Gibe/Swen scannt aktiv newsgroups

Article View: ch.comp.networks

Article #336

#336

From: Benoit Panizzon
Date: Fri, 19 Sep 2003 19:30

30 lines
2217 bytes

Hallo zusammen

Ich habe eine merkw�rdige Beobachtung gemacht...

Ich betreibe ein FidoNew NNTP Gateway und dazu einen eigenen Newsserver der 
read-only ist.

Etwa zeitgleich mit dem Ausbruch des GIBE/SWEN Virus, ist pl�tzlich die Last 
auf dem Server extrem angestiegen. Es waren dutzende von aktiven NNTP 
Connections.

Kurz darauf hat eine wahre Flut vom Virenmails an p%.f%.n301.z2.fidonet.org
Adressen angefangen und mir tats�chlich im ersten Anlauf mal den Sendmail
abgeschossen. Die meisten Noden wollten das SMTP-Gateway nicht, also werden
dort die Mails mit relaying denied abgelehnt. (Zum Gl�ck, die k�nnen mit
MIME Attachements nix anfangen).

Ich hab den Newsserver nun auch f�r Lesenden Zugriff gesperrt.

Aber ich schliesse daraus, dass der Virus aktiv Newsgroups nach Adressen 
durchforstet und sich selber an diese sendet. Haben andere auch diese 
Beobachtung gemacht?

Gruss
-Benoit-

-- 
pub  1024D/FC8BEFF0
 Schl.-Fingerabdruck = 0051 BC44 3535 538C 274B  ECC2 095A B61B FC8B EFF0
Email harvesters eat this: "Automatic Blacklist" <listme@blacklist.woody.ch>

Technical Details

Message-ID: <bkflh3$8mq$1@magma.woody.ch>

Path:

arc1-ca.pugleaf.net!archiver1.google.com!news1.google.com!sn-xit-02!sn-xit-04!sn-xit-01!sn-xit-08!supernews.com!news.tele.dk!news.tele.dk!small.news.tele.dk!fu-berlin.de!news.woody.ch!not-for-mail

Show Full Headers

Complete Article Headers

X-Google-Language: GERMAN,ASCII
X-Google-Thread: 11008d,f39af1547b51d490,start
X-Google-Attributes: gid11008d,public
X-Google-Thread: fa123,f39af1547b51d490,start
X-Google-Attributes: gidfa123,public
X-Google-ArrivalTime: 2003-09-19 12:30:52 PST
Path: arc1-ca.pugleaf.net!archiver1.google.com!news1.google.com!sn-xit-02!sn-xit-04!sn-xit-01!sn-xit-08!supernews.com!news.tele.dk!news.tele.dk!small.news.tele.dk!fu-berlin.de!news.woody.ch!not-for-mail
From: "Benoit Panizzon" <usenet-12.9.2003@spam.woody.ch>
Newsgroups: ch.comp.networks,ch.admin
Subject: Gibe/Swen scannt aktiv newsgroups
Date: Fri, 19 Sep 2003 19:30:45 +0000 (UTC)
Organization: Woodys Newsserver
Lines: 30
Message-ID: <bkflh3$8mq$1@magma.woody.ch>
NNTP-Posting-Host: c-3po.woody.ch
Mime-Version: 1.0
Content-Type: text/plain; charset=ISO-8859-1
Content-Transfer-Encoding: 8bit
X-Trace: magma.woody.ch 1063999845 8922 80.238.194.134 (19 Sep 2003 19:30:45 GMT)
X-Complaints-To: usenet@magma.woody.ch
NNTP-Posting-Date: Fri, 19 Sep 2003 19:30:45 +0000 (UTC)
User-Agent: tin/1.7.1-20030907 ("Sandray") (UNIX) (Linux/2.4.22 (i686))