Onderwerp: DNS cache poisoning

Sorry voor de crosspost. Dit is dringend.

Hi,

Net zoals ik al vermoedde is er iets aan de hand met het net. Onbekenden
hebben een aantal DNS'en vergiftigd. Knip-en-plak van SANS-bericht:

"SANS Internet Storm Center - http://isc.sans.org/

Updated March 4th 2005 18:11 UTC (Handler: Kyle Haugsness)

Global DNS cache poisoning attack?

We are currently investigating a report from several sites that indicate
users being re-directed to malware sites. At this time it appears to be
a DNS cache poisoning attack (not a spyware, adware, or browser hijack)
and we are seeking more information.

Popular domain names such as google.com, ebay.com, and weather.com are
being directed to the following servers. Of course when connecting to
these servers, "bad things" (tm) will happen, so don't go to them.

www.7sir7.com (217.160.169.87)
123xxl.com (217.160.169.87, 207.44.240.79, 216.127.88.131)
abx4.com (217.160.169.87, 207.44.240.79, 216.127.88.131)

If your site has been affected, please submit the following information:
1. When the attack was first noticed and whether it is still occurring.
2. What DNS server software you having facing the Internet. This
information will be kept in strictest confidence.
3. If you identified any other sites that users were being re-directed
to (besides the ones listed above)."



Volgende generatie spyware heeft blijkbaar geen enkele gene meer over
hoe ze hun payload bij de klant krijgen.

Pas op voor alle toolbars in IE, want de hierboven gerapporteerde zijn
al veranderd van naam.

Vermits dit ook in de .be gebeurd is deze week, is dit een zeer algemene
aanval en zou beter door iedereen au serieux genomen worden.

Updates via SANS.

mijn IE wil altijd google.com als homepage ook al stel ik dat niet langer
in, heeft dat er ook iets mee te maken ?

M

"Cyrano" <cyrano.mac@techemail.com> schreef in bericht
news:cyrano.mac-AE2365.18054605032005@europe.isp.giganews.com...
> Sorry voor de crosspost. Dit is dringend.
> Popular domain names such as google.com, ebay.com, and weather.com are
> being directed to the following servers. Of course when connecting to
> these servers, "bad things" (tm) will happen, so don't go to them.
>
> www.7sir7.com (217.160.169.87)
> 123xxl.com (217.160.169.87, 207.44.240.79, 216.127.88.131)
> abx4.com (217.160.169.87, 207.44.240.79, 216.127.88.131)
BASM.BE???

In article <d0fm34$1cbd$1@nl-news.euro.net>,
"Steef" <stevej@pandora.neehee> wrote:

> "Cyrano" <cyrano.mac@techemail.com> schreef in bericht
> news:cyrano.mac-AE2365.18054605032005@europe.isp.giganews.com...
> > Sorry voor de crosspost. Dit is dringend.
> > Popular domain names such as google.com, ebay.com, and weather.com are
> > being directed to the following servers. Of course when connecting to
> > these servers, "bad things" (tm) will happen, so don't go to them.
> >
> > www.7sir7.com (217.160.169.87)
> > 123xxl.com (217.160.169.87, 207.44.240.79, 216.127.88.131)
> > abx4.com (217.160.169.87, 207.44.240.79, 216.127.88.131)
> BASM.BE???

Wat bedoel je?

basm.be is niet bij de "simpele" domeinnamen (e.g. staat niet in een
woordenboek). En de servers hierboven zijn malware seed-servers, iets
waar basm zich bij mijn weten niet bezig houdt.

't is misschien nog een idee voor heer ollie. Zou daar geld inzitten?

Poor Windows users...

In article <CRHWd.31175$jb5.3103856@phobos.telenet-ops.be>,
"Mantorok" <cosmicmania@msn.com> wrote:

> mijn IE wil altijd google.com als homepage ook al stel ik dat niet langer
> in, heeft dat er ook iets mee te maken ?
>
> M

Nee. Dat ligt aan je instellingen. Google is niet bij de "bad boys".

Heb je de Google toolbar geïnstalleerd?

Cyrano schreef:
> > "Cyrano" schreef
>
> > > Sorry voor de crosspost. Dit is dringend.
> > > Popular domain names such as google.com, ebay.com, and weather.com are
> > > being directed to the following servers. Of course when connecting to
> > > these servers, "bad things" (tm) will happen, so don't go to them.
> > >
[...]
>
> Poor Windows users...
>
DNS cache poisoning heeft toch niets met het gebruikte OS te maken? Zie
bijvoorbeeld <http://www.lurhq.com/cachepoisoning.html>.


Groet,

Wimjan

--
Sleet is van vroeger, tegenwoordig gaat alles kapot.

In article <MPG.1c96099bb084db6f98a9a2@news.individual.net> ,
news@inventio.nl (Wimjan) wrote:

> Cyrano schreef:
> > > "Cyrano" schreef
> >
> > > > Sorry voor de crosspost. Dit is dringend.
> > > > Popular domain names such as google.com, ebay.com, and weather.com are
> > > > being directed to the following servers. Of course when connecting to
> > > > these servers, "bad things" (tm) will happen, so don't go to them.
> > > >
> [...]
> >
> > Poor Windows users...
> >
> DNS cache poisoning heeft toch niets met het gebruikte OS te maken? Zie
> bijvoorbeeld <http://www.lurhq.com/cachepoisoning.html>.
>
>
> Groet,
>
> Wimjan

Heel simpel: voor andere OS'en is er nauwelijks malware...

En een Mac of Linux gebruiker die op die servers komt, wordt niet
geïnfecteerd.

Cyrano schreef:
> Wimjan wrote:
> > Cyrano schreef:
> > > > "Cyrano" schreef
> > >
> > > > > Sorry voor de crosspost. Dit is dringend.
> > > > > Popular domain names such as google.com, ebay.com, and weather.com are
> > > > > being directed to the following servers. Of course when connecting to
> > > > > these servers, "bad things" (tm) will happen, so don't go to them.
> > > > >
> > [...]
> > >
> > > Poor Windows users...
> > >
> > DNS cache poisoning heeft toch niets met het gebruikte OS te maken? Zie
> > bijvoorbeeld <http://www.lurhq.com/cachepoisoning.html>.
> >
>
> Heel simpel: voor andere OS'en is er nauwelijks malware...
>
Da's niet relevant in dit geval, imho. Sterker nog: in dit geval zal een
gecorrumpeerde DNS-server waarschijnlijk meestal geen Windows-bak zijn.

> En een Mac of Linux gebruiker die op die servers komt, wordt niet
> geïnfecteerd.
>
Er is geen sprake van 'op servers komen' - het gaat erom dat DNS-servers een
verkeerd antwoord geven op een verzoek. En daarbij maakt het *niets* uit of
de aanvragende computer Windows draait of een broodrooster met een
ingebakken zelf ontwikkeld OS is.


Groet,

Wimjan

--
Sleet is van vroeger, tegenwoordig gaat alles kapot.

In article <MPG.1c9611d0bd02121498a9a3@news.individual.net> ,
news@inventio.nl (Wimjan) wrote:

> Cyrano schreef:
> > Wimjan wrote:
> > > Cyrano schreef:
> > > > > "Cyrano" schreef
> > > >
> > > > > > Sorry voor de crosspost. Dit is dringend.
> > > > > > Popular domain names such as google.com, ebay.com, and weather.com
> > > > > > are
> > > > > > being directed to the following servers. Of course when connecting
> > > > > > to
> > > > > > these servers, "bad things" (tm) will happen, so don't go to them.
> > > > > >
> > > [...]
> > > >
> > > > Poor Windows users...
> > > >
> > > DNS cache poisoning heeft toch niets met het gebruikte OS te maken? Zie
> > > bijvoorbeeld <http://www.lurhq.com/cachepoisoning.html>.
> > >
> >
> > Heel simpel: voor andere OS'en is er nauwelijks malware...
> >
> Da's niet relevant in dit geval, imho. Sterker nog: in dit geval zal een
> gecorrumpeerde DNS-server waarschijnlijk meestal geen Windows-bak zijn.
>
> > En een Mac of Linux gebruiker die op die servers komt, wordt niet
> > geïnfecteerd.
> >
> Er is geen sprake van 'op servers komen' - het gaat erom dat DNS-servers een
> verkeerd antwoord geven op een verzoek. En daarbij maakt het *niets* uit of
> de aanvragende computer Windows draait of een broodrooster met een
> ingebakken zelf ontwikkeld OS is.
>
>
> Groet,
>
> Wimjan

Denk toch eens na. De gemiddelde gebruiker tikt een domein in in zijn
browser of klikt op een link. Vervolgens gaat de browser braaf naar dat
IP en daar wordt de windows-specifieke malware geladen, al dan niet met
een fake webpagina.

