Z ostatniej chwilki.

[Gość: Jajaccek]

Fox News TV, podala wiadomosc o nowym wirusie-"Nimda".Podano,ze jest
grozniejszy od "Cod Red", moze miec zwiazek z atakiem w NY.Wyglada jak spam od
admina.Lepiej uwazac.

[hrabiaa]

To jakaś fundamentalistyczna franca ?

[Gość: Jajaccek]

hrabiaa napisał(a):

> To jakaś fundamentalistyczna franca ?

Nie wylapalem szczegolow.To goroca wiadomosc.Pozdr.

[Gość: stary]

MKS VIR podaje, że:
Baza wirusów - Code Red

Typ: trojan
Niszczący dyski: nie
Niszczący pliki: nie
Efekty wizualne: nie
Efekty dźwiękowe: nie


Code Red jest robakiem
wykorzystującym błąd w oprogramowaniu serwera Microsoft
IIS dla
przeprowadzania ataku typu DoS
w stosunku do rządowego serwera w USA.

Robak atakuje podatne na błąd
serwery gdzie zagnieżdża się w pamięci, a następnie
wyszukuje
kolejne serwery. Po pewnym
czasie zmienia on cel swego działania i przestaje się
rozprzestrzeniać,
zamiast tego przeprowadzając
atak typu Denial of Service (DoS) w stosunku do serwera
www1.whitehouse.gov.

Aby zabezpieczyć swój serwer
przed tym robakiem należy pobrać łatę znajdującą się
pod poniższym
adresem:


http://www.microsoft.com/technet/security/bulletin/ms01
-033.asp

Ponieważ robak nie zapisuje
się na dysku, a aktywny jest jedynie w pamięci, więc
doraźnym
środkiem jego pozbycia się
jest restart komputera, jednak dla pełnego
zabezpieczenia należy
zastosować łatę.

[Gość: Jajaccek]

Wirus "Nimda" jest polaczeniem "Red Code"i "APost".Szybko atakuje serwery
admina i Pc-cety.(Za CNN)

[Gość: Jajaccek]

"Nimda" czyli "Admin", atakuje strony intern.i poczte.

[Gość: stary]

Gość portalu: Jajaccek napisał(a):

> "Nimda" czyli "Admin", atakuje strony intern.i poczte.

Trend Micro High Risk Virus Alert - TROJ_NIMDA.A

Dear Trend Micro Customer:

TROJ_NIMDA.A is currently spreading in-the-wild. This
worm uses three modes for propagation. It spreads via
email using its own SMTP engine, via network shares, or
through servers with IIS installed using the IIS Web
Directory Traversal exploit. When spreading through
email, it typically arrives with the attachment
�readme.exe.�

TROJ_NIMDA.A is detected by pattern file #941.

For more information on TROJ_NIMDA.A please visit our Web
site at:
http://www.antivirus.com/vinfo/virusencyclo/default5.asp?
VName=TROJ_NIMDA.A


Pozdrawiam!

[Gość: stary]

19 września 2001

Co nowego ? - Nimda -
niebezpiecznie szybko się rozprzestrzenia

Nimda jest robakiem
internetowym, którego działanie polega na rozsyłaniu
się pocztą elektroniczną
oraz poprzez błędy w serwerze
IIS. Do infekcji tym robakiem wystarczy przeczytanie
wiadomości w
niezabezpieczonym programie
Microsoft Outlook lub Outlook Express.

Zwykle robak pojawia się w
komputerze ofiary w postaci listu elektronicznego o
pustej treści, bardzo
długim niezrozumiałym temacie
oraz z plikiem załącznika o nazwie readme.exe.
Korzystając z błędu
w oprogramowaniu klientów
pocztowych MS Outlook i Outlook Express, do aktywacji
robak
wymaga jedynie podglądu
(przeczytania treści) wiadmości w tych programach.
Infekcja następuje
nawet bez uruchomienia przez
użytkownika pliku załącznika.

Po aktywacji robak tworzy
własne kopie w katalogu systemu Windows w pliku
load.exe oraz
nadpisuje plik riched20.dll.
Pierwszy plik jest uruchamiany przy każdym starcie
systemu
Windows poprzez wpis w pliku
system.ini. Wpis ten ma następującą składnię:
shell=explorer.exe load.exe
-dontrunold. Natomiast plik riched20.dll jest
uruchamiany przy każdym
uruchomieniu programu otwierającego plik typu RTF.
Ponadto robak w
systemach Windows NT/2000
dołącza własny wątek do aplikacji explorer.exe, a w
systemach
Windows 9x/Me rejestruje się
jako usługa systemowa. Obie te akcje powodują, że
działalność
robaka jest niewidoczna dla
użytkownika.

