Jak znaleźć/zablokować robala?

Article View: pl.comp.security

Article #64445

#64445

From: Don Piotr
Date: Sun, 05 Sep 2010 06:15

20 lines
2315 bytes

Witam

Mam pod opieką sieć komputerową. Ostatnio konfigurując serwer poczty
okazało się (dzięki http://cbl.abuseat.org/) że mam trojana Cutwail na
którymś z komputerów. Z jednej strony numer komputerów jest
wystarczająco duży aby sprawdzić wszystkie a pozatym są rozsiane po
całym budynku (tak że napewno bym stracił kilka kilo co jest
niepożądane), poza tym od czasu do czasu gościmy różne osoby, które
podłanczają własne laptopy do sieci. Niestety niemogę zablokować portu
25 ponieważ wszystkie biura używają różnych serwerów pocztowych
zewnątrznych.

Pytanie: Można jakoś się dowiedzieć z kąd Cutwail rozsyła spam?
Sieć jest podłączona przez Cisco asa 5505 do Internetu. Może by można
było by go wysledzić kierując cały ruch na port 25 poprzez jeden
serwer z Linuxem i tam ustawić jakoś iptables?

Za odpowiedzi z góry dziekuję.

Piotr

Technical Details

Message-ID: <2aa6de00-225f-400a-be1b-274fab99700c@l20g2000yqe.googlegroups.com>

Path:

mbox-mo1.pugleaf.net!news-archive.icm.edu.pl!news.icm.edu.pl!plix.pl!newsfeed1.plix.pl!newsfeed00.sul.t-online.de!t-online.de!border2.nntp.dca.giganews.com!nntp.giganews.com!npeer01.iad.highwinds-media.com!news.highwinds-media.com!feed-me.highwinds-media.com!nx01.iad01.newshosting.com!newshosting.com!newsfeed.neostrada.pl!unt-exc-01.news.neostrada.pl!news.underley.eu.org!moderators!marcinw

Show Full Headers

Complete Article Headers

Path: mbox-mo1.pugleaf.net!news-archive.icm.edu.pl!news.icm.edu.pl!plix.pl!newsfeed1.plix.pl!newsfeed00.sul.t-online.de!t-online.de!border2.nntp.dca.giganews.com!nntp.giganews.com!npeer01.iad.highwinds-media.com!news.highwinds-media.com!feed-me.highwinds-media.com!nx01.iad01.newshosting.com!newshosting.com!newsfeed.neostrada.pl!unt-exc-01.news.neostrada.pl!news.underley.eu.org!moderators!marcinw
From: Don Piotr <don.piotr@yahoo.it>
Newsgroups: pl.comp.security
Subject: Jak znaleźć/zablokować robala?
Date: Sat, 4 Sep 2010 23:15:15 -0700 (PDT)
Organization: http://groups.google.com
Lines: 20
Message-ID: <2aa6de00-225f-400a-be1b-274fab99700c@l20g2000yqe.googlegroups.com>
NNTP-Posting-Host: ghostwheel.underley.eu.org
Mime-Version: 1.0
X-Trace: posting.google.com 1283667315 19934 127.0.0.1 (5 Sep 2010 06:15:15 GMT)
X-Complaints-To: groups-abuse@google.com
NNTP-Posting-Date: Sun, 5 Sep 2010 06:15:15 +0000 (UTC)
Injection-Info: l20g2000yqe.googlegroups.com; posting-host=212.179.161.202; posting-account=X_jZ-woAAABeV7zFdaSL9-J9d1ntPDK5
User-Agent: G2/1.0
X-Moder-Tool: ModerGate.pl v3.0 (c) 2008 Daniel Podlejski
X-Orig-NNTP-Posting-Host: 212.179.161.202
X-Orig-Newsgroups: pl.comp.security
Approved: marcinw.pcs@gmail.com
X-Post-Key: c501ffa41408643f70734d3a5ef0b5be
X-Original-Lines: 25
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit