🚀 go-pugleaf

W artykule <2aa6de00-225f-400a-be1b-274fab99700c@l20g2000yqe.googlegroups.com>, 
Don Piotr napisał(a):

> Mam pod opieką sieć komputerową. Ostatnio konfigurując serwer poczty
> okazało się (dzięki http://cbl.abuseat.org/) że mam trojana Cutwail na
> którymś z komputerów. Z jednej strony numer komputerów jest
> wystarczająco duży aby sprawdzić wszystkie a pozatym są rozsiane po
> całym budynku (tak że napewno bym stracił kilka kilo co jest
> niepożądane), poza tym od czasu do czasu gościmy różne osoby, które
> podłanczają własne laptopy do sieci. Niestety niemogę zablokować portu
> 25 ponieważ wszystkie biura używają różnych serwerów pocztowych
> zewnątrznych.
>
> Pytanie: Można jakoś się dowiedzieć z kąd Cutwail rozsyła spam?

#v+
Cutwail sends a number of parameters to one of the servers listed below, 
and attempts to download a file:

66.246.252.213
67.18.114.98 
74.52.122.130
208.66.194.221
208.66.194.241
66.246.252.215
66.246.72.173

If this fails, it tries to use one of the other servers from the list. 
Some variants use a smaller subset of this list of servers, and some 
instead attempt to contact the server at managed.unexpand.com.
[...]
Harvested addresses are saved to C:\as.txt and posted to 208.66.195.169.

A second executable contacts a server at 216.195.58.17. This returns a 
list of web servers, search parameters and other details. Various servers 
from this list are contacted and provided with random search parameter 
values from the list. The results appear to be used to generate email 
subject lines and possibly message bodies.

The third executable connects to a server at 208.66.195.162. This may 
provide it with a list of email recipients and other e-mail parameters. 
It then attempts to send the email to these recipients.
#v-

> Sieć jest podłączona przez Cisco asa 5505 do Internetu. Może by można
> było by go wysledzić kierując cały ruch na port 25 poprzez jeden
> serwer z Linuxem i tam ustawić jakoś iptables?

Wystarczy, że ustawisz reguły na te IP i powinieneś go wyłapać jakoś.
Pytanie jest natomiast inne - skąd wiesz (nie znając źródła), że
to na pewno ten rootkit? Dość odważne stwierdzenie.

PS: cytaty pochodzą z:
http://www.ca.com/securityadvisor/virusinfo/virus.aspx?id=62470

Jacek