Re: Sasser e iptables

[Juan carloS <juanc@torroja.dmt.upm.es>]

Marcelo Fernandez wrote:
> Copiado de hispasec:
>
> ----------------------------------------------------------------
> Así funciona
>
> Los ordenadores infectados por Sasser abren un servicio FTP en el
> puerto TCP/5554 para permitir la descarga del ejecutable del gusano.
> Para infectar a otros sistemas, el gusano realiza un barrido de
> direcciones IP semialeatorio, intentando conectar con el puerto
> TCP/445 de cada una de ellas (puerto por defecto donde se encuentra
> el servicio LSSAS vulnerable).
>
> El 25% de las direcciones IPs a las que se dirige pertenecen a la
> misma clase A que la dirección IP del ordenador infectado, otro 25%
> corresponderá a la misma clase B, mientras que el 50% restante
> son calculadas completamente al azar.
>
> Cada vez que consigue contactar con el puerto TCP/445 en alguna de
> las IPs, envía código para explotar la vulnerabilidad LSASS, de forma
> que si el sistema es vulnerable logra abrir un shell en el puerto
> TCP/9996. Desde ese shell fuerza una conexión al puerto TCP/5554 del
> ordenador infectado desde el que realizó el barrido, para descargar
> por FTP el ejecutable del gusano. El nombre del archivo descargado
> será [numero]_up.exe, donde [numero] equivale a una serie de dígitos
> al azar, por ejemplo 23983_up.exe.
>
> En el nuevo sistema el gusano se copia en la carpeta de Windows como
> avserve.exe con un tamaño de 15.872 bytes, y añade la siguiente clave
> en el registro de Windows para asegurarse su ejecución en cada inicio
> de sistema:
>
> HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
> "avserve.exe"="%Windir%\avserve.exe"
>
> El nuevo sistema infectado actuará entonces como otro punto de
> distribución, iniciando un nuevo barrido de IPs en busca de otros
> sistemas vulnerables a los que infectar.
> --------------------------------------------------------------------
>
> Por lo que tengo entendido, no deberías forwardear nada (ni desde afuera 
> hacia adentro, ni desde adentro hacia afuera) con el puerto 445 y el 
> puerto 5554. Luego, quitar el virus. :(
>
> Saludos
> Marcelo


Lo cual tambien te impedira usar tus maquinas como servidor de 
"microsoft-ds" (que no se muy bien que hace, pero usa el puerto 445) ni, 
lo que es mas importante, de cliente de cualquier servicio a traves del 
puerto 5554. Cuando te conectas a un servicio de red como cliente, 
generalmente tu maquina usara un puerto alto (>1024) elegido aleatoriamente.

O sea que si tienes un poco de mala suerte ( = mala suerte / 50 
maquinas) te encontraras que en alguna ocasion una de esas maquinas se 
quiera conectar pongamos a una pagina web usando dicho puerto. Entonces, 
la aplicacion (pongamos el MSIE) parecera que se cuelga, pero en el 
fondo lo que pasara es que tu firewall estara tirando todos los paquetes 
que le lleguen desde ese puerto desde tus maquinas.

Valoralo y elige.

jc

> Angel Vicente Perez escribió:
>
> > Hola a todos....
> >
> > Tenemos en el trabajo, una red con mas de 50 PCs con W2000 y WXP, para 
> > salir
> > a internet, estoy usando un maquina con Debian e iptables, no todos 
> > tienen
> > salida a Inet.
> >
> > El rollo este del Sasser, me tiene preocupado, porque es seguro que 
> > hay un
> > monton de maquinas sin el parche de marras, instalarlo en todas en poco
> > tiempo, va a ser bastante dificil.
> >
> > La idea es si con la configuracion de iptables, puedo tener suficiente
> > proteccion hasta que instale los parches.
> >
> > Si es asi, que configuracion habria que establecer
> >
> > Saludos y gracias de antemano
> >
> >
> >