Zurück   Trojaner-Board > Malware entfernen > Plagegeister aller Art und deren Bekämpfung

Plagegeister aller Art und deren Bekämpfung: Wirklich Wichtig ! IRC Wurm / trojaner / floodbot

Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen.

Antwort
Alt 01.05.2003, 19:20   #1
[Raven]
 
Wirklich Wichtig ! IRC Wurm / trojaner / floodbot - Unglücklich

Wirklich Wichtig ! IRC Wurm / trojaner / floodbot



Moin !

Folgendes : Ein Freund berichtete mir über schwere Attacken auf sein IRC Netzwerk. Das ganze wird verursacht durch eine nicht grad kleine Ansammlung verschiedener komponenten inkl. Trojaner.. (das ganze hat ca. 1MB!) Das Ding wird irgendwie über den Netbios Port 139 eingeschleust.

Was das Ding noch so alles anstellt, vermag ich nicht zu sagen, da ich mich nicht besonders mit soetwas auskenne..

Das Ding installiert sich also über Netbios und startet sich. verbindet sich dann zum einem IRC Netzwerk und floodet es ohne ende mit floodbots.

Das Problem dabei ist, das jeder infizierte Rechner dabei zur "floodmaschine" wird, unabhängig davon ob man mit dem IRC zu tun hat oder nicht. Fakt ist, das sich auf dem IRC Netzwerk meines Bekannten pro sekunde bis zu 200 floodbots einloggen - und somit fast alles zum stillstand bringen.

Laut seiner Aussage bringt es auch nichts, die ip ranges zu bannen, weil zum einen dadurch viele normale user auch gesperrt werden würden die bots aber sobald sie gebannt sind, eine ddos attacke starten..

Von daher dachte ich, ich frage mal die Fachleute hier, ob evtl. irgendwer helfen könnte. Ich hab mir dieses - wie soll mans nennen - "programm" (eher ne .exe sammlung) von ihm schicken lassen.

Vielleicht könnte sich das einer von den Experten mal genauer anschauen und etwas über funktionsweise sagen, bzw. was das Ding eigentlich alles auf dem Rechner anstellt, so das man vielleicht ne lösungfinden kann, der Sache Herr zu werden.

Wäre echt superklasse. Denn bis jetzt wissen wir ja leider nur annähernd, was tatsächlich passiert, bzw. was das Ding im IRC anrichtet. Aber da da irgendsoein Telnet tool bei ist, weiß ich nicht, ob man dadurch irgendwelchen Freaks Haus und Tor öffnet.

Alt 01.05.2003, 19:26   #2
raman
 
Wirklich Wichtig ! IRC Wurm / trojaner / floodbot - Beitrag

Wirklich Wichtig ! IRC Wurm / trojaner / floodbot



Hat er schon mal einen Virenscanner wie KAV von www.avp.ch oder GAV von www.gladiator-antivirus.com benutzt? Und wenn ihr wisst, das er ueber Netbios herein gekommen ist, wieso schliesst ihr diesen Port nicht, oder schuetzt zumindest die Shares mit einem besseren Passwort?
__________________

__________________

Alt 01.05.2003, 19:32   #3
Crispy chicken
 
Wirklich Wichtig ! IRC Wurm / trojaner / floodbot - Beitrag

Wirklich Wichtig ! IRC Wurm / trojaner / floodbot



Schicks an virus@rokop-security.de
__________________
__________________

Alt 01.05.2003, 20:06   #4
[Raven]
 
Wirklich Wichtig ! IRC Wurm / trojaner / floodbot - Beitrag

Wirklich Wichtig ! IRC Wurm / trojaner / floodbot



</font><blockquote>Zitat:</font><hr />Original erstellt von raman:
Hat er schon mal einen Virenscanner wie KAV von www.avp.ch oder GAV von www.gladiator-antivirus.com benutzt? Und wenn ihr wisst, das er ueber Netbios herein gekommen ist, wieso schliesst ihr diesen Port nicht, oder schuetzt zumindest die Shares mit einem besseren Passwort? </font>[/QUOTE]Es geht ja nicht darum, das sein oder mein Rechner infiziert sind und bei uns sind die ports eh dicht. Nur sind Er so wie auch ich Admins in IRC Netzwerken. Und da er mom. arg betroffen ist, versuche ich irgendne Lösung zu finden. Wie gesagt, das problem liegt für uns primär darin, das sich dieses "Ding" auf jedem x-beliebigen Rechner mit offenem NB Port einschleichen kann und dadurch zur "Floodmachine" mutiert. Das heisst, die infizierten Rechner connecten teilweise 100 Fach zum IRC Netzwerk. Und das ist unser problem.

