Nimda.e
12.12.2001 12:25:50 C:\Program Files\Common Files\Microsoft Shared\web server extensions\40\isapi\TFTP2228 disinfection failed I-Worm.Nimda.e
12.12.2001 12:26:24 C:\Inetpub\Scripts\TFTP2288 infected I-Worm.Nimda
12.12.2001 12:27:50 C:\Inetpub\Scripts\TFTP1272 infected I-Worm.Nimda.e
12.12.2001 12:27:53 C:\Inetpub\Scripts\TFTP1984 infected I-Worm.Nimda.e
12.12.2001 12:28:01 C:\Inetpub\Scripts\TFTP1900 infected I-Worm.Nimda.e
12.12.2001 12:28:04 C:\Admin.dll infected I-Worm.Nimda
12.12.2001 12:28:06 C:\httpodbc.dll infected I-Worm.Nimda.e
12.12.2001 12:28:12 D:\Admin.dll infected I-Worm.Nimda
12.12.2001 12:28:19 D:\httpodbc.dll infected I-Worm.Nimda.e
12.12.2001 12:28:23 C:\Inetpub\Scripts\TFTP2288 infected I-Worm.Nimda
12.12.2001 12:28:26 C:\Inetpub\Scripts\TFTP2288 infected I-Worm.Nimda
12.12.2001 12:28:53 C:\Inetpub\Scripts\TFTP2288 infected I-Worm.Nimda
12.12.2001 12:28:56 C:\Inetpub\Scripts\TFTP2288 infected I-Worm.Nimda
12.12.2001 12:28:58 C:\Inetpub\Scripts\TFTP2288 disinfection failed I-Worm.Nimda
12.12.2001 12:29:00 C:\Inetpub\Scripts\TFTP1272 disinfection failed I-Worm.Nimda.e
12.12.2001 12:29:02 C:\Inetpub\Scripts\TFTP1984 disinfection failed I-Worm.Nimda.e
12.12.2001 12:29:04 C:\Inetpub\Scripts\TFTP1900 disinfection failed I-Worm.Nimda.e
12.12.2001 12:29:06 C:\Admin.dll disinfection failed I-Worm.Nimda
12.12.2001 12:29:30 C:\httpodbc.dll disinfection failed I-Worm.Nimda.e
12.12.2001 12:29:54 D:\Admin.dll disinfection failed I-Worm.Nimda
12.12.2001 12:29:59 D:\httpodbc.dll disinfection failed I-Worm.Nimda.e
12.12.2001 12:30:03 C:\Inetpub\Scripts\TFTP2288 Cannot open file or sector
12.12.2001 12:30:09 C:\Inetpub\Scripts\TFTP2288 Cannot open file or sector
12.12.2001 12:30:37 C:\Inetpub\Scripts\TFTP2288 Cannot open file or sector
12.12.2001 12:30:43 C:\Inetpub\Scripts\TFTP2288 Cannot open file or sector
12.12.2001 12:30:44 E:\httpodbc.dll infected I-Worm.Nimda.e
12.12.2001 12:30:48 E:\httpodbc.dll disinfection failed I-Worm.Nimda.e

Cant open file or sector, disinfection failed

I-Worm.Nimda

////////////////////////
lite av loggen från IIS

20:55:28 195.252.67.82 GET /scripts/root.exe 404
20:55:33 195.252.67.82 GET /MSADC/root.exe 404
20:55:36 195.252.67.82 GET /c/winnt/system32/cmd.exe 404
20:55:41 195.252.67.82 GET /d/winnt/system32/cmd.exe 404
20:55:44 195.252.67.82 GET /scripts/..%5c../winnt/system32/cmd.exe 200

21:01:06 195.252.67.82 GET /scripts/root.exe 404
21:01:11 195.252.67.82 GET /MSADC/root.exe 404
21:01:25 195.252.67.82 GET /c/winnt/system32/cmd.exe 404
21:01:33 195.252.67.82 GET /d/winnt/system32/cmd.exe 404
21:01:38 195.252.67.82 GET /scripts/..%5c../winnt/system32/cmd.exe 200

1:12:51 195.252.67.82 GET /_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe 502
21:13:10 195.252.197.203 GET /scripts/root.exe 404
21:13:12 195.252.197.203 GET /MSADC/root.exe 404

