---

Som I kan se på quak.dyndns.dk har jeg haft en hacker på besøg


Er det noget man skal anmelde, jeg har ip dato/tid for det hele nu

Og er der andre ADSL brugere der har været ude for det?

MVH Andreas Lindberg

---

"Andreas Lindberg" <webmaster@quak.dk> skrev i en meddelelse
news:9df4pe$1k5o$1@tnews.inet.tele.dk...
> Som I kan se på quak.dyndns.dk har jeg haft en hacker på besøg
>
>
> Er det noget man skal anmelde, jeg har ip dato/tid for det hele nu

Kontakt straks din ISP's abuse-afdeling og giv dem alle informationer du
har.

Af ren nysgerrighed: Hvilken web-server bruger du, og har du aktiveret nogen
firewall?


>
> MVH Andreas Lindberg
>

Mvh. Simon Pedersen

---

"Simon H. Pedersen" <simon@NOSPAMemail.dk> wrote in message
news:9df58a$7vp$1@news.cybercity.dk...

> Kontakt straks din ISP's abuse-afdeling og giv dem alle informationer du
> har.
Okay, det gør jeg imorgen.. Jeg har det bare sådan at de sider sikkert og
griner af alle de mails der vælter ind

> Af ren nysgerrighed: Hvilken web-server bruger du, og har du aktiveret
nogen
> firewall?
Jeg bruger Win2k og IIS 5 til mit developement af min site, jeg har slet ik
noget firewall :/

---

"Andreas Lindberg" <webmaster@quak.dk> wrote
> Jeg bruger Win2k og IIS 5 til mit developement af min site, jeg har slet
ik
> noget firewall :/


hey.. følger du med i sikkerhedslister? prøv at kigge på
packetstorm.securify.com f.eks.. under '20 latest exploits'.. der ser du en
der hedder jill.c .. og det er sikkert den du er blevet smasket med..

bent .. og.. det glæder mig at folk er så loigeglade med sikkerheden.. flere
ofre..fedt..

---

Nej den havde jeg faktisk sikkeret mig imod, jeg har da også selv source'n
til den og den skal compiles først og sårn før den er brugbar en nogenlunde
svær process som ville sætte mange amatør hackere af!

Jeg har selv prøvet på en af mine udvalgte ofre! Men jeg "hacker" for sjovt,
og spørger ofret først :)

"Bent skohorn" <a@b.c> wrote in message
news:9dffrj$nbe$1@news.inet.tele.dk...
> bent .. og.. det glæder mig at folk er så loigeglade med sikkerheden..
flere
> ofre..fedt..

Well, hvis jeg skulle studere alle de patches der kommer skulle jeg bruge 10
min hver da!
Sagen er bare at den person der har hacket mig, kom igennem, det ulovligt da
jeg ik havde givet lov til noget som helst, derfor er personen nu anmeldt!

---

"Andreas Lindberg" <webmaster@quak.dk> wrote
> Nej den havde jeg faktisk sikkeret mig imod, jeg har da også selv source'n
> til den og den skal compiles først og sårn før den er brugbar en
nogenlunde
> svær process som ville sætte mange amatør hackere af!

gcc jill.c -o jill <- hvis det der sætter nogen af nogen steder tror jeg
ikke engang de kan kaldes amatørhackere.. det er de for lamme til..

> Jeg har selv prøvet på en af mine udvalgte ofre! Men jeg "hacker" for
sjovt,
> og spørger ofret først :)

Det er osse en sjov fritisbeskæftigelse...

> "Bent skohorn" <a@b.c> wrote in message
> news:9dffrj$nbe$1@news.inet.tele.dk...
> > bent .. og.. det glæder mig at folk er så loigeglade med sikkerheden..
> flere
> > ofre..fedt..
>
> Well, hvis jeg skulle studere alle de patches der kommer skulle jeg bruge
10
> min hver da!
> Sagen er bare at den person der har hacket mig, kom igennem, det ulovligt
da
> jeg ik havde givet lov til noget som helst, derfor er personen nu anmeldt!

