Søg
Avatar billede danscape Nybegynder
22. august 2001 - 15:08 Der er 22 kommentarer og
3 løsninger

Code Red Worm... og hvad så??

Hejsa!

I dette spørgsmål hentyder jeg til mit, spørgsmål som jeg oprettede i går på http://www.eksperten.dk/spm/100767  jeg har nu fået et nyt brev fra ham fransk manden om at jeg HAR Code Red Worm på min server....

---
Hi Kasper

My log files are full of attacks from the code red worm and I traced the ip it is
coming from to your website.
Attached is an file that will help you confirm that the worm has affected your
Webserver.
If you want to know more about the Code Red Worm go to http://www.cert.org/
They explain it in detail.

thanks
Francois

---

Okay, altså har jeg haft Code Red Worm, MEN hvad gør jeg så nu?? Hvad ødeligger Code Red Worm på min server? Hvordan skal jeg evt. fjerne den igen? Altså rettere sagt, hvad skal jeg gøre??!


- Kasper! ;)
Avatar billede prodic Mester
22. august 2001 - 15:12 #1
http://www.microsoft.com/technet/treeview/default.asp?url=/technet/itsolutions/security/topics/codealrt.asp


Læs derfra - der står det hele. Også hvordan du sikrer dig, og fjerner den igen.
Avatar billede prodic Mester
22. august 2001 - 15:15 #2
Kort fortalt - så hent Service Pack 2, installer skidtet - hent programmet(se linket på tidligere url) og gør den.

Så skulle den være fikset.

Brug evt. Windows Update til at hente diverse nye patches hvis du skal sikres yderligere .
Avatar billede danscape Nybegynder
22. august 2001 - 15:16 #3
Kan jeg ikke få et program der kan fortælle mig OM jeg har Code Red Worm på min server?

Vi sidder her og erlidt uenige om, hvorvidt der er Code Red Worm på min server, så hvis man kunne få noget der kunne fortælle det, eller hvis man evt. selv kunne tjekke det på en eller anden måde?!


- Kasper!
Avatar billede prodic Mester
22. august 2001 - 15:19 #4
Kig i Inetpup/Scripts - hvis der er en fil der hedder Root.exe - så har du Red Worm på dit system.

Men det kan du alt sammen læse om på ovenstående link fra Microsoft. :-)
Avatar billede danscape Nybegynder
22. august 2001 - 15:20 #5
Hvad hvis mit default website ikke køres fra Inetpub, men fra D:\\www\\default-site

Skal jeg så kigge efter root.exe der?! Eller?!


- Kasper!
Avatar billede danscape Nybegynder
22. august 2001 - 15:23 #6
JA! Jeg har kigget i Inetpub/Scripts og der ligger en fil der hedder root.exe og shell.exe  og en tekst fil der hedder FTP.txt

Skal jeg bare slette disse filer eller?!


Og hvad gør FTP filen? Den har følgende indhold:

binary
recv WinPack.exe c:\\winnt\\system32\\setup\\WinPack.exe
quit


Hvad gør root.exe filen, og hvad sker der hvis man klikker på den/kører den??


- Kasper!
Avatar billede prodic Mester
22. august 2001 - 15:24 #7
Læs ovenstående link - det hele står der.

Søg evt. efter Root.exe - så kan jo se hvor den evt. ellers kan være havnet henne.
Avatar billede danscape Nybegynder
22. august 2001 - 15:39 #8
Har søgt efter root.exe og den er ogsåp havnet i
C:\\program files\\common files\\System\\msadc\\root.exe
Avatar billede prodic Mester
22. august 2001 - 15:41 #9
har du kørt det lille program fra MS\'s side - den tjekker efter \"ormen\" og fjerner den.

læs dog den vejledning - det hele står der.
Avatar billede danscape Nybegynder
22. august 2001 - 15:44 #10
Hvordan i alverden kan det så være at mit website på min server ikke har fået lavet sit default site om til den der \"Hacked by Chinese\" ??

- Kasper
Avatar billede danscape Nybegynder
22. august 2001 - 15:45 #11
....er ved at læse vejledningen! :)  Og der står netop det der med \"Hacked by Chinese\", og så er det jo så jeg undrer mig over hvorfor det ikke her sket  det her tilfælde?!
Avatar billede prodic Mester
22. august 2001 - 15:51 #12
3. Decide if your system has been infected.

If your server has been infected by the original Code Red I worm, your home page will be defaced with the message “Hacked by Chinese”.
If your server has been infected by the newer Code Red II worm, you will find a file C:/Inetpub/scripts/root.exe on your hard drive. (If you have drives other than C:, you should check them as well.)


Det er jo kun ved Red Worm I, at der står det.
Avatar billede danscape Nybegynder
22. august 2001 - 16:22 #13
Jeg kan ikke instakkere den der service patch! Den siger at den ikke kan installere, fordi at jeg ikke har Service patch 1 liggende på min server!


Jeg har kørt en cleanup på min server! Er Code Red Worm så helt væk nu???


