--- title: "Nimda.E" type: "forum-thread" url: "https://www.webforum.nu/amne/datasakerhet/28760-nimda-e" topic: "Datasäkerhet" topic_url: "https://www.webforum.nu/amne/datasakerhet" author: "matthew" published: "2001-12-12T12:28:00.000Z" updated: "2002-10-15T17:30:26.000Z" replies: 12 views: 407 page: 1 pages: 1 language: "sv-SE" site: "webForum — webforum.nu" rights: "Upphovsrätten till varje inlägg tillhör dess författare." attribution: "Citera som: webForum, https://www.webforum.nu/amne/datasakerhet/28760-nimda-e" --- # Nimda.E ## #1 — matthew, 2001-12-12T12:28Z Hej Upptäckte precis att jag fått Nimda.E viruset. Vet inte hur länge jag har haft det, uppdaterade nyligen mitt virus program. Trodde att jag skulle slippa virus om jag bara körde kända filer. Men så fel jag verkar ha. Jag kör IIS 5 och w2k pro. Hittills har inte några problem uppstått. Vilket syfte har viruset ? Så här ser loggen ifrån mitt virus program ut: C:\\program files\\common\\microsoft Shared... ... rverextentions\\40\\isapi\\TFTP2176 C:\\inetpubscripts\\TFTP2288 C:\\admin.dll C:\\httpodbc.dll //////////////////////// C:\\Program Files\\Common Files\\Microsoft Shared\\web server extensions\\40\\isapi\\TFTP1300 infected I-Worm.Nimda 12\.12.2001 12:21:32 C:\\Program Files\\Common Files\\Microsoft Shared\\web server extensions\\40\\isapi\\TFTP2176 infected I-Worm.Nimda.e 12\.12.2001 12:23:52 C:\\Program Files\\Common Files\\Microsoft Shared\\web server extensions\\40\\isapi\\TFTP1976 infected I-Worm.Nimda.e 12\.12.2001 12:23:57 C:\\Program Files\\Common Files\\Microsoft Shared\\web server extensions\\40\\isapi\\TFTP2876 infected I-Worm.Nimda.e 12\.12.2001 12:23:59 C:\\Program Files\\Common Files\\Microsoft Shared\\web server extensions\\40\\isapi\\TFTP2228 infected I-Worm.Nimda.e 12\.12.2001 12:24:03 C:\\Program Files\\Common Files\\Microsoft Shared\\web server extensions\\40\\isapi\\TFTP1300 disinfection failed I-Worm.Nimda 12\.12.2001 12:25:32 C:\\Program Files\\Common Files\\Microsoft Shared\\web server extensions\\40\\isapi\\TFTP2176 disinfection failed I-Worm.Nimda.e 12\.12.2001 12:25:35 C:\\Program Files\\Common Files\\Microsoft Shared\\web server extensions\\40\\isapi\\TFTP1976 disinfection failed I-Worm.Nimda.e 12\.12.2001 12:25:37 C:\\Program Files\\Common Files\\Microsoft Shared\\web server extensions\\40\\isapi\\TFTP2876 disinfection failed I-Worm.Nimda.e 12\.12.2001 12:25:50 C:\\Program Files\\Common Files\\Microsoft Shared\\web server extensions\\40\\isapi\\TFTP2228 disinfection failed I-Worm.Nimda.e 12\.12.2001 12:26:24 C:\\Inetpub\\Scripts\\TFTP2288 infected I-Worm.Nimda 12\.12.2001 12:27:50 C:\\Inetpub\\Scripts\\TFTP1272 infected I-Worm.Nimda.e 12\.12.2001 12:27:53 C:\\Inetpub\\Scripts\\TFTP1984 infected I-Worm.Nimda.e 12\.12.2001 12:28:01 C:\\Inetpub\\Scripts\\TFTP1900 infected I-Worm.Nimda.e 12\.12.2001 12:28:04 C:\\Admin.dll infected I-Worm.Nimda 12\.12.2001 12:28:06 