Mitt Zonealarm får rapporter hela tiden...

12 svar · 568 visningar · startad av kallee 5 aug. 2001

kalleeMedlem sedan juli 2001143 inlägg

Frågan5 aug. 2001 20:19#1

Det är så här att mitt Zonealarm får rapporter hela tiden, nu har det lugnar ner sig lite, men ibörjan när jag installerade det för en timme sedan så kom det typ 50 rapporter per sekund, någon som vet vad detta betyder?

FWROUTE,2001/08/05,20:38:22 +2:00 GMT,64.12.25.56:5190,213.66.95.206:4768,TCP (flags:AP)
FWROUTE,2001/08/05,20:38:24 +2:00 GMT,213.43.226.55:80,213.66.95.206:1713,TCP (flags:APF)
FWROUTE,2001/08/05,20:38:25 +2:00 GMT,213.43.104.184:80,213.66.95.206:5914,TCP (flags:AS)
FWROUTE,2001/08/05,20:38:27 +2:00 GMT,213.43.201.221:80,213.66.95.206:4906,TCP (flags:APF)
FWROUTE,2001/08/05,20:38:28 +2:00 GMT,213.14.6.160:80,213.66.95.206:3792,TCP (flags:A)
FWROUTE,2001/08/05,20:38:28 +2:00 GMT,213.254.109.54:80,213.66.95.206:1030,TCP (flags:A)
FWROUTE,2001/08/05,20:38:30 +2:00 GMT,213.14.216.204:80,213.66.95.206:4151,TCP (flags:APF)
FWROUTE,2001/08/05,20:38:30 +2:00 GMT,213.106.214.12:8080,213.66.95.206:1490,TCP (flags:AF)
FWROUTE,2001/08/05,20:38:33 +2:00 GMT,213.43.104.184:80,213.66.95.206:3839,TCP (flags:APF)
FWROUTE,2001/08/05,20:38:35 +2:00 GMT,213.106.214.11:8080,213.66.95.206:3880,TCP (flags:AF)
FWROUTE,2001/08/05,20:38:36 +2:00 GMT,213.106.23.253:80,213.66.95.206:4305,TCP (flags:AF)
FWROUTE,2001/08/05,20:38:37 +2:00 GMT,213.14.156.118:80,213.66.95.206:4461,TCP (flags:APF)
FWROUTE,2001/08/05,20:38:40 +2:00 GMT,213.43.65.194:80,213.66.95.206:3468,TCP (flags:AS)
PE,2001/08/05,20:38:42 +2:00 GMT,ICQ Application,0.0.0.0:0,N/A
FWROUTE,2001/08/05,20:38:43 +2:00 GMT,213.106.214.11:8080,213.66.95.206:4521,TCP (flags:AF)
FWROUTE,2001/08/05,20:38:44 +2:00 GMT,213.43.221.95:80,213.66.95.206:3962,TCP (flags:APF)
FWROUTE,2001/08/05,20:38:47 +2:00 GMT,213.254.87.226:80,213.66.95.206:4193,TCP (flags:A)
FWROUTE,2001/08/05,20:38:48 +2:00 GMT,213.254.86.159:80,213.66.95.206:4340,TCP (flags:A)
FWROUTE,2001/08/05,20:38:48 +2:00 GMT,213.43.65.194:80,213.66.95.206:2950,TCP (flags:APF)
FWROUTE,2001/08/05,20:38:48 +2:00 GMT,213.43.220.100:80,213.66.95.206:4642,TCP (flags:APF)
FWROUTE,2001/08/05,20:38:50 +2:00 GMT,213.14.230.77:80,213.66.95.206:4847,TCP (flags:APF)
FWROUTE,2001/08/05,20:38:52 +2:00 GMT,213.254.109.54:80,213.66.95.206:1030,TCP (flags:A)
FWROUTE,2001/08/05,20:38:55 +2:00 GMT,213.43.201.221:80,213.66.95.206:4906,TCP (flags:APF)
FWROUTE,2001/08/05,20:38:56 +2:00 GMT,213.14.225.158:80,213.66.95.206:3011,TCP (flags:APF)
