Sasser

Bonjour *Rafi* qui nous a dit

Bonjour,
nous avons le virus Sasser sur le réseau ;comment fait-on pour
détecter quel PC est la source du problème ...?

la source c'est le surf sans fire-wall ou mise à jour de XP depuis presque 1
an
http://www.secuser.com/alertes/2004/sasser.htm


--
@++++Jceel

En vérité je te le dis mais sous O E
internaute indécis pour le HacheuTeuMeuLeu
seul le click droit Control+F deux
la lumière t'apportera C'est ce qu'il y a de mieux
netevangile..selon Jceel.livre du windows.psaume alt-255..verset ÿp
Jceel http://jceel.free.fr l'hyper du gratuit du net
Founding Chairman of the International Pebkac Busters Company

Bonjour Rafi,

nous avons le virus Sasser sur le réseau ;comment fait-on pour
détecter quel PC est la source du problème ...?

Tu commences par isoler TOUS les PC de ton réseau, et tu les passes à
l'antivirus à jour l'un après l'autre.

Une fois un PC propre, tu peux le reconnecter.

Mais, nom d'une pipe, qui est encore en mesure de se choper un Sasser
aujourd'hui ?

;O)

Bonjour *Mario MORINO* qui nous a dit

Bonjour Rafi,

nous avons le virus Sasser sur le réseau ;comment fait-on pour
détecter quel PC est la source du problème ...?

Tu commences par isoler TOUS les PC de ton réseau, et tu les passes à
l'antivirus à jour l'un après l'autre.

Une fois un PC propre, tu peux le reconnecter.

Mais, nom d'une pipe, qui est encore en mesure de se choper un Sasser
aujourd'hui ?

par exemple ceux qui sont atteints du virus de la reformatite aigue ;-(
et qui redémarrent sur le net sans installer de fire-wall ou activer celui
d'XP


--
@++++Jceel

En vérité je te le dis mais sous O E
internaute indécis pour le HacheuTeuMeuLeu
seul le click droit Control+F deux
la lumière t'apportera C'est ce qu'il y a de mieux
netevangile..selon Jceel.livre du windows.psaume alt-255..verset ÿp
Jceel http://jceel.free.fr l'hyper du gratuit du net
Founding Chairman of the International Pebkac Busters Company

"Rafi" <raphael----vial@invalid.hotmail.com> wrote in message
news:OTdE0WmuEHA.3592@TK2MSFTNGP11.phx.gbl...

Bonjour,

Evitez de poster avec une adresse email réelle, sauf si vous aimez le spam
;-).

nous avons le virus Sasser sur le réseau ;comment fait-on pour détecter
quel
PC est la source du problème ...?
Merci d'avance

Si c'est pour analyser la source du problème :
=> vous pouvez utiliser un moniteur de trames avec un filtre pour ne
regarder que les connections vers le port 445(TCP). Une fois l'attaque
réussie un shell est ouvert sur le port TCP 9996(TCP), un autre port peut
être ouvert sur les machines infectées : 5554(TCP).
=> utiliser un NIDS

Pour corriger le problème et reprendre l'activité dans les plus brefs
délais, vous diposez de plusieurs solutions :
=> configurer le pare feu de Windows XP sur toutes les stations le
supportant (Windows XP)
=> pour les postes en Windows 2000, vous pouvez envisager la mise en place
de filtres IPSec (en mode AH) le temps de la résolution du problème (bloquer
le trafic vers les ports 9996 et 5554 en TCP, éventuellement : le port
445(TCP) (avec des problèmes à prévoir si vous partagez des fichiers depuis
les stations).
=> installer le correctif MS04-011
=> vérifier avec un antivirus la présence éventuelle du vers sur les
machines.

Cordialement

--
Thierry MILLE
www.lab-os.com

Bonjour

"Ce que vous devez savoir sur le ver Sasser et ses variantes"
http://www.microsoft.com/france/securite/incident/sasser.asp

Étape 1 : Activer un pare-feu
Étape 2 : Installer la mise à jour requise (MS04-11)
Étape 3 : Rechercher automatiquement la présence de Sasser.A et de Sasser.B
et supprimer ces vers
Étape 4 : Obtenir des détails techniques complémentaires, utiliser un
Antivirus mis à jour

le lien vers la page de la mise à jour MS04-11
http://www.microsoft.com/france/technet/securite/Info/MS04-011.html

Sasser (A-F) Worm Removal Tool (KB841720)
http://www.microsoft.com/downloads/details.aspx?familyidvC6DE7E-1B6B-4FC3-90D4-9FA42D14CC17&displaylang=en

Cordialement

Stanislas


"Thierry MILLE [MVP]" <msnews@lab-os.com> wrote in message
news:uM8UX0ruEHA.1204@TK2MSFTNGP10.phx.gbl...

"Rafi" <raphael----vial@invalid.hotmail.com> wrote in message
news:OTdE0WmuEHA.3592@TK2MSFTNGP11.phx.gbl...