Es ist super stressig, wenn der ganze Abend nur noch daraus besteht, irgendwelche Bots aus dem Netzwerk zu kicken, damit es halbwegs reibungslos läuft.

Nur weiss ich langsam nicht mehr, wie man dem ganzen Einhalt gebieten soll - vor allem auch, weil man mehr oder weniger nur weiß (wir zumindest) woher plötzlich die ganzen Bots kommen, bzw. wie das ganze verursacht wird - jedoch nicht, wie dieser ganze mist auf dem infizierten Rechner läuft. Nur muss das Problem ja auch irgendwie an der Wurzel zu packen sein

Und die User wären auch froh, wenn wir ihnen sagen könnten da was passiert, und worauf sie achten müssen.

Alt 01.05.2003, 20:09   #5
Lucky
/// Helfer-Team
 
Wirklich Wichtig ! IRC Wurm / trojaner / floodbot - Beitrag

Wirklich Wichtig ! IRC Wurm / trojaner / floodbot



Was ist denn, wenn ihr die Channels auf Invite only stellt?

Björn

__________________
Kein Support per PM!

Alt 01.05.2003, 20:15   #6
raman
 
Wirklich Wichtig ! IRC Wurm / trojaner / floodbot - Beitrag

Wirklich Wichtig ! IRC Wurm / trojaner / floodbot



</font><blockquote>Zitat:</font><hr />Original erstellt von .:[Raven]:.:
Es geht ja nicht darum, das sein oder mein Rechner infiziert sind und bei uns sind die ports eh dicht. Nur sind Er so wie auch ich Admins in IRC Netzwerken. </font>[/QUOTE]Sorry, Denkfehler meinerseits!
__________________
--> Wirklich Wichtig ! IRC Wurm / trojaner / floodbot

Alt 01.05.2003, 20:15   #7
[Raven]
 
Wirklich Wichtig ! IRC Wurm / trojaner / floodbot - Beitrag

Wirklich Wichtig ! IRC Wurm / trojaner / floodbot



Lucky, das bringt auch nicht wirklich was, weil wenn keiner mehr in die Räume kommt ist das schon blöd.. Und das jeder der wo rein will erst mal nach "Erlaubnis" fragen soll ist irgendwie blöd.

Ausserdem hält das die Bots ja nicht davon ab, zum Server zu Connecten - die überlastung bleibt also

Alt 01.05.2003, 21:29   #8
docprantl
 
Wirklich Wichtig ! IRC Wurm / trojaner / floodbot - Idee

Wirklich Wichtig ! IRC Wurm / trojaner / floodbot



Was genau administriert ihr dort? Einen IRC-Server oder ein ganzes Netzwerk? Besteht euer Problem in einer "Verstopfung" des Netzwerks mit Traffic oder machen die Bots nur SYN-Flooding?

docprantl
__________________
Tugenden, subst. fem. pl. - gewisse Enthaltsamkeiten
[Ambrose Bierce, "Des Teufels Wörterbuch"]

Alt 02.05.2003, 00:12   #9
[Raven]
 
Wirklich Wichtig ! IRC Wurm / trojaner / floodbot - Beitrag

Wirklich Wichtig ! IRC Wurm / trojaner / floodbot



Ich selber bin nur Admin auf einem IRC Server, mein Kumpel in einem größeren Netzwerk - ich versuch ihm nur irgendwie zu helfen. Ich kopier einfach mal nen Teil des Gespräches hier rein, hoffe das ist ok.