10 minutter hver dag må siges at være en ringe pris for sikkerhed. Vi er
nogle der bruger en del mere end 10 minutter for at sætte os ind i tingene..

bent

---

>Well, hvis jeg skulle studere alle de patches der kommer skulle jeg bruge 10
>min hver da!

Jeg tro jeg kan halve dine 10 min. til 5 min, ved at du går på mit
website http://rrn.mine.nu og under punkt "Sikkerhed/Sikkerheds check"
der kan se nogle af de værktøj, bugs osv. der er.
Hvis du så bagefter gå under punkt " MS nyheder" og vælger " Microsoft
security update" ja så få du at vide hvilke sikkerheds update der er
kommet fra microsoft så nemmer kan du ikke få det.



>Sagen er bare at den person der har hacket mig, kom igennem, det ulovligt da
>jeg ik havde givet lov til noget som helst, derfor er personen nu anmeldt!
>
>
>

Tro du selv, at du få noget ud af det ??

Det tro jeg ikke , men jeg håber da at du har lært noget , ved at du
er blev hacket. At din sikkerhed på din webserver er af h..... til.


Og især når du er blevet "hacket" af et standart script, som
sadmind/IIS Worm er.

Men jeg har nogle råd i den sammenhæng og de er :

At man ikke installer server som default, som microsoft anbefale under
installation f.eks.
C:\winnt\ kalde det f.eks c:\winnt_webserver\ og inetpub f.eks
website i stedfor og at man i det mindste læser denne side
http://www.microsoft.com/technet/security/tools.asp, hvis man vil
kører sit site på en iis

René

http://rrn.mine.nu

---

<rrn@rrn.mine.nu> wrote in message
> Jeg tro jeg kan halve dine 10 min. til 5 min, ved at du går på mit
> website http://rrn.mine.nu og under punkt "Sikkerhed/Sikkerheds check"

Jeg prøver men får denne fejl

HTTP Error 405
405 Method Not Allowed

The method specified in the Request Line is not allowed for the resource
identified by the request. Please ensure that you have the proper MIME type
set up for the resource you are requesting.

Please contact the server's administrator if this problem persists.

---

On Fri, 11 May 2001 00:36:05 +0200, Simon H. Pedersen wrote:
>
>"Andreas Lindberg" <webmaster@quak.dk> skrev i en meddelelse
>news:9df4pe$1k5o$1@tnews.inet.tele.dk...
>> Som I kan se på quak.dyndns.dk har jeg haft en hacker på besøg
>>
>>
>> Er det noget man skal anmelde, jeg har ip dato/tid for det hele nu
>
>Kontakt straks din ISP's abuse-afdeling og giv dem alle informationer du
>har.

Hvis det ikke er en kunde hos den samme ISP, så kan de ikke gøre noget.

Nej, han skal istedet gå direkte til politiet.

--
Jesper Skriver, CCIE #5456
FreeBSD committer

---

jesper@wheel.dk (Jesper Skriver) wrote in
<slrn9fm7m9.cif.jesper@freesbee.wheel.dk>:

>> Kontakt straks din ISP's abuse-afdeling og giv dem alle informationer
>> du har.
>
>Hvis det ikke er en kunde hos den samme ISP, så kan de ikke gøre noget.
>
>Nej, han skal istedet gå direkte til politiet.

Anmeld det begge steder og skriv i din anmeldelse til din ISP om at de bør
sikre evt. bevismateriale fra deres logfiler.

Herefter bliver det formentlig også lettere for politiet at gøre noget ved
det.

/Manhatten

---

*SNIP*
> Anmeld det begge steder og skriv i din anmeldelse til din ISP om at de bør
> sikre evt. bevismateriale fra deres logfiler.
>
> Herefter bliver det formentlig også lettere for politiet at gøre noget ved
> det.
>
> /Manhatten

Hans ISP skal nok gennem logfilerne, til politiet skal bruge dem.