Bonjour,

Evitez de poster avec une adresse email réelle, sauf si vous aimez le spam
;-).

nous avons le virus Sasser sur le réseau ;comment fait-on pour détecter
quel
PC est la source du problème ...?
Merci d'avance

Si c'est pour analyser la source du problème :
=> vous pouvez utiliser un moniteur de trames avec un filtre pour ne
regarder que les connections vers le port 445(TCP). Une fois l'attaque
réussie un shell est ouvert sur le port TCP 9996(TCP), un autre port peut
être ouvert sur les machines infectées : 5554(TCP).
=> utiliser un NIDS

Pour corriger le problème et reprendre l'activité dans les plus brefs
délais, vous diposez de plusieurs solutions :
=> configurer le pare feu de Windows XP sur toutes les stations le
supportant (Windows XP)
=> pour les postes en Windows 2000, vous pouvez envisager la mise en place
de filtres IPSec (en mode AH) le temps de la résolution du problème
(bloquer le trafic vers les ports 9996 et 5554 en TCP, éventuellement : le
port 445(TCP) (avec des problèmes à prévoir si vous partagez des fichiers
depuis les stations).
=> installer le correctif MS04-011
=> vérifier avec un antivirus la présence éventuelle du vers sur les
machines.

Cordialement

--
Thierry MILLE
www.lab-os.com

"Stanislas Quastana [MS]" <squasta@online.microsoft.com> wrote in message
news:uPaKERAvEHA.3728@TK2MSFTNGP12.phx.gbl...
Bonjour,

"Ce que vous devez savoir sur le ver Sasser et ses variantes"
http://www.microsoft.com/france/securite/incident/sasser.asp

Étape 1 : Activer un pare-feu
Étape 2 : Installer la mise à jour requise (MS04-11)
Étape 3 : Rechercher automatiquement la présence de Sasser.A et de
Sasser.B et supprimer ces vers
Étape 4 : Obtenir des détails techniques complémentaires, utiliser un
Antivirus mis à jour

En répondant sous la question cela permet de l'avoir lue ;-))

Ravi que Microsoft ait enfin pu faire comprendre à ses employés comment se
propageait les vers et comment protéger les machines ;-)).
(Comme d'autres, je me souviens encore des procédures fournies à partir du
11 août 2003... cf groups.google.com).

Pour faire avancer les choses :
Le pare feu sous Windows 2000 : on fait comment pour l'activer ?

Les filtres IPSec (en mode AH) permettent de réagir bien plus rapidement en
bloquant certains types de trafic réseau (celui du vers en circlation) sans
les effets de bords comme c'est le cas lors de l'activation d'un pare feu.
De plus il n'est pas nécessaire de savoir si les stations sont sous Windows
2000, sous XP SP1 ou XP SP2.

La dessus, en trollant presque, on peut même rediscuter de l'utilité d'un
pare feu par machine, surtout si c'est pour ouvrir les ports NetBIOS pour le
partage de fichiers et d'imprimantes (sinon : à quoi sert le service serveur
sur un Windows NT/2000/XP ?) ... Aujourd'hui, un pare feu de niveau 3 ou 4
ne sert à rien si les processus qui écoutent derrière ne sont pas
correctement développés et configurés. Idem, un pare feu ne pouvant filtrer
les sorties ne sert à rien sur une station de travail exécutant de nombreux
logiciels d'origines connues ou moins connues (cette option de filtrage du
trafic sortant ne devant pas non plus être nécessairement activée par
défaut, mais devrait pouvoir l'être).

Petit problème pour ceux qui ne sont pas en vacances :-) :
"Soit une station sous Windows XP SP2 disposant de deux interfaces réseaux :
=> une connectée à Internet via un modem Ethernet (ADSL par exemple).
=> l'autre au LAN

Le partage de fichiers étant autorisé au niveau de la configuration du pare
feu (netsh firewall set service fileandprint) pour que les utilisateurs du
LAN puissent accéder à des ressources partagées sur cette machine. Les
options par défaut sont conservées.

Depuis Internet :
Combien d'ordinateurs peuvent potentiellement accéder au partage de fichiers
et d'imprimantes (ports 139 et 445 (en TCP), éventuellement 137 et 138 (en
UDP)) ?"

Cordialement

--
Thierry MILLE
www.lab-os.com

sur les news:Oiy7GBDvEHA.2012@TK2MSFTNGP15.phx.gbl
Salut Thierry MILLE [MVP] <msnews@lab-os.com> qui signalait:

Petit problème pour ceux qui ne sont pas en vacances :-) :
"Soit une station sous Windows XP SP2 disposant de deux interfaces
réseaux : => une connectée à Internet via un modem Ethernet (ADSL par
exemple). => l'autre au LAN

Le partage de fichiers étant autorisé au niveau de la configuration
du pare feu (netsh firewall set service fileandprint) pour que les
utilisateurs du LAN puissent accéder à des ressources partagées sur
cette machine. Les options par défaut sont conservées.

Depuis Internet :
Combien d'ordinateurs peuvent potentiellement accéder au partage de
fichiers et d'imprimantes (ports 139 et 445 (en TCP), éventuellement
137 et 138 (en UDP)) ?"

Cordialement

Gaffe, dans certains cas TOUS les ordinateur du monde ayant accès au W3, je
ne connais pas le nombre. Configurer les cartes séparément.