</font><blockquote>Zitat:</font><hr />-ich wär öfters da wenn die ganzen attacken auf mein netz net so hoch wären..
-floodbots
-zu hunderten
-ca. 600 bots fangen an zuspammen da wirste bekloppt
-es joinen ca. 200 pro sekunde
&lt;Raven&gt;und was für hosts?
-die kriegste net in den griff wenne die bannst fangen sie nen ddos zustarten die scheiß teile
-die hosts sind das problem
&lt;Raven&gt; wieso?
-ich hab den quellcode von den bots
-die teile hacken sich eigenständig in rechner ein per netbios in windoof rechner
-also port 139
- naja die hosts sind weltweit
-frankreich spanien, england, brd, usa
&lt;Raven&gt;achso
-die scannen ja per inet irgendwelche ip ranges, hacken sich ein, ändern das admin pw
-und so hab ich keine chance die teile auszuschalten
-gehen also wie nen trojaner über port 139 rein, installieren sich dadrauf, starten sich, verbinden sich zum IRC
- dann kannste mit dem bot script per remote einloggen und die dinger administrieren </font>[/QUOTE]Zum einen hat also das Netzwerk durch Traffic drunter zu leiden, und zum anderen gehen die bors wohl auch noch in sämtliche Räume und spamen diese zu..

Alt 02.05.2003, 02:57   #10
cruz
Administrator, a.D.
 
Wirklich Wichtig ! IRC Wurm / trojaner / floodbot - Beitrag

Wirklich Wichtig ! IRC Wurm / trojaner / floodbot



gibt es keine gemeinsamkeit der bots, die man ausnutzen könnte, um die per script rauszuschmeißen?

irgendwelche nick-änlichkeiten, floskeln beim betreten eines raums, etc.?

.cruz
__________________
"Ihre Meinung ist mir zwar widerlich, aber ich werde mich dafür totschlagen lassen, daß sie sie sagen dürfen."<br /><i>Voltaire</i>

Alt 02.05.2003, 16:37   #11
docprantl
 
Wirklich Wichtig ! IRC Wurm / trojaner / floodbot - Idee

Wirklich Wichtig ! IRC Wurm / trojaner / floodbot



</font><blockquote>Zitat:</font><hr />Original erstellt von .:[Raven]:.:
ca. 600 bots fangen an zuspammen da wirste bekloppt ... -es joinen ca. 200 pro sekunde</font>[/QUOTE]Heißt das, die Bots flooden den IRC-Channel mit Textmüll, den ihr in euren Chatprogrammen seht?
</font><blockquote>Zitat:</font><hr />wenne die bannst fangen sie nen ddos zustarten die scheiß teile</font>[/QUOTE]Gegen einen DDoS hilft euch euer Upstream-Provider (zumindest sollte er das ).
</font><blockquote>Zitat:</font><hr />-die teile hacken sich eigenständig in rechner ein per netbios in windoof rechner
-also port 139
</font>[/QUOTE]Dagegen kannst du als IRC-Admin nichts machen. Die von den Bots "befallenen" Rechner müssen nicht zwangsläufig etwas mit eurem Chat zu tun haben.
</font><blockquote>Zitat:</font><hr />-die scannen ja per inet irgendwelche ip ranges, hacken sich ein, ändern das admin pw</font>[/QUOTE]Ein völlig normales Verhalten...
</font><blockquote>Zitat:</font><hr />Zum einen hat also das Netzwerk durch Traffic drunter zu leiden, und zum anderen gehen die bors wohl auch noch in sämtliche Räume und spamen diese zu.. </font>[/QUOTE]Hast du schon mal mit eurem Upstream-Provider gesprochen?

HTH,
docprantl
__________________
Tugenden, subst. fem. pl. - gewisse Enthaltsamkeiten
[Ambrose Bierce, "Des Teufels Wörterbuch"]

Alt 02.05.2003, 17:51   #12
Ansgar
 
Wirklich Wichtig ! IRC Wurm / trojaner / floodbot - Beitrag

Wirklich Wichtig ! IRC Wurm / trojaner / floodbot



Moin Moin,
also wie Raven schon schilderte. Mit diesen Dingern hab ich derzeit extreme Probleme.

</font><blockquote>Zitat:</font><hr /> Was ist denn, wenn ihr die Channels auf Invite only stellt?
</font>[/QUOTE]Wir haben schon ein Defcon system sobald wir darein wechseln werden modes wie Nsm usw. eingestellt.