FWROUTE,2001/08/05,20:38:56 +2:00 GMT,213.43.71.73:80,213.66.95.206:61453,TCP (flags:AS)
FWROUTE,2001/08/05,20:38:57 +2:00 GMT,213.14.106.105:80,213.66.95.206:3174,TCP (flags:APF)
FWROUTE,2001/08/05,20:38:58 +2:00 GMT,213.43.64.22:80,213.66.95.206:4859,TCP (flags:APF)
FWROUTE,2001/08/05,20:38:59 +2:00 GMT,213.106.214.12:8080,213.66.95.206:3222,TCP (flags:AF)
FWROUTE,2001/08/05,20:39:01 +2:00 GMT,64.12.25.56:5190,213.66.95.206:4768,TCP (flags:AP)
FWROUTE,2001/08/05,20:39:03 +2:00 GMT,213.173.137.34:80,213.66.95.206:1895,TCP (flags:AF)
FWROUTE,2001/08/05,20:39:03 +2:00 GMT,213.106.23.253:80,213.66.95.206:4305,TCP (flags:AF)
FWROUTE,2001/08/05,20:39:04 +2:00 GMT,213.106.214.10:8080,213.66.95.206:4719,TCP (flags:AF)
FWROUTE,2001/08/05,20:39:04 +2:00 GMT,213.43.71.73:80,213.66.95.206:4544,TCP (flags:APF)
FWROUTE,2001/08/05,20:39:05 +2:00 GMT,213.14.103.54:80,213.66.95.206:4526,TCP (flags:APF)
FWROUTE,2001/08/05,20:39:07 +2:00 GMT,213.43.214.49:80,213.66.95.206:4554,TCP (flags:APF)
FWROUTE,2001/08/05,20:39:10 +2:00 GMT,213.188.192.93:80,213.66.95.206:2377,TCP (flags:APF)
FWROUTE,2001/08/05,20:39:15 +2:00 GMT,213.14.162.233:80,213.66.95.206:2669,TCP (flags:APF)
FWROUTE,2001/08/05,20:39:16 +2:00 GMT,213.254.87.226:80,213.66.95.206:4193,TCP (flags:A)
FWROUTE,2001/08/05,20:39:16 +2:00 GMT,213.43.64.22:80,213.66.95.206:8437,TCP (flags:AS)
FWROUTE,2001/08/05,20:39:20 +2:00 GMT,213.106.214.10:8080,213.66.95.206:2464,TCP (flags:AF)
FWROUTE,2001/08/05,20:39:20 +2:00 GMT,213.14.18.112:80,213.66.95.206:4593,TCP (flags:APF)
FWROUTE,2001/08/05,20:39:21 +2:00 GMT,213.14.53.12:80,213.66.95.206:2806,TCP (flags:A)
FWROUTE,2001/08/05,20:39:21 +2:00 GMT,213.43.113.156:80,213.66.95.206:4062,TCP (flags:APF)
FWROUTE,2001/08/05,20:39:25 +2:00 GMT,213.43.34.244:80,213.66.95.206:2849,TCP (flags:APF)
FWROUTE,2001/08/05,20:39:26 +2:00 GMT,213.14.217.162:80,213.66.95.206:3645,TCP (flags:APF)
FWROUTE,2001/08/05,20:39:30 +2:00 GMT,213.43.104.184:80,213.66.95.206:5914,TCP (flags:AS)
FWROUTE,2001/08/05,20:39:30 +2:00 GMT,213.106.214.12:8080,213.66.95.206:1490,TCP (flags:AF)
FWROUTE,2001/08/05,20:39:34 +2:00 GMT,213.106.214.11:8080,213.66.95.206:3880,TCP (flags:AF)
FWROUTE,2001/08/05,20:39:35 +2:00 GMT,213.254.87.226:80,213.66.95.206:4193,TCP (flags:A)
FWROUTE,2001/08/05,20:39:35 +2:00 GMT,213.14.216.204:80,213.66.95.206:4151,TCP (flags:APF)
FWROUTE,2001/08/05,20:39:36 +2:00 GMT,213.254.86.159:80,213.66.95.206:4340,TCP (flags:A)
FWROUTE,2001/08/05,20:39:38 +2:00 GMT,213.43.104.184:80,213.66.95.206:3839,TCP (flags:APF)