C:\\httpodbc.dll infected I-Worm.Nimda.e 12\.12.2001 12:28:12 D:\\Admin.dll infected I-Worm.Nimda 12\.12.2001 12:28:19 D:\\httpodbc.dll infected I-Worm.Nimda.e 12\.12.2001 12:28:23 C:\\Inetpub\\Scripts\\TFTP2288 infected I-Worm.Nimda 12\.12.2001 12:28:26 C:\\Inetpub\\Scripts\\TFTP2288 infected I-Worm.Nimda 12\.12.2001 12:28:53 C:\\Inetpub\\Scripts\\TFTP2288 infected I-Worm.Nimda 12\.12.2001 12:28:56 C:\\Inetpub\\Scripts\\TFTP2288 infected I-Worm.Nimda 12\.12.2001 12:28:58 C:\\Inetpub\\Scripts\\TFTP2288 disinfection failed I-Worm.Nimda 12\.12.2001 12:29:00 C:\\Inetpub\\Scripts\\TFTP1272 disinfection failed I-Worm.Nimda.e 12\.12.2001 12:29:02 C:\\Inetpub\\Scripts\\TFTP1984 disinfection failed I-Worm.Nimda.e 12\.12.2001 12:29:04 C:\\Inetpub\\Scripts\\TFTP1900 disinfection failed I-Worm.Nimda.e 12\.12.2001 12:29:06 C:\\Admin.dll disinfection failed I-Worm.Nimda 12\.12.2001 12:29:30 C:\\httpodbc.dll disinfection failed I-Worm.Nimda.e 12\.12.2001 12:29:54 D:\\Admin.dll disinfection failed I-Worm.Nimda 12\.12.2001 12:29:59 D:\\httpodbc.dll disinfection failed I-Worm.Nimda.e 12\.12.2001 12:30:03 C:\\Inetpub\\Scripts\\TFTP2288 Cannot open file or sector 12\.12.2001 12:30:09 C:\\Inetpub\\Scripts\\TFTP2288 Cannot open file or sector 12\.12.2001 12:30:37 C:\\Inetpub\\Scripts\\TFTP2288 Cannot open file or sector 12\.12.2001 12:30:43 C:\\Inetpub\\Scripts\\TFTP2288 Cannot open file or sector 12\.12.2001 12:30:44 E:\\httpodbc.dll infected I-Worm.Nimda.e 12\.12.2001 12:30:48 E:\\httpodbc.dll disinfection failed I-Worm.Nimda.e Cant open file or sector, disinfection failed I-Worm.Nimda //////////////////////// lite av loggen från IIS 20:55:28 195.252.67.82 GET /scripts/root.exe 404 20:55:33 195.252.67.82 GET /MSADC/root.exe 404 20:55:36 195.252.67.82 GET /c/winnt/system32/cmd.exe 404 20:55:41 195.252.67.82 GET /d/winnt/system32/cmd.exe 404 20:55:44 195.252.67.82 GET /scripts/..%5c../winnt/system32/cmd.exe 200 21:01:06 195.252.67.82 GET /scripts/root.exe 404 21:01:11 195.252.67.82 GET /MSADC/root.exe 404 21:01:25 195.252.67.82 GET /c/winnt/system32/cmd.exe 404 21:01:33 195.252.67.82 GET /d/winnt/system32/cmd.exe 404 21:01:38 195.252.67.82 GET /scripts/..%5c../winnt/system32/cmd.exe 200 1:12:51 195.252.67.82 GET /\_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe 502 21:13:10 195.252.197.203 GET /scripts/root.exe 404 21:13:12 195.252.197.203 GET /MSADC/root.exe 404 21:33:08 195.252.156.170 GET /\_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe 502 21:33:11 195.252.156.170 GET /\_vti_bin/..%5c../..%5c../..%5c../httpodbc.dll 500 21:33:13 195.252.156.170 GET /\_mem_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe 404 21:33:16 195.252.156.170 GET /msadc/..%5c../..%5c../..%5c/..Á../..Á../..