---

"Andreas Lindberg" <webmaster@quak.dk> wrote in message
news:9df4pe$1k5o$1@tnews.inet.tele.dk...
> Som I kan se på quak.dyndns.dk har jeg haft en hacker på besøg
>
>
> Er det noget man skal anmelde, jeg har ip dato/tid for det hele nu
>
> Og er der andre ADSL brugere der har været ude for det?

Har du netbios eller lign kørende og blankt password på din W2K, og har du
husket at installere alle deres security updates samt diverse sp.

Og så sat rettighederne på dine drev fornuftigt ?

Derudover ville en firewall nok være en god ide eller den primitive måde med
ipsec i w2k

--
Morten

---

"Morten Birkelund" <news@remember.dk> wrote in message
news:9df9hm$1vmo$1@tnews.inet.tele.dk...

> Har du netbios eller lign kørende og blankt password på din W2K, og har du
> husket at installere alle deres security updates samt diverse sp.

NetBiosen var ik på, passwordet var blank (var nok ik den det gik mest op i
sikkerhed), jeg har ik inst. alle da det er en umulighed synes jeg med den
fart de kommer ud!
> Og så sat rettighederne på dine drev fornuftigt ?
Sat rettigheder, hmm, tjae de står vel som da jeg installerede computeren

> Derudover ville en firewall nok være en god ide eller den primitive måde
med
> ipsec i w2k

En firewall.. Enten forstyrre de en konstant med en IP pakke der er kommet
på vildspor, eller så virker de slet ikk. Jeg ved ik hvad du har af forslag,
men jeg vil ik ha et program der spørger hele tiden om jeg vil lade IE åbne
en adgang til nettet, osv osv!

---

> > Og så sat rettighederne på dine drev fornuftigt ?
> Sat rettigheder, hmm, tjae de står vel som da jeg installerede computeren

Fjern rettighederne på C:\, D:\ og alle andre fysiske drev (_KUN_ root
directories - husk _IKKE_ at markere reset permissions on all child
objects.... under advanced!)

Så opretter du en bruger for hvert site du ønsker at køre på din IIS, og
giver kun disse brugere adgang til det bibliotek kører i.
Eks: test.dk har _kun_ adgang til d:\home\testdk og alle underliggende
biblioteker.

--
Med venlig hilsen
Jesper Nielsen

---

On Fri, 11 May 2001 01:51:11 +0200, "Morten Birkelund"
<news@remember.dk> wrote:

>Derudover ville en firewall nok være en god ide eller den primitive måde med
>ipsec i w2k

Den Norton firewall som ligger på opasia.dk - hvor mange resscoucer
tager den ?
---

Med venlig hilsen fra

Karsten Jensen
k-j@post6.tele.dk

---

Hvordan kan man se det??

mogens

"Andreas Lindberg" <webmaster@quak.dk> skrev i en meddelelse
news:9df4pe$1k5o$1@tnews.inet.tele.dk...
> Som I kan se på quak.dyndns.dk har jeg haft en hacker på besøg
>
>
> Er det noget man skal anmelde, jeg har ip dato/tid for det hele nu
>
> Og er der andre ADSL brugere der har været ude for det?
>
> MVH Andreas Lindberg
>
>

---

"Mogens S. P." <ms@pedersen.mail.dk> wrote in message
news:9dfdn9$9qn$1@sunsite.dk...
> Hvordan kan man se det??
>
> mogens

Se hvad?!

Hvis det er loggen du snakker om er det i c:\WinNT\System32\LogFiles\W3SVC1

også vælge en log fra den den dag

---

"Andreas Lindberg" <webmaster@quak.dk> wrote in message
news:9df4pe$1k5o$1@tnews.inet.tele.dk...
> Som I kan se på quak.dyndns.dk har jeg haft en hacker på besøg
>

FEDT... NU HAR JEG SIKKERT OGSÅ FÅET VISUS...

ATTENTION VIRUS ALERT

virus: Worm poizonbox
detected in c:\windows\temporary Internet
Files......[...]QUAK.DYNDNS(1).HTM

Hvad gør den worm?

---

"Bjarke Hansen" <bjarke_hansen@*spamcop*spamfilter.dk> skrev i en
meddelelse news:9dg679$jhf$1@news.inet.tele.dk...