Kom mij nu nog eens vertellen dat het OS daar niks mee te maken heeft...

On Mon, 07 Mar 2005 07:28:29 +0100, Cyrano <cyrano.mac@techemail.com>
wrote:

>In article <MPG.1c9611d0bd02121498a9a3@news.individual.net> ,
> news@inventio.nl (Wimjan) wrote:
>
>> Cyrano schreef:
>> > Wimjan wrote:
>> > > Cyrano schreef:
>> > > > > "Cyrano" schreef
>> > > >
>> > > > > > Sorry voor de crosspost. Dit is dringend.
>> > > > > > Popular domain names such as google.com, ebay.com, and weather.com
>> > > > > > are
>> > > > > > being directed to the following servers. Of course when connecting
>> > > > > > to
>> > > > > > these servers, "bad things" (tm) will happen, so don't go to them.
>> > > > > >
>> > > [...]
>> > > >
>> > > > Poor Windows users...
>> > > >
>> > > DNS cache poisoning heeft toch niets met het gebruikte OS te maken? Zie
>> > > bijvoorbeeld <http://www.lurhq.com/cachepoisoning.html>.
>> > >
>> >
>> > Heel simpel: voor andere OS'en is er nauwelijks malware...
>> >
>> Da's niet relevant in dit geval, imho. Sterker nog: in dit geval zal een
>> gecorrumpeerde DNS-server waarschijnlijk meestal geen Windows-bak zijn.
>>
>> > En een Mac of Linux gebruiker die op die servers komt, wordt niet
>> > geïnfecteerd.
>> >
>> Er is geen sprake van 'op servers komen' - het gaat erom dat DNS-servers een
>> verkeerd antwoord geven op een verzoek. En daarbij maakt het *niets* uit of
>> de aanvragende computer Windows draait of een broodrooster met een
>> ingebakken zelf ontwikkeld OS is.
>>
>>
>> Groet,
>>
>> Wimjan
>
>Denk toch eens na. De gemiddelde gebruiker tikt een domein in in zijn
>browser of klikt op een link. Vervolgens gaat de browser braaf naar dat
>IP en daar wordt de windows-specifieke malware geladen, al dan niet met
>een fake webpagina.
>
>Kom mij nu nog eens vertellen dat het OS daar niks mee te maken heeft...

neen niet direct .. het feit dat de vergiftiging windows machines als
doel heeft is niet direct relevant in de discussie .. wie onder linux
beroep doet op de gewraakte DNS servers krijgt evengoed een "vals" IP
nummer toegespeeld ... (en de bulk van de DNS servers lopen meer dan
waarschijnlijk Unix of een gelijkaardig non-Win OS .. so ?)

Cyrano wrote:

> Sorry voor de crosspost. Dit is dringend.
>
> Hi,
>
> Net zoals ik al vermoedde is er iets aan de hand met het net. Onbekenden
> hebben een aantal DNS'en vergiftigd. Knip-en-plak van SANS-bericht:
>
> "SANS Internet Storm Center - http://isc.sans.org/
>
> Updated March 4th 2005 18:11 UTC (Handler: Kyle Haugsness)
>
> Global DNS cache poisoning attack?
>
> We are currently investigating a report from several sites that indicate
> users being re-directed to malware sites. At this time it appears to be
> a DNS cache poisoning attack (not a spyware, adware, or browser hijack)
> and we are seeking more information.
>
> Popular domain names such as google.com, ebay.com, and weather.com are
> being directed to the following servers. Of course when connecting to
> these servers, "bad things" (tm) will happen, so don't go to them.
>
> www.7sir7.com (217.160.169.87)
> 123xxl.com (217.160.169.87, 207.44.240.79, 216.127.88.131)
> abx4.com (217.160.169.87, 207.44.240.79, 216.127.88.131)
>
> If your site has been affected, please submit the following information:
> 1. When the attack was first noticed and whether it is still occurring.
> 2. What DNS server software you having facing the Internet. This
> information will be kept in strictest confidence.
> 3. If you identified any other sites that users were being re-directed
> to (besides the ones listed above)."
>
>
>
> Volgende generatie spyware heeft blijkbaar geen enkele gene meer over
> hoe ze hun payload bij de klant krijgen.
>
> Pas op voor alle toolbars in IE, want de hierboven gerapporteerde zijn
> al veranderd van naam.
>
> Vermits dit ook in de .be gebeurd is deze week, is dit een zeer algemene
> aanval en zou beter door iedereen au serieux genomen worden.
>
> Updates via SANS.

deze blijkt het target te zijn:

http://securityresponse.symantec.com...004.06.21.html


--
echo "+++ATH0a³dmin+++ATH0@gmail.com" | sed 's/+++ATH0//g'
In /dev/null no one can hear you scream.

Cyrano schreef:
> Wimjan wrote:
> > Cyrano schreef:
> > > Wimjan wrote:
> > > > Cyrano schreef:
> > > > > > "Cyrano" schreef
> > > > >
> > > > > > > Sorry voor de crosspost. Dit is dringend.
> > > > > > > Popular domain names such as google.com, ebay.com, and
> > > > > > > weather.com are being directed to the following servers. Of
> > > > > > > course when connecting to these servers, "bad things" (tm)
> > > > > > > will happen, so don't go to them.
> > > > > > >
> > > > [...]
> > > > >
> > > > > Poor Windows users...
> > > > >
> > > > DNS cache poisoning heeft toch niets met het gebruikte OS te maken?
> > > > Zie bijvoorbeeld <http://www.lurhq.com/cachepoisoning.html>.
> > > >
> > >
> > > Heel simpel: voor andere OS'en is er nauwelijks malware...
> > >
> > Da's niet relevant in dit geval, imho. Sterker nog: in dit geval zal een
> > gecorrumpeerde DNS-server waarschijnlijk meestal geen Windows-bak zijn.
> >
> > > En een Mac of Linux gebruiker die op die servers komt, wordt niet
> > > geïnfecteerd.
> > >
> > Er is geen sprake van 'op servers komen' - het gaat erom dat DNS-servers
> > een verkeerd antwoord geven op een verzoek. En daarbij maakt het *niets*
> > uit of de aanvragende computer Windows draait of een broodrooster met een
> > ingebakken zelf ontwikkeld OS is.
>
> Denk toch eens na.
>
Prima, doe ik. Als jij belooft dat je dat ook doet.

> De gemiddelde gebruiker tikt een domein in in zijn browser of klikt op een
> link.
>
Inderdaad. Da's het idee van het web.

> Vervolgens gaat de browser braaf naar dat IP
>
Inderdaad. Volledig volgens plan, alleen is dat IP niet van de bedoelde
server.

> en daar wordt de windows-specifieke malware geladen, al dan niet met
> een fake webpagina.
>
Wie heeft het gehad over malware? Waarom zou er niet een nagebouwde versie
van de website van je favoriete bank worden getoond (een vorm van het
populaire phishing)? Of waarom zou het je favoriete zoekmachine niet het
slachtoffer worden van DNS poisoning (waarbij de faker bijvoorbeeld wat
stoeit met de volgorde van de zoekresultaten of er eigen reclames
tussenzet)?

Voor beide mogelijkheden maakt het helemaal *niets* uit welk OS of welke
browser de bezoeker gebruikt. En dat is nu juist het verradelijke van DNS
poisoning.

> Kom mij nu nog eens vertellen dat het OS daar niks mee te maken heeft...
>
Graag gedaan. Ik hoop dat het je nu duidelijk is.



Groet,

Wimjan

--
Sleet is van vroeger, tegenwoordig gaat alles kapot.