View Full Version : Codice Rosso Virus:avete letto?
Schummacherr
25-01-2003, 15:55
avete letto questa?
oggi c'è stato un attacco a tutto il mondo..
http://www.corriere.it/Primo_Piano/Scienze_e_Tecnologie/virus.shtml
Leggo ora.
Un attacco in grande stile:( ed, effettivamente, c'é un notevole rallentamento del traffico sulla Rete.
Spero proprio che la situazione torni alla normalità il prima possibile.
Schummacherr
25-01-2003, 16:13
Originally posted by "Pola"
Leggo ora.
Un attacco in grande stile:( ed, effettivamente, c'é un notevole rallentamento del traffico sulla Rete.
Spero proprio che la situazione torni alla normalità il prima possibile.
i server irc italiani,vedi Azzurra hanno splittato una 20ina di volte oggi ma sembrano ristabilizzati..
i server di Medal of honor ne hanno risentito molto..almeno quelli su cui ho giocato oggi pomeriggio ke solitamente non laggavano...
quindi credo ke ki abbia attaccato abbia avuto un "discreto successo"..
Mezz'ora fa, non riuscivo a collegarmi al Forum mentre ero nella Home Page di HWU così come agli altri miei preferiti.
Forse mi é sfuggito, ma nell'articolo non ho letto se hanno scoperto chi sono gli autori di questa "impresa" oppure da dove é provenuta ... :cool:
Schummacherr
25-01-2003, 16:27
Originally posted by "Pola"
Mezz'ora fa, non riuscivo a collegarmi al Forum mentre ero nella Home Page di HWU così come agli altri miei preferiti.
Forse mi é sfuggito, ma nell'articolo non ho letto se hanno scoperto chi sono gli autori di questa "impresa" oppure da dove é provenuta ... :cool:
non credo l'abbiano scoperto...cmq qui c'è un altro link...
http://news.zdnet.co.uk/story/0,,t269-s2099780,00.html
ehm..ho dato la notizia qualche post + sotto :D :D
Schummacherr
25-01-2003, 16:50
Originally posted by "eraser"
ehm..ho dato la notizia qualche post + sotto :D :D
azz.. :( sorry..è ke io avevo postato in discussioni generali poi è stato spost..nn avevo visto.. ;)
non ti preoccupare ;)
cmq per info maggiori sul virus ecco il link al mio post
http://forum.hwupgrade.it/viewtopic.php?t=385659
Ciao
Eraser ;)
Ce ne siamo accorti tutti, oggi, quando abbiamo tentato di navigare nel Web: un massiccio attacco DDoS ha creato enormi difficoltà sulla Rete mondiale.
Il responsabile di questo marasma è stato identificato nel W32/SQLSlammer detto anche W32.SQLExp.Worm che é in grado di disattivare i server Microsoft SQL.
Il virus, purtroppo, crea un elevatissimo traffico sulla porta 1434 UDP e continua la sua marcia attraverso i server SQL : questo traffico anomalo ha la capacità di compromettere tutti i sistemi gestiti dal server attaccato, rendendoli irraggiungibili.
Ecco la prima pagina della CNN (sperando che funzioni):
http://www.cnn.com/2003/TECH/internet/01/25/internet.attack.ap/index.html
http://securityresponse.symantec.com/avcenter/venc/data/w32.sqlexp.worm.html
CNN Italia
http://www.cnnitalia.it/2003/MONDO/01/25/1513virus/index.html
confermo e guardando il disassemblato sembra pure un worm molto semplice :rolleyes: :rolleyes: e ha combinato un casino bestiale :eek:
Ops, neanch'io l'avevo letto ...
A questo punto, Eraser, potresti fare copia-incolla del tuo post qui così il tuo lo chiudo e metto in rilievo questo sperando che Bilancino sia d'accordo. ;)
Che ne dici?
In questo momento i server di no-ip.com sono sotto attacco ddos:
No-IP.com Network status update:
The Level(3) network, as well as many other internet providers are currently under a distributed denial of service (DDOS) attack based on a MS SQL exploit. The Level(3) network engineers are currently focusing all efforts on this issue. We will keep you posted as to the status of this issue.
Currently web redirects and access to the No-IP website is affected. Update clients will most likely receive a connection failed warning.
DNS resolution is available via our remote site as well as the spooling of mail.
There is now an article posted on slashdot.org regarding this issue. Here is the posting:
"Since about midnight EST almost every host on the internet has been receiving a 376 byte UDP payload on port ms-sql-m (1434) from a random infected server. Reports of some hosts receiving 10 per minute or more. internetpulse.net is reporting UUNet and Internap are being hit very hard. This is the cause of major connectivity problems being experienced worldwide. It is believed this worm leverages a vulnerability published in June 2002. Several core routers have taken to blocking port 1434 outright. If you run Microsoft SQL Server, make sure the public internet can't access it. If you manage a gateway, consider dropping UDP packets sent to port 1434." bani adds "This has effectively disabled 5 of the 13 root nameservers."