> "Andreas Lindberg" <webmaster@quak.dk> wrote in message
> news:9df4pe$1k5o$1@tnews.inet.tele.dk...
> > Som I kan se på quak.dyndns.dk har jeg haft en hacker på besøg
> >
>
> FEDT... NU HAR JEG SIKKERT OGSÅ FÅET VISUS...
>
> ATTENTION VIRUS ALERT
>
> virus: Worm poizonbox
> detected in c:\windows\temporary Internet
> Files......[...]QUAK.DYNDNS(1).HTM
>
> Hvad gør den worm?

Du gik ind på siden og dit virusprogram fandt efterfølgende virus/worm ?

Kunne ikke lige finde noget på www.symantec.com eller www.mcafee.com
virus bib's.

--
Peter Thomas Fischer
peter@fischer.as
http://www.fischer.as

---

"Fischer & Døssing" <peter@fischer.ms> wrote in message
news:9dg810$qrn$1@sunsite.dk...

> Du gik ind på siden og dit virusprogram fandt efterfølgende virus/worm
?

Jep.. inden jeg havde set på siden, sprang den op.

>
> Kunne ikke lige finde noget på www.symantec.com eller www.mcafee.com
> virus bib's.

NIX...

---

On Fri, 11 May 2001 10:40:50 +0200, "Bjarke Hansen"
<bjarke_hansen@*spamcop*spamfilter.dk> wrote:

>
>"Fischer & Døssing" <peter@fischer.ms> wrote in message
>news:9dg810$qrn$1@sunsite.dk...
>>
>> Kunne ikke lige finde noget på www.symantec.com eller www.mcafee.com
>> virus bib's.
>
>NIX...
>

Jeg fandt dette på symantec ved at søge på 'poizonbox'

http://www.symantec.com/avcenter/venc/data/backdoor.sadmind.html

Det lader altså til at Andreas ikke er blevet hacket, men derimod er
blevet ramt af "Backdoor.Sadmind" ?

/Skummet

---

"Skummet" <skummetspamapril@skummet.com> wrote in message
news:akbnftctacvr7hmir8678q143ufbtslds8@4ax.com...

> Jeg fandt dette på symantec ved at søge på 'poizonbox'

Ja, den fandt jeg også... Men der står kun af denne "backdoor.sadmind"
underskrives poizonbox

---

On Fri, 11 May 2001 11:43:16 +0200, "Bjarke Hansen"
<bjarke_hansen@*spamcop*spamfilter.dk> wrote:

>
>"Skummet" <skummetspamapril@skummet.com> wrote in message
>news:akbnftctacvr7hmir8678q143ufbtslds8@4ax.com...
>
>> Jeg fandt dette på symantec ved at søge på 'poizonbox'
>
>Ja, den fandt jeg også... Men der står kun af denne "backdoor.sadmind"
>underskrives poizonbox
>

Korrekt, der står dog:

"Backdoor.Sadmind also victimizes systems that have unpatched versions
of Microsoft IIS. It replaces the default Web page file so that the
Web server displays the new Web pages instead of the default pages.
These pages contain profane remarks against the government, and the
text:

PoizonBOx"

Dette passe temmelig godt på Andreas' situation, at symantec's
beskrivelse så ikke passer 100% kan vel skyldes at den pågældende
virus er så ny som den er? Jeg mener den blev opdaget for 3 dage
siden...

På http://www.cert.org/advisories/CA-2001-11.html der er linket til
hos symantec står der desuden:

"Modified web pages that read as follows:
fuck USA Government
fuck PoizonBOx
contact:sysadmcn@yahoo.com.cn"

Så den ser ud til at være god nok.

Dette passer også med at dit virus prog reagerer når du går ind på
siden, for det "opdager" at siden er angrebet af "b.s".


/Skummet

---

"Skummet" <skummetspamapril@skummet.com> skrev i en meddelelse
news:akbnftctacvr7hmir8678q143ufbtslds8@4ax.com...

