Server wird gescannt !!

[e@sy]

Habe festgestellt, das unser neuer Server ca alle 20 Minuten gesannt wird.

[Mon Oct  8 21:04:24 2001] [error] [client 217.80.59.197] File does not exist: /usr/local/httpd/htdocs/scripts/root.exe

[Mon Oct  8 21:04:28 2001] [error] [client 217.80.59.197] File does not exist: /usr/local/httpd/htdocs/MSADC/root.exe

[Mon Oct  8 21:04:32 2001] [error] [client 217.80.59.197] File does not exist: /usr/local/httpd/htdocs/c/winnt/system32/cmd.exe

[Mon Oct  8 21:04:36 2001] [error] [client 217.80.59.197] File does not exist: /usr/local/httpd/htdocs/d/winnt/system32/cmd.exe

[Mon Oct  8 21:04:41 2001] [error] [client 217.80.59.197] File does not exist: /usr/local/httpd/htdocs/scripts/..%5c../winnt/system32/cmd.exe

[Mon Oct  8 21:04:45 2001] [error] [client 217.80.59.197] File does not exist: /usr/local/httpd/htdocs/_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe

[Mon Oct  8 21:04:49 2001] [error] [client 217.80.59.197] File does not exist: /usr/local/httpd/htdocs/_mem_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe

[Mon Oct  8 21:04:52 2001] [error] [client 217.80.59.197] File does not exist: /usr/local/httpd/htdocs/msadc/..%5c../..%5c../..%5c/..Á../..Á../..Á../winnt/system32/cmd.exe

[Mon Oct  8 21:04:56 2001] [error] [client 217.80.59.197] File does not exist: /usr/local/httpd/htdocs/scripts/..Á../winnt/system32/cmd.exe

[Mon Oct  8 21:05:04 2001] [error] [client 217.80.59.197] File does not exist: /usr/local/httpd/htdocs/scripts/..À¯../winnt/system32/cmd.exe

[Mon Oct  8 21:05:08 2001] [error] [client 217.80.59.197] File does not exist: /usr/local/httpd/htdocs/scripts/..Áœ../winnt/system32/cmd.exe

[Mon Oct  8 21:05:19 2001] [error] [client 217.80.59.197] File does not exist: /usr/local/httpd/htdocs/scripts/..%5c../winnt/system32/cmd.exe

[Mon Oct  8 21:05:23 2001] [error] [client 217.80.59.197] File does not exist: /usr/local/httpd/htdocs/scripts/..%2f../winnt/system32/cmd.exe

  [/code]


Er sucht und findet nicht, weil das kein NT-Server ist. was mich nur stört, das das jedesmal in die error-log eingetragen wird.

[BigMac]

Bei uns in der Firma haben wir das selbe Problem... irgendwer scannt unsere Server nach dem selben Verfahren.. aber auch wir haben nur UNIX Server

Anyway... ich glaube unsere Systemadministration geht dem schon nach...

[e@sy]

Wäre schön davon mehr zu hören

[BigMac]

Jo,.. ich werd gleich morgen nochmal fragen ob wir dem Ganzen schon irgendwie strafrechtlich oder so nachgegangen sind.

Und ich schau auch nochmal ein paar error-logs bei uns durch.

Habt ihr jetzt eigentlich euren eigenen Server für fachinformatiker.de?

[Wolle]

<BLOCKQUOTE><font size="1" face="Verdana, Arial, Helvetica, sans-serif">Zitat:</font><HR>Original erstellt von BigMac:

<STRONG>irgendwer scannt unsere Server nach dem selben Verfahren.. </STRONG>

[e@sy]

<BLOCKQUOTE><font size="1" face="Verdana, Arial, Helvetica, sans-serif">Zitat:</font><HR>Original erstellt von BigMac:

<STRONG>

Habt ihr jetzt eigentlich euren eigenen Server für fachinformatiker.de?</STRONG>

Noch nicht ganz, ist zwar ein Server aber noch nicht der von Fachinformatiker.de

[Crush]

Also ich glaube, daß könnte auch einer von den Ad-Spammer sein. Bei mir versuchen regelmäßig ein paar Asiaten (Name des Netzes habe ich mir leider nicht gemerkt, vielleicht beim Nächsten mal, weil ich zwischenzeitlich die Firewall aus technischen Gründen runterfahren mußte) meine IP zu scannen (obwohl ich über T-Online DSL ja DynamIP habe). Ich vermute, die haben sowas wie einen Web-Bot laufen, der ständig alle IPs durchrappelt und die MAC-Adresse rausfinden will, ob irgendwo ein bestimmter Connect an der selben Adresse gefunden wird. Wird der gefunden, wird wohl entweder direkt gespammt oder die IP weiterverkauft. Aber grundsätzlich könnte auch ein Wurm oder Virus dahinterstecken. Auf jeden Fall ein WhoIs hat mich nach Taiwan geführt und da sieht´s mit rechtlichen Schritten wohl ziemlich düster aus.

[Alrik Fassbauer]

<BLOCKQUOTE><font size="1" face="Verdana, Arial, Helvetica, sans-serif">Zitat:</font><HR>Original erstellt von Wolle:

<STRONG>

"Irgendwer" dürfte entweder CodeRed oder Nimda sein.

</STRONG>

[Crush]

Öhhhh. Ich wüßte nicht, wer in Taiwan meine Adresse hätte. Ich dachte Nimda geht auch die Mail-Liste durch, oder täusche ich mich da? Ist ja auch egal. Wie klinkt sich Nimda eigentlich genau ein. Finde ich ein verstecktes TSR oder eine seltsame DLL? Ich dachte Nimda war sowas wie ein E-Mail-Virus, den man erstmal aufmachen muß. Welche Viruskiller erkennen eigentlich Nimda? Ich habe McAffee Virusshield, AntiVir-AVGuard9x und noch den komischen Ontrack Antivirus mit neuesten Updates (1-2 Tage alt) aber keiner findet was oder meldet sich. Haben die noch kein Signal für Nimda?

[Wolle]

<BLOCKQUOTE><font size="1" face="Verdana, Arial, Helvetica, sans-serif">Zitat:</font><HR>Original erstellt von Crush:

<STRONG>Ich dachte Nimda geht auch die Mail-Liste durch, oder täusche ich mich da? Ist ja auch egal. Wie klinkt sich Nimda eigentlich genau ein. </STRONG>