🚀 go-pugleaf

Użytkownik "Tomek" <tom@wp.pl> napisał w wiadomości 
news:dstkme$1u9$1@inews.gazeta.pl...
> Czesc
> Mam w sieci o adresowaniu prywatnym komputer, który sieje wirusem Sasser.
> Zdziwiony byłem, jak w połowie instalacji Windowsa XP SP1 już padłem jego
> ofiarą.
> Jak wyczaić taki komp? Snifowanie odpada, bo mam switch cisco - próbowałem
> poprzez zalanie go pakietami (co w gównianym D-Linku powodowało 
> rozgłaszanie
> switcha jak w hubie), ale się nie udało.
>

Sugeruje na przyszłość instalować XP bez kabla sieciowego i internetu, 
zainstalowac Win, pozniej SP2, antywirusa i dopiero wtedy podłączać się do 
sieci.
Z tego co się orientuje SP2 wystarczy do rozwiązania problemu 

"PK" <kaczmare@wsisiz.edu.pl> wrote in message 
news:dsus0i$q86$1@portraits.wsisiz.edu.pl...

> Sugeruje na przyszłość instalować XP bez kabla sieciowego i internetu, 
> zainstalowac Win, pozniej SP2, antywirusa i dopiero wtedy podłączać się do 
> sieci.
> Z tego co się orientuje SP2 wystarczy do rozwiązania problemu

Tyle, to ja wiem :)
Ale chodzi o to, że mam sieć ok. 100 komputerów i muszę wybadać który to 
sieje (jestem za NATem,więc to musi być ktoś z mojej sieci) 

Użytkownik "Tomek" <tom@wp.pl> napisał w wiadomości
news:dsuu1q$i3j$1@inews.gazeta.pl...
| "PK" <kaczmare@wsisiz.edu.pl> wrote in message
| news:dsus0i$q86$1@portraits.wsisiz.edu.pl...
|
| > Sugeruje na przyszłość instalować XP bez kabla
sieciowego i internetu,
| > zainstalowac Win, pozniej SP2, antywirusa i dopiero
wtedy podłączać się do
| > sieci.
| > Z tego co się orientuje SP2 wystarczy do rozwiązania
problemu
|
| Tyle, to ja wiem :)
| Ale chodzi o to, że mam sieć ok. 100 komputerów i muszę
wybadać który to
| sieje (jestem za NATem,więc to musi być ktoś z mojej
sieci)

Jesli Twoj switch Cisco jest w jakis sposob zarzadzany (tzn
mozesz sie podpiac do niego konsola i cos tam "podziubac"  w
konfiguracji to sprawdz czy jest taka opcja jak "span port"
pozwoli Ci to uslyszec caly ruch w Vlanie.
A czy aby Sasser nie otwiera na komputerze jakiegos
wysokiego portu ? poszukaj opisu na www.symantec.com albo
mks.com.pl.

Pzdr
Marcin

Tomek wrote:
> Czesc
> Mam w sieci o adresowaniu prywatnym komputer, który sieje wirusem Sasser.
> Zdziwiony byłem, jak w połowie instalacji Windowsa XP SP1 już padłem jego
> ofiarą.
> Jak wyczaić taki komp? Snifowanie odpada, bo mam switch cisco - próbowałem
> poprzez zalanie go pakietami (co w gównianym D-Linku powodowało rozgłaszanie
> switcha jak w hubie), ale się nie udało.
Gak zarażony host będzie chciał połączyć się z adresem w sieci lokalnej 
to najpierw wyśle arp request. Odpal jakiegoś sniffera, który pokazuje 
pakiety arp i zobaczysz kto ma sassera.

"Tomek" <tom@wp.pl> wrote in news:dstkme$1u9$1@inews.gazeta.pl:

> Mam w sieci o adresowaniu prywatnym komputer, który sieje wirusem
> Sasser. Zdziwiony byłem, jak w połowie instalacji Windowsa XP SP1 już
> padłem jego ofiarą.

tez bym byl zdziwiony; spodziewalbym sie zarazenia w 
przynajmniej 67% czasu instajacji; ale nie w polowie;

> Jak wyczaić taki komp? Snifowanie odpada, bo mam switch cisco -
> próbowałem poprzez zalanie go pakietami (co w gównianym D-Linku
> powodowało rozgłaszanie switcha jak w hubie), ale się nie udało.

http://securityresponse.symantec.com/avcenter/venc/data/w32.sasser.worm.htm
l

Starts an FTP server on TCP port 5554. This server is used to spread the 
worm to other hosts.

The worm will ignore any of the following IP addresses:

    * 127.0.0.1
    * 10.x.x.x
    * 172.16.x.x - 172.31.x.x (inclusive)
    * 192.168.x.x
    * 169.254.x.x 

hmm; to chyba jednak nie masz sassera, bo jak widzisz on olewa siec 
lokalna; no - chyba ze masz adresy spoza powyszej rangi w sieci lokalnej;

hmm2: z opisu nie wynika, zeby sasser zmienial zrodlowy adres IP; dlaczego
wiec nie wystarczy posniffowac sobie przychodzacych pakietow na dowolnym
porcie switcha - jak widzisz sasser strzela losowo w IP, zatem o ile nie
trafi w adres IP zajety przez ktorys z Twoim komputerow, to pakiet trafi
na wszystkie poty switcha;

pzdrv;
adas;

Użytkownik "adasiek" <podolany@poczta.wp.pl> napisał w wiadomości >

The worm will ignore any of the following IP addresses:
>     * 10.x.x.x
> hmm; to chyba jednak nie masz sassera, bo jak widzisz on olewa siec
> lokalna; no - chyba ze masz adresy spoza powyszej rangi w sieci lokalnej;

Hmm to chyba wysułem pochopnie wnioski. Mam sieć 10.0.0.0 a w chwilę po
podaniu "uzyskaj adres z serwera DHCP" komp wywalił się z błędem "cośtam
lsass.exe".

Nie skanowałem go tylko format bez kabelka  :)

> Mam w sieci o adresowaniu prywatnym komputer, który sieje wirusem Sasser.
> Zdziwiony byłem, jak w połowie instalacji Windowsa XP SP1 już padłem jego
> ofiarą.

No bo kto to używa Windowsa XP...  Sam jesteś sobie winny...

Adam

"ammpp" <ammpp@poczta.fm> wrote in message 
news:ab307$43f4128b$57cff0bf$4502@news.chello.pl...

> No bo kto to używa Windowsa XP...  Sam jesteś sobie winny...


ROTFL