Á../winnt/system32/cmd.exe 500 Hoppas att någon kan hjälpa mig med detta! mvh, Matthew Permalänk: https://www.webforum.nu/p/28760 ## #2 — Bire, 2001-12-12T12:37Z Fix finns på [www.symantech.com](http://www.symantech.com) Permalänk: https://www.webforum.nu/p/404561 ## #3 — SirPeter, 2001-12-12T13:04Z Har du kört alla patchar till din IIS? Permalänk: https://www.webforum.nu/p/404562 ## #4 — McD, 2001-12-13T15:34Z Patcharna är viktiga har du inte dem så kan inte antivirusprogrammet göra så mycket. Rent praktiskt så blir du inte smittad av nimba om du har patcharna installerade antivirus programmen varnar bara för filerna. Permalänk: https://www.webforum.nu/p/404563 ## #5 — matthew, 2001-12-13T15:41Z ok! Jag hade redan patchat !! Kört några program för att ta bort nimda... Nu hittar inte virus programmet några smittade filer :) Vilket är det vanligaste spridnings sättet för nimda och vilket syfte ? /matt Good Permalänk: https://www.webforum.nu/p/404564 ## #6 — hp, 2001-12-13T17:13Z Bire: Jag hittade ingen fix under länken du angav... :p Permalänk: https://www.webforum.nu/p/404565 ## #7 — Bire, 2001-12-13T17:20Z :r skit... [www.symantec.com](http://www.symantec.com) ska det va såklart! :e Permalänk: https://www.webforum.nu/p/404566 ## #8 — McD, 2001-12-14T08:16Z > Vilket är det vanligaste spridnings sättet för nimda och vilket syfte ? Nimba smittar på i stort sett samtliga sätt, mail, webb, filer, irc osv Det är tyvärr det som gjort att det är så vanligt. Permalänk: https://www.webforum.nu/p/404567 ## #9 — matthew, 2002-10-15T14:01Z Hej, Det var ett tag sedan jag hade problem med nimda... Men nyligen så har jag fått viruset igen, och det åter kommer även fast jag kört symantechs program och använt de sensate patcharna. Vet inte vad jag kan göra mer för att slippa detta återkommade problem. Här hamnar de smittade filerna: C:\\Inetpub\\Scripts\\ C:\\Program Files\\Common Files\\Microsoft Shared\\web server extensions\\40\\isapi\\ C:\\httpodbc.dll httpodbc.dll hittar jag i följande kataloger: C:\\WINNT\\system32\\dllcache C:\\WINNT\\system32\\inetsrv C:\\WINNT\\ServicePackFiles\\i386 Kan jag ta bort httpodbc.dll där jag hittar den? Vilket syfte fyller katalogen web server extensions, har den något med frontpage att göra ? Har för mig att den mappen skapades när jag installerade .NET. IIS loggen visar bla detta: 195\.252.156.170 GET /\_vti_bin/..%5c../..%5c../..%5c../httpodbc.dll 500 Betyder det att jag blev smittad när jag surfade ? Permalänk: https://www.webforum.nu/p/821377 ## #10 — #L#, 2002-10-15T14:03Z Hade också problem med nimda för ett tag sen, men räckte att jag körde in senaste sp:t så löste det sig.. Permalänk: https://www.webforum.nu/p/821379 ## #11 — matthew, 2002-10-15T14:09Z sp:t ? Permalänk: https://www.webforum.nu/p/821388 ## #12 — Bire, 2002-10-15T14:20Z ServicePack Permalänk: https://www.webforum.nu/p/821400 ## #13 — medialabs, 2002-10-15T17:30Z Jag håller på och sammanställer en lista med Service Packs. Permalänk: https://www.webforum.nu/p/821651 --- Tråden på webben: https://www.webforum.nu/amne/datasakerhet/28760-nimda-e