21:33:08 195.252.156.170 GET /_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe 502
21:33:11 195.252.156.170 GET /_vti_bin/..%5c../..%5c../..%5c../httpodbc.dll 500
21:33:13 195.252.156.170 GET /_mem_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe 404
21:33:16 195.252.156.170 GET /msadc/..%5c../..%5c../..%5c/..Á../..Á../..Á../winnt/system32/cmd.exe 500

Hoppas att någon kan hjälpa mig med detta!

mvh,
Matthew

------------------
When we were wired the world was lika a secret

Bires avatarBireMedlem sedan dec. 199919 074 inlägg
#2

Fix finns på www.symantech.com

------------------
Click here for free sill!

SirPeters avatarSirPeterMedlem sedan feb. 200115 571 inlägg
#3

Har du kört alla patchar till din IIS?

------------------
Jag skulle gärna ha en signatur men orkar inte fundera ut någon som är fyndig nog....

McDs avatarMcDMedlem sedan mars 20002 520 inlägg
#4

Patcharna är viktiga har du inte dem så kan inte antivirusprogrammet göra så mycket.

Rent praktiskt så blir du inte smittad av nimba om du har patcharna installerade antivirus programmen varnar bara för filerna.

------------------
McD- Burgers for the people!

www.McDz.net www.SweQuake.com

matthewMedlem sedan okt. 2001166 inlägg
#5

ok!
Jag hade redan patchat !!
Kört några program för att ta bort nimda... Nu hittar inte virus programmet några smittade filer :)

Vilket är det vanligaste spridnings sättet för nimda och vilket syfte ?

/matt Good

------------------
When we were wired the world was lika a secret

hpMedlem sedan maj 2001787 inlägg
#6

Bire:

Jag hittade ingen fix under länken du angav... :p

------------------
"signatur"

Bires avatarBireMedlem sedan dec. 199919 074 inlägg
#7

:r skit...
www.symantec.com ska det va såklart! :e

------------------
Click here for free sill!

McDs avatarMcDMedlem sedan mars 20002 520 inlägg
#8

Vilket är det vanligaste spridnings sättet för nimda och vilket syfte ?

Nimba smittar på i stort sett samtliga sätt, mail, webb, filer, irc osv Det är tyvärr det som gjort att det är så vanligt.

------------------
McD- Burgers for the people!

www.McDz.net www.SweQuake.com

matthewMedlem sedan okt. 2001166 inlägg
#9

Hej,
Det var ett tag sedan jag hade problem med nimda... Men nyligen så har jag fått viruset igen, och det åter kommer även fast jag kört symantechs program och använt de sensate patcharna.

Vet inte vad jag kan göra mer för att slippa detta återkommade problem.

Här hamnar de smittade filerna:
C:\Inetpub\Scripts\
C:\Program Files\Common Files\Microsoft Shared\web server extensions\40\isapi\
C:\httpodbc.dll

httpodbc.dll hittar jag i följande kataloger:
C:\WINNT\system32\dllcache
C:\WINNT\system32\inetsrv
C:\WINNT\ServicePackFiles\i386

Kan jag ta bort httpodbc.dll där jag hittar den?

Vilket syfte fyller katalogen web server extensions, har den något med frontpage att göra ? Har för mig att den mappen skapades när jag installerade .NET.

IIS loggen visar bla detta:
195.252.156.170 GET /_vti_bin/..%5c../..%5c../..%5c../httpodbc.dll 500

Betyder det att jag blev smittad när jag surfade ?

#L#Medlem sedan juli 20021 363 inlägg
#10

Hade också problem med nimda för ett tag sen, men räckte att jag körde in senaste sp:t så löste det sig..

matthewMedlem sedan okt. 2001166 inlägg
#11

sp:t ?

Bires avatarBireMedlem sedan dec. 199919 074 inlägg
#12

ServicePack

medialabsMedlem sedan mars 20023 686 inlägg
#13

Jag håller på och sammanställer en lista med Service Packs.

133 ms totalt · 3 externa anrop · v20260731065814-full.b746b907
0 ms — hämta forumlista (cache)
0 ms — hämta statistik (cache)
131 ms — hämta tråd, inlägg och bilagor (db)