Aber das Problem ist halt das die Bots zu scharen inenrhalb von sekunden connecten. entweder flooden sie channels zu oder öffnen nur wahnsinnig viel channels innerhalb von 3-5 minuten schaltet der ircd sich in den HighTraffic Modus, ich hab es bisher nur so in den griff bekommen den ircd wo der flood stattfand für 2-3 minuten runterzufahren.

Ich habe den Bot mal in die Finger bekommen also es ist mIRC mit einem script und diversen anderen dateien (NetbiosScanner usw.) in dem script ist eine zeile die einen bestimmten port öffnet aber den kann man ja durch editierung des scripts ändern (leider) wie viels andere.

Ich habe jetzt einen proxy scanner installiert und den so konfiguriert das er nach dem offenen port scannen soll. Ich werde dann mal hier posten obs geklappt hat oder nicht.

Antwort

Themen zu Wirklich Wichtig ! IRC Wurm / trojaner / floodbot
.exe, bios, einloggen, experten, frage, freund, gesperrt, infizierte, installiert, irc, kleine, nenne, netbios, nicht, nichts, port, problem, programm, rechner, sache, schwere, startet, stillstand, telnet, tool, verursacht, öffnet



Ähnliche Themen: Wirklich Wichtig ! IRC Wurm / trojaner / floodbot


  1. AVG wirklich Trojaner entfernt (WIRKLICH DRINGEND!)
    Plagegeister aller Art und deren Bekämpfung - 16.01.2015 (19)
  2. Wichtig: GVU-Trojaner/Virus
    Log-Analyse und Auswertung - 24.10.2012 (4)
  3. WICHTIG!!! Dieses Programm kann die Webseite nicht anzeigen-Trojaner
    Plagegeister aller Art und deren Bekämpfung - 11.10.2012 (5)
  4. Trojan-Dropper.Win32.Injector.firp Befall auf C:\Users\...\DOWNLO~1\Wichtig.zip/Wichtig 10.07.2012
    Plagegeister aller Art und deren Bekämpfung - 19.07.2012 (9)
  5. Neuer Facebook Trojaner unterwegs! Wichtig!
    Plagegeister aller Art und deren Bekämpfung - 06.10.2011 (3)
  6. WICHTIG: Trojaner eingefangen...was tun?
    Plagegeister aller Art und deren Bekämpfung - 21.01.2010 (1)
  7. Bitte überprüfen - SEHR WICHTIG! (Trojaner?)
    Log-Analyse und Auswertung - 11.05.2007 (10)
  8. Floodbot lässt mich nicht mehr ins irc connecten
    Plagegeister aller Art und deren Bekämpfung - 01.02.2007 (1)
  9. Trojaner prob. WICHTIG
    Log-Analyse und Auswertung - 25.08.2006 (4)
  10. WICHTIG SYSTEM 32 Trojaner bitte um hilfe
    Log-Analyse und Auswertung - 23.03.2006 (3)
  11. WICHTIG Bitte auch mal bei mir checken...2 trojaner nerven
    Mülltonne - 10.01.2006 (1)
  12. Wichtig: An alle Trojaner Spezis
    Mülltonne - 10.07.2005 (1)
  13. Wichtig !!! Smitfraud.c Trojaner !!!!!
    Plagegeister aller Art und deren Bekämpfung - 24.06.2005 (16)
  14. Wichtig: Neuer Trojaner
    Plagegeister aller Art und deren Bekämpfung - 28.04.2005 (10)
  15. wirklich wichtig-||-immer wieder trojaner..HELP ME PLZ
    Log-Analyse und Auswertung - 21.03.2005 (5)
  16. was wirklich wichtig ist
    Lob, Kritik und Wünsche - 27.12.2004 (0)
  17. Wichtig! evtl. Trojaner !?
    Plagegeister aller Art und deren Bekämpfung - 04.12.2004 (2)

Zum Thema Wirklich Wichtig ! IRC Wurm / trojaner / floodbot - Moin ! Folgendes : Ein Freund berichtete mir über schwere Attacken auf sein IRC Netzwerk. Das ganze wird verursacht durch eine nicht grad kleine Ansammlung verschiedener komponenten inkl. Trojaner.. (das - Wirklich Wichtig ! IRC Wurm / trojaner / floodbot...
Archiv
Du betrachtest: Wirklich Wichtig ! IRC Wurm / trojaner / floodbot auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.