FWROUTE,2001/08/05,20:39:39 +2:00 GMT,64.12.25.56:5190,213.66.95.206:4768,TCP (flags:AP)
FWROUTE,2001/08/05,20:39:40 +2:00 GMT,213.43.226.55:80,213.66.95.206:1713,TCP (flags:APF)
FWROUTE,2001/08/05,20:39:42 +2:00 GMT,213.14.156.118:80,213.66.95.206:4461,TCP (flags:APF)
FWROUTE,2001/08/05,20:39:42 +2:00 GMT,213.14.6.160:80,213.66.95.206:3792,TCP (flags:A)
FWROUTE,2001/08/05,20:39:43 +2:00 GMT,213.106.214.11:8080,213.66.95.206:4521,TCP (flags:AF)
FWROUTE,2001/08/05,20:39:45 +2:00 GMT,213.43.65.194:80,213.66.95.206:3468,TCP (flags:AS)
FWROUTE,2001/08/05,20:39:48 +2:00 GMT,213.43.221.95:80,213.66.95.206:3962,TCP (flags:APF)
FWROUTE,2001/08/05,20:39:49 +2:00 GMT,213.173.137.34:80,213.66.95.206:1895,TCP (flags:AF)
FWROUTE,2001/08/05,20:39:52 +2:00 GMT,213.43.201.221:80,213.66.95.206:4906,TCP (flags:APF)
FWROUTE,2001/08/05,20:39:53 +2:00 GMT,213.43.65.194:80,213.66.95.206:2950,TCP (flags:APF)
FWROUTE,2001/08/05,20:39:54 +2:00 GMT,213.66.30.245:3080,213.66.95.206:80,TCP (flags:S)
FWROUTE,2001/08/05,20:39:55 +2:00 GMT,213.14.230.77:80,213.66.95.206:4847,TCP (flags:APF)
FWROUTE,2001/08/05,20:39:57 +2:00 GMT,213.254.109.54:80,213.66.95.206:1030,TCP (flags:A)
FWROUTE,2001/08/05,20:39:57 +2:00 GMT,213.106.214.12:8080,213.66.95.206:4305,TCP (flags:AF)
FWROUTE,2001/08/05,20:39:59 +2:00 GMT,213.106.214.12:8080,213.66.95.206:3222,TCP (flags:AF)
FWROUTE,2001/08/05,20:40:00 +2:00 GMT,213.14.225.158:80,213.66.95.206:3011,TCP (flags:APF)
FWROUTE,2001/08/05,20:40:01 +2:00 GMT,213.43.71.73:80,213.66.95.206:61453,TCP (flags:AS)
FWROUTE,2001/08/05,20:40:02 +2:00 GMT,213.14.106.105:80,213.66.95.206:3174,TCP (flags:APF)
FWROUTE,2001/08/05,20:40:03 +2:00 GMT,213.43.64.22:80,213.66.95.206:4859,TCP (flags:APF)
FWROUTE,2001/08/05,20:40:04 +2:00 GMT,213.43.220.100:80,213.66.95.206:4642,TCP (flags:APF)
FWROUTE,2001/08/05,20:40:04 +2:00 GMT,213.106.214.10:8080,213.66.95.206:4719,TCP (flags:AF)
FWROUTE,2001/08/05,20:40:09 +2:00 GMT,213.43.71.73:80,213.66.95.206:4544,TCP (flags:APF)
FWROUTE,2001/08/05,20:40:09 +2:00 GMT,213.66.239.224:3176,213.66.95.206:80,TCP (flags:S)
FWROUTE,2001/08/05,20:40:11 +2:00 GMT,213.14.103.54:80,213.66.95.206:4526,TCP (flags:APF)
FWROUTE,2001/08/05,20:40:11 +2:00 GMT,213.188.192.93:80,213.66.95.206:2377,TCP (flags:APF)
FWROUTE,2001/08/05,20:40:15 +2:00 GMT,213.254.109.54:80,213.66.95.206:1030,TCP (flags:A)
FWROUTE,2001/08/05,20:40:18 +2:00 GMT,64.12.25.56:5190,213.66.95.206:4768,TCP (flags:AP)
FWROUTE,2001/08/05,20:40:20 +2:00 GMT,213.14.162.233:80,213.66.95.206:2669,TCP (flags:APF)
FWROUTE,2001/08/05,20:40:20 +2:00 GMT,213.106.214.10:8080,213.66.95.206:2464,TCP (flags:AF)
FWROUTE,2001/08/05,20:40:21 +2:00 GMT,213.173.137.34:80,213.66.95.206:1895,TCP (flags:AF)
FWROUTE,2001/08/05,20:40:21 +2:00 GMT,213.43.64.22:80,213.66.95.206:8437,TCP (flags:AS)
FWROUTE,2001/08/05,20:40:23 +2:00 GMT,213.43.214.49:80,213.66.95.206:4554,TCP (flags:APF)
FWROUTE,2001/08/05,20:40:25 +2:00 GMT,213.14.18.112:80,213.66.95.206:4593,TCP (flags:APF)
FWROUTE,2001/08/05,20:40:26 +2:00 GMT,213.43.113.156:80,213.66.95.206:4062,TCP (flags:APF)
FWROUTE,2001/08/05,20:40:30 +2:00 GMT,213.106.214.12:8080,213.66.95.206:1490,TCP (flags:AF)
FWROUTE,2001/08/05,20:40:31 +2:00 GMT,213.254.87.226:80,213.66.95.206:4193,TCP (flags:A)
FWROUTE,2001/08/05,20:40:31 +2:00 GMT,213.14.217.162:80,213.66.95.206:3645,TCP (flags:APF)
FWROUTE,2001/08/05,20:40:32 +2:00 GMT,213.254.86.159:80,213.66.95.206:4340,TCP (flags:A)
FWROUTE,2001/08/05,20:40:34 +2:00 GMT,213.106.214.11:8080,213.66.95.206:3880,TCP (flags:AF)
FWROUTE,2001/08/05,20:40:35 +2:00 GMT,213.43.104.184:80,213.66.95.206:5914,TCP (flags:AS)
FWROUTE,2001/08/05,20:40:36 +2:00 GMT,213.14.53.12:80,213.66.95.206:2806,TCP (flags:A)
FWROUTE,2001/08/05,20:40:37 +2:00 GMT,213.66.95.169:80,213.66.95.206:1923,TCP (flags:AF)
FWROUTE,2001/08/05,20:40:40 +2:00 GMT,213.14.216.204:80,213.66.95.206:4151,TCP (flags:APF)
FWROUTE,2001/08/05,20:40:41 +2:00 GMT,213.43.34.244:80,213.66.95.206:2849,TCP (flags:APF)
FWROUTE,2001/08/05,20:40:43 +2:00 GMT,213.106.214.11:8080,213.66.95.206:4521,TCP (flags:AF)
FWROUTE,2001/08/05,20:40:43 +2:00 GMT,213.43.104.184:80,213.66.95.206:3839,TCP (flags:APF)
FWROUTE,2001/08/05,20:40:46 +2:00 GMT,213.14.156.118:80,213.66.95.206:4461,TCP (flags:APF)
FWROUTE,2001/08/05,20:40:50 +2:00 GMT,213.43.65.194:80,213.66.95.206:3468,TCP (flags:AS)
FWROUTE,2001/08/05,20:40:53 +2:00 GMT,213.43.221.95:80,213.66.95.206:3962,TCP (flags:APF)
FWROUTE,2001/08/05,20:40:55 +2:00 GMT,213.43.226.55:80,213.66.95.206:1713,TCP (flags:APF)
FWROUTE,2001/08/05,20:40:57 +2:00 GMT,213.14.6.160:80,213.66.95.206:3792,TCP (flags:A)
FWROUTE,2001/08/05,20:40:57 +2:00 GMT,213.106.214.12:8080,213.66.95.206:4305,TCP (flags:AF)
FWROUTE,2001/08/05,20:40:58 +2:00 GMT,213.43.65.194:80,213.66.95.206:2950,TCP (flags:APF)
FWROUTE,2001/08/05,20:40:59 +2:00 GMT,213.106.214.12:8080,213.66.95.206:3222,TCP (flags:AF)
FWROUTE,2001/08/05,20:41:01 +2:00 GMT,213.14.230.77:80,213.66.95.206:4847,TCP (flags:APF)
FWROUTE,2001/08/05,20:41:01 +2:00 GMT,213.66.143.47:80,213.66.95.206:1579,TCP (flags:A)
FWROUTE,2001/08/05,20:41:04 +2:00 GMT,213.106.214.10:8080,213.66.95.206:4719,TCP (flags:AF)
