🚀 go-pugleaf

"Tomek" <tom@wp.pl> wrote in news:dstkme$1u9$1@inews.gazeta.pl:

> Mam w sieci o adresowaniu prywatnym komputer, który sieje wirusem
> Sasser. Zdziwiony byłem, jak w połowie instalacji Windowsa XP SP1 już
> padłem jego ofiarą.

tez bym byl zdziwiony; spodziewalbym sie zarazenia w 
przynajmniej 67% czasu instajacji; ale nie w polowie;

> Jak wyczaić taki komp? Snifowanie odpada, bo mam switch cisco -
> próbowałem poprzez zalanie go pakietami (co w gównianym D-Linku
> powodowało rozgłaszanie switcha jak w hubie), ale się nie udało.

http://securityresponse.symantec.com/avcenter/venc/data/w32.sasser.worm.htm
l

Starts an FTP server on TCP port 5554. This server is used to spread the 
worm to other hosts.

The worm will ignore any of the following IP addresses:

    * 127.0.0.1
    * 10.x.x.x
    * 172.16.x.x - 172.31.x.x (inclusive)
    * 192.168.x.x
    * 169.254.x.x 

hmm; to chyba jednak nie masz sassera, bo jak widzisz on olewa siec 
lokalna; no - chyba ze masz adresy spoza powyszej rangi w sieci lokalnej;

hmm2: z opisu nie wynika, zeby sasser zmienial zrodlowy adres IP; dlaczego
wiec nie wystarczy posniffowac sobie przychodzacych pakietow na dowolnym
porcie switcha - jak widzisz sasser strzela losowo w IP, zatem o ile nie
trafi w adres IP zajety przez ktorys z Twoim komputerow, to pakiet trafi
na wszystkie poty switcha;

pzdrv;
adas;