> On Fri, 11 May 2001 10:40:50 +0200, "Bjarke Hansen"
> <bjarke_hansen@*spamcop*spamfilter.dk> wrote:
>
> >
> >"Fischer & Døssing" <peter@fischer.ms> wrote in message
> >news:9dg810$qrn$1@sunsite.dk...
> >>
> >> Kunne ikke lige finde noget på www.symantec.com eller
www.mcafee.com
> >> virus bib's.
> >
> >NIX...
> >
>
> Jeg fandt dette på symantec ved at søge på 'poizonbox'
>
> http://www.symantec.com/avcenter/venc/data/backdoor.sadmind.html

Weird.
Det fandt Symantec ikke til mig igår. Nu finder den det.
Hmm...


--
Peter Thomas Fischer
peter@fischer.as
http://www.fischer.as

---

"Bjarke Hansen" <bjarke_hansen@*spamcop*spamfilter.dk> wrote in message
news:9dg679$jhf$1@news.inet.tele.dk...>
FEDT... NU HAR JEG SIKKERT OGSÅ FÅET VISUS...

Godt nok er jeg blevet hacked! Men du får mig ik til at tror på at dette
simple HTML kan skade dig på NOGEN måder!

"<html><body bgcolor=black><br><br><br><br><br><br><table width=100%><td><p
align="center"><font size=7 color=red>fuck USA Government</font><tr><td><p
align="center"><font size=7 color=red>fuck PoizonBOx<tr><td><p
align="center"><font size=4 color=red>contact:sysadmcn@yahoo.com.cn</html>"

---

"Andreas Lindberg" <webmaster@quak.dk> wrote in message
news:9dgbo0$1gqt$1@tnews.inet.tele.dk...
> "Bjarke Hansen" <bjarke_hansen@*spamcop*spamfilter.dk> wrote in
message
> news:9dg679$jhf$1@news.inet.tele.dk...>
> FEDT... NU HAR JEG SIKKERT OGSÅ FÅET VISUS...
>
> Godt nok er jeg blevet hacked! Men du får mig ik til at tror på at
dette
> simple HTML kan skade dig på NOGEN måder!

Det kan da godt være, men den sprang altså op med advarsel. Når jeg kom
ind på siden.

PS. jeg kører med kaspersky´s AVP

---

On Fri, 11 May 2001 11:34:23 +0200, "Andreas Lindberg"
<webmaster@quak.dk> wrote:

>"Bjarke Hansen" <bjarke_hansen@*spamcop*spamfilter.dk> wrote in message
>news:9dg679$jhf$1@news.inet.tele.dk...>
>FEDT... NU HAR JEG SIKKERT OGSÅ FÅET VISUS...
>
>Godt nok er jeg blevet hacked! Men du får mig ik til at tror på at dette
>simple HTML kan skade dig på NOGEN måder!
>
>"<html><body bgcolor=black><br><br><br><br><br><br><table width=100%><td><p
>align="center"><font size=7 color=red>fuck USA Government</font><tr><td><p
>align="center"><font size=7 color=red>fuck PoizonBOx<tr><td><p
>align="center"><font size=4 color=red>contact:sysadmcn@yahoo.com.cn</html>"
>
>
>

Det lader nu mere til du ikke er blevet "hacket" men derimod er blevet
inficeret med en temmelig ny virus kaldet "Backdoor.Sadmind "

Uddrag fra: http://www.cert.org/advisories/CA-2001-11.html

"Microsoft IIS servers that are successfully compromised exhibit the
following characteristics:


Modified web pages that read as follows:
fuck USA Government
fuck PoizonBOx
contact:sysadmcn@yahoo.com.cn

Sample Log from Attacked IIS Server

2001-05-06 12:20:19 10.10.10.10 - 10.20.20.20 80 GET
/scripts/../../winnt/system32/cmd.exe /c+dir 200 -
2001-05-06 12:20:19 10.10.10.10 - 10.20.20.20 80 GET
/scripts/../../winnt/system32/cmd.exe /c+dir+..\ 200 -
2001-05-06 12:20:19 10.10.10.10 - 10.20.20.20 80 \
GET /scripts/../../winnt/system32/cmd.exe
/c+copy+\winnt\system32\cmd.exe+root.exe 502 -
2001-05-06 12:20:19 10.10.10.10 - 10.20.20.20 80 \
GET /scripts/root.exe /c+echo+<HTML code inserted
here>.././index.asp 502 -
"

