BugTraq.Ru: форум / hacking / От этой фигни пострадали около 100-ни компутеров, на всех...

информационная безопасность
без паники и всерьез

подробно о проекте

Анализ криптографических сетевых...

Модель надежности двухузлового...

Специальные марковские модели надежности...

Очередное исследование 19 миллиардов...

Оптимизация ввода-вывода как инструмент...

Зловреды выбирают Lisp и Delphi

bugtraq.ru / форум / hacking

Имя

Пароль

если вы видите этот текст, отключите в настройках форума использование JavaScript


ФОРУМ


	все доски
	FAQ
	IRC
	новые сообщения

	site updates
	guestbook
	beginners
	sysadmin
	programming
	operating systems
	theory
	web building
	software
	hardware
	networking
	law
	hacking
gadgets
job
dnet
humor
miscellaneous
scrap

регистрация

Легенда:

новое сообщение

закрытая нитка

новое сообщение

в закрытой нитке

старое сообщение

Напоминаю, что масса вопросов по функционированию форума снимается после прочтения его описания.
Новичкам также крайне полезно ознакомиться с данным документом.

От этой фигни пострадали около 100-ни компутеров, на всех... 01.12.05 10:08 Число просмотров: 4844
Автор: dron <Ivanov Andrey> Статус: Member

<"чистая" ссылка>

> > Как когда-то при сассерах и бластерах, выскакивает
> > сообщение что системное приложение
> > C:\winnt\system32\services.exe было закрыто всвязи с
> этим
> > компутер перегрузится.... nt authority system код 128
> >
> > Патчи от бластера и сассера стоят. Отключение сетевого
> > интерфейса - решает проблему, самого вирусника на
> > компутерах вроде как нет, т.еть получается что енто -
> > удаленная атака. Валятся тока 2000-е, установка всех
> > последних патчей вроде как помогает..... Что ж енто
> такое
> > ?? после сассера вроде как ничего не было слышно о
> > подобных вещах....
>
> да интересная штука первый развижу чтобы слетал сервис
> менеджер
> какая OS только точьно !!! в мести с билдом и lang ???

От этой фигни пострадали около 100-ни компутеров, на всех стоят 2000-е (xp не перегружались, в том числе и без 2-го сервис пака))

Вот конфигурация одного из них:
2000-е русские винды (professional) (билд 5.00.2195) с 4-м сервис паком + заплатки от бластера и сассера

Английские винды также пострадали.

Вот список патчей после которых компы перестали ребутиться:
2004_10_Windows2000-KB840987-x86-ENU.EXE
2005_02_Windows2000-KB842773-x86-ENU.EXE
2005_04_Windows2000-KB890859-x86-ENU.EXE
2005_05_Windows2000-KB894320-x86-ENU.EXE
2005_06_Windows2000-KB890046-x86-ENU.EXE
2005_06_Windows2000-KB893066-v2-x86-ENU.EXE
2005_06_Windows2000-KB896358-x86-ENU.EXE
2005_06_Windows2000-KB896422-x86-ENU.EXE
2005_07_Windows2000-KB885834-x86-ENU.EXE
2005_07_Windows2000-KB901214-x86-ENU.EXE
2005_08_Windows2000-KB893756-X86-ENU.EXE
2005_08_Windows2000-KB896423-X86-ENU.EXE
2005_08_Windows2000-KB899587-X86-ENU.EXE
2005_08_Windows2000-KB899588-x86-ENU.EXE
2005_08_Windows2000-KB899591-X86-ENU.EXE
2005_09_Windows2000-KB891861-v2-x86-ENU-R1.EXE
2005_10_Windows2000-KB899589-x86-ENU.EXE
2005_10_Windows2000-KB900725-x86-ENU.EXE
2005_10_Windows2000-KB901017-x86-ENU.EXE
2005_10_Windows2000-KB902400-x86-ENU.EXE
2005_10_Windows2000-KB905414-x86-ENU.EXE
2005_10_Windows2000-KB905749-x86-ENU.EXE
2005_11_Windows2000-KB896424-x86-ENU.EXE

Сейчас лажу по микрософту, сравниваю уязвимости, которые енти патчи закрывают, с тем что произошло, пока ничего стопроцентно похожего не нашел....

Порт через который происходит атак пока тоже не ясен...

Очередная уязвимость windows??? 30.11.05 15:28
Автор: dron <Ivanov Andrey> Статус: Member

<"чистая" ссылка>

Как когда-то при сассерах и бластерах, выскакивает сообщение что системное приложение
C:\winnt\system32\services.exe было закрыто всвязи с этим компутер перегрузится.... nt authority system код 128

Патчи от бластера и сассера стоят. Отключение сетевого интерфейса - решает проблему, самого вирусника на компутерах вроде как нет, т.еть получается что енто - удаленная атака. Валятся тока 2000-е, установка всех последних патчей вроде как помогает..... Что ж енто такое ?? после сассера вроде как ничего не было слышно о подобных вещах....

да интересная штука первый развижу чтобы слетал сервис... 01.12.05 00:35
Автор: Tamas Статус: Member

<"чистая" ссылка>

> Как когда-то при сассерах и бластерах, выскакивает
> сообщение что системное приложение
> C:\winnt\system32\services.exe было закрыто всвязи с этим
> компутер перегрузится.... nt authority system код 128
>
> Патчи от бластера и сассера стоят. Отключение сетевого
> интерфейса - решает проблему, самого вирусника на
> компутерах вроде как нет, т.еть получается что енто -
> удаленная атака. Валятся тока 2000-е, установка всех
> последних патчей вроде как помогает..... Что ж енто такое
> ?? после сассера вроде как ничего не было слышно о
> подобных вещах....