FWROUTE,2001/08/05,20:41:05 +2:00 GMT,213.14.225.158:80,213.66.95.206:3011,TCP (flags:APF)
FWROUTE,2001/08/05,20:41:06 +2:00 GMT,213.43.71.73:80,213.66.95.206:61453,TCP (flags:AS)
FWROUTE,2001/08/05,20:41:07 +2:00 GMT,213.14.106.105:80,213.66.95.206:3174,TCP (flags:APF)
FWROUTE,2001/08/05,20:41:07 +2:00 GMT,213.43.201.221:80,213.66.95.206:4906,TCP (flags:APF)
FWROUTE,2001/08/05,20:41:09 +2:00 GMT,213.43.64.22:80,213.66.95.206:4859,TCP (flags:APF)
FWROUTE,2001/08/05,20:41:12 +2:00 GMT,213.188.192.68:0,213.66.95.206:0,ICMP (type:8/subtype:0)
FWROUTE,2001/08/05,20:41:19 +2:00 GMT,213.43.220.100:80,213.66.95.206:4642,TCP (flags:APF)
PE,2001/08/05,21:24:50 +2:00 GMT,Internet Information Services,0.0.0.0:0,N/A
PE,2001/08/05,21:25:00 +2:00 GMT,Tjänst- och styrenhetsprogram,0.0.0.0:0,N/A
PE,2001/08/05,21:25:02 +2:00 GMT,Generic Host Process for Win32 Services,0.0.0.0:0,N/A
FWIN,2001/08/05,21:25:13 +2:00 GMT,10.0.114.1:0,213.66.95.206:0,ICMP (type:3/subtype:1)
PE,2001/08/05,21:25:26 +2:00 GMT,ICQ Application,205.188.248.25:80,N/A
PE,2001/08/05,21:25:33 +2:00 GMT,ZoneAlarm,209.122.173.160:80,N/A
PE,2001/08/05,21:25:45 +2:00 GMT,ICQ Application,0.0.0.0:0,N/A
FWIN,2001/08/05,21:27:09 +2:00 GMT,213.57.159.188:3706,213.66.95.206:80,TCP (flags:S)
PE,2001/08/05,21:27:34 +2:00 GMT,CuteFTP,63.64.164.91:21,N/A
PE,2001/08/05,21:28:40 +2:00 GMT,Outlook Express,213.66.56.241:110,N/A
PE,2001/08/05,21:29:27 +2:00 GMT,CuteFTP,63.64.164.91:21,N/A
PE,2001/08/05,21:29:55 +2:00 GMT,Outlook Express,213.66.56.241:110,N/A
PE,2001/08/05,21:30:06 +2:00 GMT,CuteFTP,63.64.164.91:3000,N/A
PE,2001/08/05,22:07:59 +2:00 GMT,Internet Information Services,0.0.0.0:0,N/A
PE,2001/08/05,22:08:06 +2:00 GMT,Internet Information Services,0.0.0.0:0,N/A
PE,2001/08/05,22:08:06 +2:00 GMT,Generic Host Process for Win32 Services,0.0.0.0:0,N/A
PE,2001/08/05,22:08:07 +2:00 GMT,Internet Information Services,0.0.0.0:0,N/A
PE,2001/08/05,22:08:11 +2:00 GMT,Tjänst- och styrenhetsprogram,0.0.0.0:0,N/A
FWIN,2001/08/05,22:08:32 +2:00 GMT,10.0.114.1:0,213.66.95.206:0,ICMP (type:3/subtype:1)
PE,2001/08/05,22:08:36 +2:00 GMT,ICQ Application,205.188.248.25:80,N/A
PE,2001/08/05,22:08:42 +2:00 GMT,ZoneAlarm,209.122.173.160:80,N/A
PE,2001/08/05,22:08:51 +2:00 GMT,ICQ Application,0.0.0.0:0,N/A
FWIN,2001/08/05,22:09:47 +2:00 GMT,213.66.205.16:2385,213.66.95.206:80,TCP (flags:S)
FWIN,2001/08/05,22:09:58 +2:00 GMT,213.66.191.58:3298,213.66.95.206:80,TCP (flags:S)
FWIN,2001/08/05,22:10:49 +2:00 GMT,213.66.139.103:3138,213.66.95.206:80,TCP (flags:S)