Następnie robak wysyła się do
adresatów, których adresy poczty elektronicznej pobiera
z listów
znajdujących się w programie
pocztowym. Dodatkowo adresy pobierane są również z
plików z
rozszerzeniami htm i html
znajdujących się na dysku lokalnym. Tak uzyskane adresy
są wstawiane
zarówno w polu From: i To:
zatem listy z robakiem w polu nadawcy nie zawierają
pradziwego
adresu nadawcy.

Alternatywna metoda infekcji
to korzystanie z błędu w oprogramowaniu IIS zwanego
Unicode Web
Traversal, używanego również
wcześniej przez robaka BlueCode. Możliwa jest też
infekcja
poprzez wejście na odpowiednio
zmodyfikowaną przez robaka stronę na zainfekowanym
serwerze.
W tej sytuacji pobierany jest
ze strony plik z rozszerzeniem eml zawierający kopię
robaka.

Dodatkowo robak infekuje
wszystkie pliki z rozszerzeniem exe oraz nadpisuje
pliki z rozszerzeniami
eml i nws własną kopią, w
katalogach lokalnych, które są udostępnione.

Aby rozprzestrzeniać się
poprzez sieć lokalną robak zmienia wartość
następującego klucza w
rejestrze
HKLM\Software\Microsoft\Windows\CurrentVersion\Network\
LanMan[C$ ->
Z$], czego efektem jest
udostępnianie wszystkich dysków w sieci. Następnie
robak przeszukuje sieć
lokalną w poszukiwaniu
udostępnionych katalogów, starając się infekować pliki
z rozszerzeniami exe
i nadpisując pliki z
rozszerzeniami eml i nws.

Dostępne są łaty zarówno do
błędu wykorzytywanego przy uruchamianiu pliku w
programie
pocztowym jak i do infekcji
serwerów IIS, odpowiednio:


http://www.microsoft.com/technet/security/bulletin/MS01
-020.asp

http://www.microsoft.com/technet/security/bulletin/ms00
-078.asp

Usuwanie robaka Nimda

1.Odłączyć zainfekowany
komputer od sieci komputerowej aby ograniczyć
rozprzestrzenianie
się robaka

2.Przeskanować wszystkie
dyski zainfekowanego komputera oprogramowaniem mks_vir
z datą
bazy wirusów z 19
września 2001 lub nowszą. Usunąć wszystkie pliki, w
których wykryty
zostanie robak. Jeżeli
niektórych plików nie da się usunąć, gdyż są zajęte
przez system
Widnows, należy je usunąć
bądź za pomocą wersji mks_vir dla DOS lub ręcznie w
trybie
MS-DOS

3.Plik riched20.dll należy
odtworzyć z płyty instalacyjnej systemu Windows

4.Usunąć opisane powyżej
klucze rejestru powodujące udostępnianie całości dysków
zainfekowanego komputera

5.Usunąć powyżej opisany
wpis w pliku system.ini pozostawiając ciąg
shell=explorer.exe

6.zainstalować łatę do
błędów w oprogramowaniu Microsoftu (odpowiednie linki
powyżej)


Pozdrawiam :))))))

[Gość: spec]

> (...) niezabezpieczonym programie
> Microsoft Outlook lub Outlook Express.

źródło ponad połowy problemów
the Bat kosztuje 170, ale na sieci jest pełno innych, także darmowych,
programów pocztowych

[Gość: Jajaccek]

Koniecznie sciagnac latki do Outlook Express,robal dziala bez otwierania
poczty.Pozdr.

[Gość: wędzonka]

W kazdym badz razie przez tego wirusa cztery dni nie mialem dostepu do forum!!!
Pozdrawiam!

[Gość: MKK]

Gość portalu: wędzonka napisał(a):

> W kazdym badz razie przez tego wirusa cztery dni nie mialem dostepu do forum!!!
> Pozdrawiam!

To się nazywa "zalewanie robaka" ...
:)))))

[Gość: Jajaccek]

To naprawda franca.Zdazylem ostrzec firme we Wroclawiu i dziecko na domowym.Po
przekopiowaniu czesci danych na CD w piatek zalapali Nimde.Efekt 2224 dokumenty
stracone.