- Kasper!
Avatar billede danscape Nybegynder
22. august 2001 - 16:23 #14
installere even...
Avatar billede prodic Mester
22. august 2001 - 16:26 #15
Jamen du skal jo hente Service Pack 2 og SÅ køre den fil du lige har hentet.
Så virker det...

Service Pack 2 gør også, at du ikke får den igen - smart ikke. :-)
Avatar billede Slettet bruger
22. august 2001 - 16:52 #16
Har også haft besøg af denn lille orm, CC lukkede min linje i næsten et døgn. Jeg geninstallerede hele pivtøjet og bruger nu Liteserv som hjemmeside server. På dens log, kan jeg se når den røde orm angriber. Den kan blot ikke komme ind, da den ikke kender denne server :o)
Avatar billede danscape Nybegynder
22. august 2001 - 17:00 #17
Jeg kan ikke installere Service Pack 2 !

Det er der mit problem ligger....
Avatar billede prodic Mester
22. august 2001 - 17:02 #18
Kan du ikke installere SP2?? - det lyder da underligt.
Avatar billede danscape Nybegynder
22. august 2001 - 17:05 #19
Jeg har taget et lille screenshot af fejl-boksen, om at jeg ikke kan installere Service Pack 2 !

Se fejl boksen på http://www.danscape.dk/pack.jpg
Avatar billede prodic Mester
22. august 2001 - 17:09 #20
http://www.microsoft.com/windows2000/downloads/servicepacks/sp2/default.asp

Hent Service Pack 2 derfra, og kør så den \"Hotfix\" igen...
Avatar billede danscape Nybegynder
22. august 2001 - 17:26 #21
Damn... den service pack er noget l*rt! :(

Jeg har downlaoder Service pack2 Express, men under installationen kunne den ikke oprette en forbindelse til Microsoft´s server, så den kunne doanloade det nødvendige....

- Kasper!
Avatar billede hiks Nybegynder
22. august 2001 - 17:34 #22
Hej!

Det findes et serviceprogram på nettet, der kan detecte og fixe dit code red problem! Jeg kan ikke huske adressen men jeg har det liggende! Så jeg kan maile det til dig, hvis du er interesseret!

Desuden har Service Pack 2 fuck\'et (undskyld udtrykket) min server helt op, det tog omkring 2 minutter efter at Windows var startet inden at skrivebordet blev vist! Så jeg uninstallede igen!

Interesseret i programmet så bare skriv!

/Hiks
Avatar billede prodic Mester
22. august 2001 - 17:40 #23
SP2 indeholder også en del andre forbedringer end lige fixet til Code Red Worm - og den er nok værd at hente alligevel, selvom jeg dog ikke har haft de problemer Hiks nævner(gud ske tak og lov for det)
Avatar billede hiks Nybegynder
22. august 2001 - 17:45 #24
Dog skal det siges at problemerne med SP2 kan reddes på følgende måde:

Gå i Start/Kør og skriv SFC /scannow - sæt din win2k skive i CD-drevet, der går ca. 10 minutter så gendannes de korrupte systemfiler!

Tak til spm: http://www.eksperten.dk/spm/101194

/Hiks
Avatar billede Slettet bruger
22. august 2001 - 18:36 #25
Du skal da kører servicepack 2 via windows update eller skal du ind og hente den fuld udgave på omkring 110 MB

Det er ikke nok at du kun kører delelementer.
Avatar billede Ny bruger Nybegynder

Din løsning...

Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.

Loading billede Opret Preview
Kategori
AI & It-udvikling kurser
Uanset kodesprog, så giver vi dig mulighederne for at udvikle det, du behøver.
Se alle AI & It-udvikling kurser

Flere spørgsmål fra Webservere kategorien

Titel Indlæg Oprettet Seneste aktivitet
IIS Kan ikke Redirecte til anden side Af bsn i Webservere 8 09/07/202614:29 10/07/202613:41
IIS på Win10 64 bit Af bsn i Webservere 2 20/05/202611:00 20/05/202617:09
VPN Af Jesper O. i Webservere 8 15/12/202512:28 16/12/202501:58
Bøvl med FTP og æ, ø og å Af andershl i Webservere 2 14/12/202515:16 15/12/202511:13
HTML-LINKS Af snestrup2000 i Webservere 2 16/11/202415:33 16/11/202418:41
Se alle spørgsmål i kategorien Opret spørgsmål

Log ind eller opret profil

Hov!

For at kunne deltage på Computerworld Eksperten skal du være logget ind.

Det er heldigvis nemt at oprette en bruger: Det tager to minutter og du kan vælge at bruge enten e-mail, Facebook eller Google som login.

Opret Log ind

Du kan også logge ind via nedenstående tjenester

Alle kategorier på Eksperten
Seneste spørgsmål Seneste aktivitet
I går 22:40 Nye toldregler = nye svindelmuligheder Af nu_igen i Andet software
09/0715:37 Et wifi net til en kolonihave uden wifi Af Andershoegh i Andet hardware
09/0714:29 IIS Kan ikke Redirecte til anden side Af bsn i Webservere
09/0714:19 ESET Af hkprofil i Backup- & Antivirus
09/0712:16 diskpart - slet harddisk Af Uvanga i Windows
White papers
Flere white papers »