Check evt. også:
http://www.symantec.com/avcenter/venc/data/backdoor.sadmind.html


/Skummet

---

On Fri, 11 May 2001 10:00:46 +0200, "Bjarke Hansen"
<bjarke_hansen@*spamcop*spamfilter.dk> wrote:

>> Som I kan se på quak.dyndns.dk har jeg haft en hacker på besøg
>FEDT... NU HAR JEG SIKKERT OGSÅ FÅET VISUS...

Nej, du har ikke fået virus.

>detected in c:\windows\temporary Internet
>Files......[...]QUAK.DYNDNS(1).HTM

Der er måske noget på den .html-side (ikke at jeg kan se hvad, det
skulle være), der trigger en viruskiller. Sandsynligvis er det blot
teksten i sig selv, den falder over, idet samme tekst nok er en del af
det program, der bruges til at deface websider med.

Jeg havde samme problem, da diverse dumme viruskillers brokkede sig
over det samme på http://www.loveletter.trc.dk/ (jeg havde et meget
begrænset udsnit fra LoveLetter, der kun ville være et problem, hvis
nogle manuelt kopierede det ind i deres mIRC-konfigurationsfil) - jeg
rettede så nogle gåseøjne til &quot; og så fattede virusdræberen ikke
noget.

I min mening er virusdræbere på det punkt lidt for overivrige. Fred
med normalt downloadede filer, etc.; her kunne der i højere grad være
grund til bekymring. Men hvad angår websider, man blot surfer igennem,
må det forventes, at der i højere grad kommer en del vilkårligt data
strømmende igennem (som omvendt set måske også skal ligge isoleret på
systemet - dog er det ikke ligefrem normalt, at man kommer til at gå
ind i sine midlertidige filer, retter i dem, og udfører dem ved en
fejl).


--
- Pede
Professionel nørd

Tilhørsforhold/disclaimer: http://www.ter.dk/disclaimer/

---

On Fri, 11 May 2001 12:48:08 +0200, Peter Brodersen
<professionel@nerd.dk> wrote:

>Sandsynligvis er det blot
>teksten i sig selv, den falder over, idet samme tekst nok er en del af
>det program, der bruges til at deface websider med.

.... det fjollede er selvfølgelig, at det netop kan forventes at en del
websider har denne tekst (som følge af udbredelsen). Derfor burde
virusdræberen i højere grad skelne mellem websider, der bare har denne
tekst (og havner i cache'n), og så mere skadelige filer.


--
- Pede
Professionel nørd

Tilhørsforhold/disclaimer: http://www.ter.dk/disclaimer/

---

"Andreas Lindberg" <webmaster@quak.dk> skrev i en meddelelse
news:9df4pe$1k5o$1@tnews.inet.tele.dk...

> Og er der andre ADSL brugere der har været ude for det?

Jeg er også ramt af det se på min www.luffe.pie.dk og www.fox.pie.dk.
Det mærkelige er at min hovedside (www.pie.dk) ikke er ramt af problemet.
Der er lavet index.htm, default.htm, index.asp og default.asp alle med samme
indhold (poizonbox).

/Anders

---

On Fri, 11 May 2001 00:29:35 +0200, "Andreas Lindberg"
<webmaster@quak.dk> wrote:

>Som I kan se på quak.dyndns.dk har jeg haft en hacker på besøg
>
>
>Er det noget man skal anmelde, jeg har ip dato/tid for det hele nu
>
>Og er der andre ADSL brugere der har været ude for det?

http://attrition.org/security/commentary/worm01.html

En del af de IPadresser som har haft besøg:
http://attrition.org/security/commentary/worm-list.txt

Mvh
Sune