Vive la stratégie de sécurité locale sur IP.
--
http://www.optimix.be.tf /MVP WindowsXP/ http://websecurite.org
http://www.msmvps.com/XPditif/
http://experts.microsoft.fr/longhorn4u/
*Helping you void your warranty since 2000*
---***ANTISPAM***---
Click on the link to answer -Cliquez sur le lien pour répondre
http://www.cerbermail.com/?csaLJS6yvZ
@(*0*)@ JacK

Thierry MILLE [MVP] wrote:

Petit problème pour ceux qui ne sont pas en vacances :-) :
"Soit une station sous Windows XP SP2 disposant de deux interfaces réseaux :
=> une connectée à Internet via un modem Ethernet (ADSL par exemple).
=> l'autre au LAN

Le partage de fichiers étant autorisé au niveau de la configuration du pare
feu (netsh firewall set service fileandprint) pour que les utilisateurs du
LAN puissent accéder à des ressources partagées sur cette machine. Les
options par défaut sont conservées.

Depuis Internet :
Combien d'ordinateurs peuvent potentiellement accéder au partage de fichiers
et d'imprimantes (ports 139 et 445 (en TCP), éventuellement 137 et 138 (en
UDP)) ?"

Çà mériterait un nouveau fil de discussion ;)
Un FW permettant l'écriture de rules selon la carte eth devrait faire
l'affaire.

--
Steph
Enlever l'.adressebidon.invalid pour m'écrire

"Steph" <steph@lavillerose.com.adressebidon.invalid> wrote in message
news:u3p8NTDvEHA.1824@TK2MSFTNGP10.phx.gbl...

Thierry MILLE [MVP] wrote:

Çà mériterait un nouveau fil de discussion ;)

Je ne faisait que répondre à Stanislas sur les procédures de MS pratiquement
au point, contrairement à celles fournies durant les premièrs jours de
Blaster.

Ces discussions sur le pare feu ont déjà eu lieu pendant les développements
du SP2, je n'en dirais pas plus étant sous NDA.

Poster dans un fil dans ce groupe de discussion sur ce sujet ne sert
strictement à rien. Si ce n'est faire prendre conscience aux utilisateurs
avertis qu'ils ne sont pas forcément aussi bien protégés qu'ils ne le
pensent dans certains cas de figure (autres exemples : serveur mail interne
(avec le relais SMTP activé mais non configuré : se pensant protégé par un
pare feu, serveur web pour essais, bureau à distance, ... sans parler de
kamikazes avec un ftp (en RW), telnet, ...)

Un FW permettant l'écriture de rules selon la carte eth devrait faire
l'affaire.

Comme indiqué par JacK : c'est possible, mais pas avec les options de bases
(il faut utiliser l'onglet Avancé). La configuration donnée en référence est
elle plutôt basique (deux ordinateurs en réseau chez un particulier).

Mais qui se doute que tout est partagé sur le sous réseau IP de l'interface
externe ?
=> Madame Trucmuche : cela m'étonnerait fortement ...
Tout le monde n'a pas lu (et encore moins compris) comment configurer
l'ouverture des ports par interface, comment calculer un masque de sous
réseau, ... chacun son boulot.

La "philosophie" du pare feu de Windows XP SP2 est une très bonne idée pour
les réseaux administrés ou pour les postes isolés. Néanmoins sur les petits
réseaux sans personnel formé, l'installer et surtout commencer à le
configurer ne garanti pas un apport de sécurité.

Cordialement

--
Thierry MILLE
www.lab-os.com

sur les news:eSbbHrDvEHA.1976@TK2MSFTNGP09.phx.gbl
Salut Thierry MILLE [MVP] <msnews@lab-os.com> qui signalait:

"Steph" <steph@lavillerose.com.adressebidon.invalid> wrote in message
news:u3p8NTDvEHA.1824@TK2MSFTNGP10.phx.gbl...

Thierry MILLE [MVP] wrote:

Un FW permettant l'écriture de rules selon la carte eth devrait faire
l'affaire.

Comme indiqué par JacK : c'est possible, mais pas avec les options de
bases (il faut utiliser l'onglet Avancé). La configuration donnée en
référence est elle plutôt basique (deux ordinateurs en réseau chez un
particulier).
Mais qui se doute que tout est partagé sur le sous réseau IP de
l'interface externe ?
=> Madame Trucmuche : cela m'étonnerait fortement ...
Tout le monde n'a pas lu (et encore moins compris) comment configurer
l'ouverture des ports par interface, comment calculer un masque de
sous réseau, ... chacun son boulot.

La "philosophie" du pare feu de Windows XP SP2 est une très bonne
idée pour les réseaux administrés ou pour les postes isolés.
Néanmoins sur les petits réseaux sans personnel formé, l'installer et
surtout commencer à le configurer ne garanti pas un apport de
sécurité.
Cordialement

Hello Thierry,

Merci de le rappeler, ça me paraissait tellement évident que je n'ai pas
développé suffisamment le paramétrage par interface sur mon site,
je vais corriger ça.

@ mardi,