nicclasMedlem sedan feb. 20001 050 inlägg

5 aug. 2001 22:06#2

Gissar på Code Red virus som attackerar. Inget att oroa sig för om du inte har en Microsoft IIS 4.0 webbserver på din dator...

[Redigerat av nicclas den 06 aug 2001]

kalleeMedlem sedan juli 2001143 inlägg

6 aug. 2001 10:12#3

Jag hade bara klippt ut lite från loggen, och resten av loggen står det massor om IIS? Jag använder IIS 5, kan jag har fått det ändå?

Men en sak som är konstigt det är att det bara är från telias ip nummer som kommer alltså 213.66.XXX.XXX, det är bara dessa nummer som kommer, iaf sedan igår när jag började kolla vad det var för ip nummer som försökte sig bryta in i min dator.

VetgirigMedlem sedan nov. 2000199 inlägg

6 aug. 2001 14:21#4

Code Red går på port 80 dvs IIS och
använder sig följande:

GET /default.ida?

Efter frågetecknett står en massa NNNNN eller XXXXX (nya versionen)

Du kan ju kolla om du har default.ida installerat på din dator. Ta bort det i så fall!

För en dator som blivit uppsatt på internet med fast lina tar i genomsnitt 72 timmar innan någon försöker cracka den.

------------------
Anders Lindbäck,Igiro Internet Giro

BatboyMedlem sedan jan. 20001 006 inlägg

6 aug. 2001 20:18#5

Code Red II in action http://neworder.box.sk/showme.php3?id=5434

kalleeMedlem sedan juli 2001143 inlägg

6 aug. 2001 20:40#6

Mitt norton antivirus reagerade på Explorer, men jag fattade det som att det inte kunde ta bort viruset, någon som har något förslag vad jag kan göra för att få bort det?