да интересная штука первый развижу чтобы слетал сервис менеджер
какая OS только точьно !!! в мести с билдом и lang ???

От этой фигни пострадали около 100-ни компутеров, на всех... 01.12.05 10:08
Автор: dron <Ivanov Andrey> Статус: Member

<"чистая" ссылка>

(1/2) Как то бедненько выглядит список патчей. СУС(ВСУС) установлен? при более 100 рм ИМХО необходимость. 01.12.05 10:25
Автор: Garick <Yuriy> Статус: Elderman

<"чистая" ссылка>

Дык указан список патчей котрый решил проблему, теперь вот... 01.12.05 10:44
Автор: dron <Ivanov Andrey> Статус: Member

<"чистая" ссылка>

Дык указан список патчей котрый решил проблему, теперь вот пытаюсь понять какой именно из патчей решил проблему, чтоб хотяб примерно въехать что енто за уязвимость, потому как в инете на тему червяка, из-за которого падает services.exe, я чегой-то ничего не нашел -((
СУС - это что??

СУС=WSUS 01.12.05 10:55
Автор: DamNet <Denis Amelin> Статус: Elderman

<"чистая" ссылка>

> Дык указан список патчей котрый решил проблему, теперь вот
> пытаюсь понять какой именно из патчей решил проблему, чтоб
> хотяб примерно въехать что енто за уязвимость, потому как в
> инете на тему червяка, из-за которого падает services.exe,
> я чегой-то ничего не нашел -((
> СУС - это что??
СУС=WSUS
Windows System Update Service

http://www.microsoft.com/windowsserversystem/updateservices/downloads/WSUS.mspx

(офф)"СУС=WSUS" - почти. Первый имхо проще в установке и настройке, но жрет много трафика в начале, второй сложнее и соотв гибче. 01.12.05 11:09
Автор: Garick <Yuriy> Статус: Elderman

<"чистая" ссылка>

ИМХО, СУС через полгода перестанут поддерживать. Для чего ВСУС и был сделан -- для замены 02.12.05 10:26
Автор: kr214 Статус: Незарегистрированный пользователь

<"чистая" ссылка>

Линк на МС с подтверждением? или только ИМХО?:-) Мое имхо - будут потдерживать (хотя бы давать качать обновления) пока "живой" в2к3 сервер. 02.12.05 12:42
Автор: Garick <Yuriy> Статус: Elderman

<"чистая" ссылка>

понял -)) 01.12.05 12:11
Автор: dron <Ivanov Andrey> Статус: Member

<"чистая" ссылка>

Ента штуковина давно стоит, вот тока на нее мало кто нацелен был -((. Щас проводим мероприятия по подключению рм к ентому серваку.....

Но вот тока главный вопрос завис в воздухе: что ж енто за червяк такой ???

вроде есть нечто похожее 01.12.05 13:02
Автор: dron <Ivanov Andrey> Статус: Member

<"чистая" ссылка>

> Ента штуковина давно стоит, вот тока на нее мало кто
> нацелен был -((. Щас проводим мероприятия по подключению рм
> к ентому серваку.....
>
> Но вот тока главный вопрос завис в воздухе: что ж енто за
> червяк такой ???
По ходу была использована данная уязвимость:
http://www.microsoft.com/technet/security/bulletin/ms05-039.mspx

Там как раз говориться что для атаки на xp с 1-м сервис паком надо быть аутентифицированным юзером, а на 2-й сервис пак типа тока локально возможно... Зато 2000-е может завалить кто угодно. Plug and play как раз завязан на services.exe. Тока вот пока не нашел червяка используещего данную уязвимость...

Этож Zotob 01.12.05 15:10
Автор: :-) <:-)> Статус: Elderman

<"чистая" ссылка>

W32.Zotob.E

Угу!!! их там оказывается масса: 01.12.05 16:11
Автор: dron <Ivanov Andrey> Статус: Member

<"чистая" ссылка>

Угу!!! их там оказывается масса:

http://www.kaspersky.ru/find?words=plug+and+play&search=1&x=5&y=5

Он по ходу не так сильно известен как сассер и бластер, потому как по ним инфа повсюду, а поэтому пришлось блин покпоться прежде чем понять чтож это было!!

2dron: не пугайтесь большим обьемом начального трафика СУС (3.5 г на 1/12/05), его можно быстро и просто "прикурить" с уже "прокачанного" СУСа. ВСУС также можно, но у меня не получилось. Да и СУС можно не на сервер ОС ставить (после крака). 01.12.05 11:24
Автор: Garick <Yuriy> Статус: Elderman

<"чистая" ссылка>

и багов больше =( 01.12.05 11:14
Автор: DamNet <Denis Amelin> Статус: Elderman

<"чистая" ссылка>

А ОС какая? для 2к поставьте СП4 rollpack (почти все обновления после СП4) 30.11.05 19:45
Автор: Garick <Yuriy> Статус: Elderman

<"чистая" ссылка>

Появился червь с теми же глюками как и при сасере. 30.11.05 18:58
Автор: NakeD Статус: Незарегистрированный пользователь

<"чистая" ссылка>

Появился червь с теми же глюками как и при сасере.
лечиться сп2 на хп

Глюк пожалуй отличается тока тем что критически завершаецца... 30.11.05 20:01
Автор: dron <Ivanov Andrey> Статус: Member

<"чистая" ссылка>

> Появился червь с теми же глюками как и при сасере.
> лечиться сп2 на хп

Глюк пожалуй отличается тока тем что критически завершаецца не lsass.exe а services.exe

А где хоть какая-то инфа по ентому червю ???

установка всех последних критических обновлений конечно помогает, но хочется понять с чем имеешь дело...

Page build time: 0 s

Design: Vadim Derkach