Last updated: Jan 25, 04:51 PDT
causa questo virus
W32.SQLExp.Worm is a worm that targets servers running Microsoft SQL. Since this worm exists only in memory, it cannot be detected by traditional antivirus scanners. As a result, Symantec Security Response will not be posting virus definitions for this threat.
The worm sends 376 bytes to 1434/udp - the SQL Server Resolution Service Port. Beginning at 5:31am GMT, we started to see a significant increase in the unique number of source IPs scanning for 1434/udp. Symantec Security Response highly recommends all MS-SQL server system administrators to audit their machines for known security vulnerabilities immediately.
Symantec Security Response also recommends configuring perimeter devices to block 1434/udp traffic from untrusted hosts.
The worm has the unintended payload of performing a Denial of Service due to the large number of packets it sends out.
fonti: 1 (http://www.forumfree.net/index.php?s=8ec247ec544f4f8fedf0ad27340b4d28&act=ST&f=4580&t=50913) 2 (www.symantec.com) 3 (www.no-ip.com)
Ciao
Eraser :cool:
Schummacherr
25-01-2003, 17:01
siccome adesso no ho tempo di leggere tutti e i link...
eraser sai per caso se hanno capito ki è stato o da dove è partito precisamente? (in asia ok,ma dove? :D)
no sinceramente non lo so...sto vedendo meglio
Ciao
Eraser :cool:
Originally posted by "Pola"
Uno SMACK ad Eraser. ;)
grazie mille ma non ho fatto granché ;)
Ciao
Eraser :cool:
Bilancino
25-01-2003, 17:09
Ho notato il rallentamento e questa mattina stranamente il mio fido Kerio all'improvviso sotto un attacco si è chiuso da solo senza che navigavo ero semplicemente in linea........ :eek: e ho avuto problemi di navigazione.
Ciao
francesco25
25-01-2003, 17:42
Originally posted by "Schummacherr"
i server irc italiani,vedi Azzurra hanno splittato una 20ina di volte oggi ma sembrano ristabilizzati..
ho visto :muro: !
Originally posted by "Schummacherr"
i server di Medal of honor ne hanno risentito molto..almeno quelli su cui ho giocato oggi pomeriggio ke solitamente non laggavano...
ho visto pure quello e domani c'è l 'allenamento con il clan :muro: :muro:
Schummacherr
25-01-2003, 20:26
Originally posted by "francesco25"
ho visto :muro: !
ho visto pure quello e domani c'è l 'allenamento con il clan :muro: :muro:ù
eheh anke io ho visto tutti e due ;)
purtroppo a me nessun clan mi c*aga anke se sono abbastanza forte :cry: :D
Altre info qui:
http://www.sophos.com/virusinfo/articles/slowinternet.html
Da ieri, molti Firewall riscontrano attività alla porta 1434: purtroppo, si prevede che i popup di allarme continueranno per almeno ancora due giorni.
Strano...ho provato ad "infettarmi" stamane...ho messo sul al volo un server SQL non patchandolo e dopo pochi minuti la connessione ha cominciato a zoppicare tremendamente.....e dalla porta 1434 è cominciato ad uscire un gran mole di bytes (ovviamente a quel punto mi ero opportunamente isolato da Internet ;) )...tuttavia avevo letto che il worm generava un traffico enorme (anche 80Mb/sec) e invece mi è sembrato molto ridotto...inoltre mi è bastato stoppare SqlServer e tutto è tornato alla normalità...mentre avevo letto che era necessario un reset hw....boh se vi capitasse provate a fare così ora tutto tace su sto server
francesco25
26-01-2003, 21:36
Originally posted by "Schummacherr"
ù
purtroppo a me nessun clan mi c*aga anke se sono abbastanza forte :cry: :D
contattami in PVT ;)
il virus sembra sia partito dalla corea del sud
Ciao
Eraser :cool:
Ieri ha colpito bloccando i server delle poste.
Una cosa non me la spiego: se la vulnerabilità sfuttata era già riconosciuta e patchata da MS sono stati i gestori dei server ad ignorare gli aggiornamenti o l'attacco così massivo da renderli inutili?
Bilancino
29-01-2003, 08:16
E' proprio così non si installa la patch sarebbe il caso di assumere personale qualificato adetto solamente alla sicurezza dei pc ma si preferisce risparmiare o assumere altre figure "professionali" o spacciate per tali........
Ciao
diabolik@NET
29-01-2003, 09:20
stamattina è uscito questo articolo sul sito microsoft...
dategli un occhiata.. (un pò in ritardo ma meglio di niente.-!)
Customer Update on the "Slammer" Attack
Worm Targets Systems Running Microsoft SQL Server 2000, MSDE 2000
January 28, 2003
Get the Update
Technical Bulletin
and Update
Download
Related Resources
Microsoft Statement on the "Slammer" Worm Attack
Microsoft Baseline Security Analyzer
SQL Server 2000 Service Pack 3
Note Typical home users' computers are not affected.