Vad gör viruset för något?

Jag blir snart helt jäkla crazy fall inte det där rapporterna slutar snart, är det ända sättet att bli av med det att köra om Windows?

[Redigerat av kallee den 06 aug 2001]

MuzzafarathMedlem sedan apr. 20002 487 inlägg

6 aug. 2001 20:55#7

Nej, att installera om Windows kommer inte att hjälpa.

------------------
<[MK]> "bönderna kämpar för bredband"

kalleeMedlem sedan juli 2001143 inlägg

7 aug. 2001 05:21#8

Någon som har nåt förslag på vad jag ska göra för att bli av med det?

Jag vill gärna veta vad viruset gör? förutom att skicka en massa rapporter, är det farligt att kolla sin mail mm, kollar den vad jag surfar på och så och sparar lösenord?

Försvinner det fall man installera Win 2000 Advanced Server då? Har proffesional nu.

Det som jag gärna skulle veta är vad viruset gör för något...

[Redigerat av kallee den 07 aug 2001]

nicclasMedlem sedan feb. 20001 050 inlägg

7 aug. 2001 23:26#9

Lung bara lugn. Du har ju en brandvägg som spärrar alla dina portar och rätt inställd ser den till att bara program som du godkänner kan skicka ut data från din dator, det är ju det du har brandväggen till.

Angående din fel-logg och eventuellt code-red virus: Det är rätt troligt att det var någon annars code red-infekterade dator som försökte komma åt din dator. Eftersom du inte har IIS 4.0 (utan patchar) så är det inget som helst problem. Dessutom har du ju ZA som ger extra skydda, eller hur :)

Fortsätt du andvända din dator som vanligt du...

[Redigerat av nicclas den 08 aug 2001]

kalleeMedlem sedan juli 2001143 inlägg

8 aug. 2001 15:21#10

Tack Nicclas det låter bra.

RobbanMedlem sedan dec. 19992 555 inlägg

10 aug. 2001 16:26#11

Nu har jag ingen erfarenhet av ZA:s logformat, men det verkar ju onekligen som om det är ett och samma IP (213.66.95.206) som försöker ansluta ut till diverse adresser på port 80? Skulle i så fall mycket väl kunna vara Code Red. Om anslutningsförsöken lyckades eller inte kan jag inte säga eftersom jag som sagt inte känner till hur ZA fungerar.

Code Red "smittar" f.ö. även IIS5, om den är opatchad (finns patch att ladda ner). Det är inte bara IIS4 som är drabbad. :)

------------------
Robban < robban@lipogram.com >

[Redigerat av Robban den 10 aug 2001]

frankofMedlem sedan jan. 20016 874 inlägg

15 aug. 2001 17:55#12

>kallee:
Du säger att NAV reagerar på explorer.exe?
Kolla om det ligger i roten på någon av dina hd.
Har för mig att version två av kode red droppade en fil som heter explorer.exe i roten.
Prova att byt namn på den och kolla sedan om din dator fungerar som vanligt.
Om så är fallet, ta bort filen.

/frankof

------------------
Jag ilar genom allt jag gör för att få göra något annat.

OveRRidEMedlem sedan feb. 200112 078 inlägg

2 sep. 2001 10:06#13

Frankof, du har helt rätt:

http://IpAddress/c/inetpub/scripts/root.exe?/c+dir (if root.exe was still there) or: http://IpAddress/c/winnt/system32/cmd.exe?/c+dir Where dir could be any command an attacker would want to execute.

Så arbetar Code Red II, genom tre steg; infektion, spridning och exekvering av trojanen.

Detta virus skapar med andra ord en bakdörr i systemet. Klassikt hackertyp. :)

------------------
Set myWorld = Connect.Execute("DELETE * FROM world WHERE sex = "male"")

I have comed to take what is rightfully mine. Existence in eternity. And all i need is your creditcard number. | Existence