On the evening of Friday, January 24, Microsoft became aware of an Internet attack that was causing a dramatic increase in network traffic worldwide. Microsoft immediately began investigating the situation and learned that a worm, called "Slammer" or "Sapphire," was targeting computers running Microsoft® SQL Server™ 2000 and MSDE 2000 systems.
Microsoft was quickly able to determine that the attack was targeting a previously identified issue for which security updates had previously been made available, and that the attack was not causing data corruption on affected systems.
The release of this worm is a criminal act, and the company is working with law-enforcement authorities to the fullest extent possible.
About Slammer
Slammer is an Internet worm targeting unpatched SQL Server and MSDE systems, resulting in a high volume of network traffic on the Internet.
The vulnerability that is exploited by this worm was first corrected by a Microsoft security patch in July 2002 and in subsequent cumulative patches, most recently in October 2002. These updates were also included in the recently released SQL Server 2000 Service Pack 3 (SP3) and MSDE 2000 Service Pack 3 (SP3). While systems that have installed any of these security patches are protected, Microsoft strongly recommends customers immediately take these steps:
Read the technical details and follow the instructions for installing the update on the PSS Security Response Team alert about Slammer.
Begin evaluation and deployment of SQL Server 2000 SP3 or MSDE 2000 SP3 as appropriate.
Get Answers or Product Support
Since the release of this worm, Microsoft has worked around the clock to pull together the information and resources necessary to ensure that customers are able to protect their affected systems. If you have any ongoing issues, please:
Visit the Microsoft Security site, where we'll keep you up-to-date on the latest news from Microsoft on this issue.
Call the toll-free Microsoft antivirus hotline at (866) PC-SAFETY to get your antivirus questions answered, or contact your antivirus vendor.
Contact Microsoft Product Support. We have extra staff on hand to assist customers. Our support for virus-related issues is always free.
Get info and support from peers in the SQL Server security newsgroup on TechNet.
We understand that this worm has caused business disruption, and we are committed to help our customers make sure that their networks are as secure as possible.
oppure.. forum.net-security.it --> sez. Virus
Scusate la mia ignoranza visto ke ho notato ke la mia connessione è peggiorata e di molto per sapere se ho il virus basta l'antivirus??
Kiedo perkè ho sentito ke bisogna installare una patch è vero?
grazie a tutti e complimenti per l'ottimo lavoro ke fate ogni giorno ciao ciao
diabolik@NET
29-01-2003, 12:53
Scusate la mia ignoranza visto ke ho notato ke la mia connessione è peggiorata e di molto per sapere se ho il virus basta l'antivirus??
Kiedo perkè ho sentito ke bisogna installare una patch è vero?
grazie a tutti e complimenti per l'ottimo lavoro ke fate ogni giorno ciao ciao
Hai installato SQL Server 2000 ???
se non ce l'hai il virus non ti può attaccare.. e non devi preoccuparti..
se si ti consiglio di scaricare la patch..
ciao.
ziobystek
29-01-2003, 13:39
ki non ha SQL 2000 non deve preokkuparsi. ki lo usa o gestisce server deve premunirsi di:
- staccare il PC dalla rete
- far girare un fix NAI (stinger) o Symantec per stoppare il processo di SQL incartato
- aggiornare al Sp3 di SQL 2000
- riavviare il server
la semplice installazione del Sp3 di SQL2000 elimina questo bug. non è un vero e proprio virus, ma piu ke altro una stringa di codice che utilizzando una vulnerabilità della SSNETLIB.DLL, riesce replicarsi sulla porta 1434 UDP ed a creare un traffico enorme. Non infetta altri file di sistema. Se avete la SSNETLIB.DLL alla versione 2000.80.760.0 state tranquilli, il worm non attakka.
Non avendo idea di cosa sia sql server 2000 immagino di non averlo giusto :)
Grazie ancora ciao a tutti
ziobystek
29-01-2003, 18:07
se non hai speso qualke milionata per comprarti la licenza direi ke non lo hai! :D
Originally posted by "Bilancino"
E' proprio così non si installa la patch sarebbe il caso di assumere personale qualificato adetto solamente alla sicurezza dei pc ma si preferisce risparmiare o assumere altre figure "professionali" o spacciate per tali........
Ciao
Come pensavo...un worm che ha messo a soqquadro i server di mezzo mondo, che ha fatto parlare di sè i telegiornali e tutto perchè i megaingegneri che sono addetti alla gestione dei server non si scaricano un SP!
:D :D :D
Bilancino
29-01-2003, 19:47
Originally posted by "Zip80"
perchè i megaingegneri che sono addetti alla gestione dei server non si scaricano un SP!
:D :D :D
La verità che i megaingegneri non ci sono perchè non li vogliono pagare come gli sarebbe dovuto e questo è il risultato........
Ciao
vBulletin® v3.6.4, Copyright ©2000-2025, Jelsoft Enterprises Ltd.