Microsoft URL Control

[Paul van der Vlis]

Hallo,

Voor de een school beheer ik een Apache server. In de logs vind ik van
dit soort zaken:

192.168.0.195 - - [16/Apr/2006:06:25:55 +0200] "GET
/getdata.php?id=4&version=2.10 HTTP/1.1" 200 103 "-" "Microsoft URL
Control - 6.00.8862" "-"

De IP's komen zowel van het interne netwerk als van daarbuiten.
Microsoft URL control is gewoon een bepaalde API die gebruikt wordt in
Visual C++.

Maar de interne machines waar dit vandaan komt zijn gewone Windows PC's.
Kent iemand dit misschien? Zijn deze PC's misschien besmet met een virus
o.i.d.?

Met vriendelijke groet,
Paul van der Vlis.



--
http://www.vandervlis.nl/

[Warden Dave]

"Paul van der Vlis" <paul@vandervlis.nl> wrote:

> Hallo,

Dag,

> Voor de een school beheer ik een Apache server. In de logs vind ik
> van dit soort zaken:
>
> 192.168.0.195 - - [16/Apr/2006:06:25:55 +0200] "GET
> /getdata.php?id=4&version=2.10 HTTP/1.1" 200 103 "-" "Microsoft URL
> Control - 6.00.8862" "-"
>
> De IP's komen zowel van het interne netwerk als van daarbuiten.
> Microsoft URL control is gewoon een bepaalde API die gebruikt wordt
> in Visual C++.

Niet per se (kan ook VB/anders zijn). Het zou kunnen gaan om aanroepen
met gebruik van de Microsoft Internet Transfer Control (MSINET.OCX).

> Maar de interne machines waar dit vandaan komt zijn gewone Windows
> PC's. Kent iemand dit misschien? Zijn deze PC's misschien besmet met
> een virus o.i.d.?

Dat zou soms kunnen, omdat MSINET.OCX wel eens 'naar' wordt gebruikt
(door bijv. WERULE, Winpup/Revop etc.) maar het kan ook gaan om legitime
aanroepen. Een machine binnen het locale netwerk kun je natuurlijk
makkelijk even controleren. Stel dat je in de registry iets ziet als:

[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
"mremotes" = "%System%\<random name>.exe"

....(of zoiets verdachts) dan weet je dat er iets loos is. Als zo'n req.
URI als "/getdata.php?id=4&version=2.10" geen onzin is dan zou het
allemaal nog wel mee kunnen vallen...

WD

[Warden Dave]

"Warden Dave" <warden_dave@mnsys.invalid> wrote:

> [HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
> "mremotes" = "%System%\<random name>.exe"

Al zie ik nu dat dat voorbeeld iets voor 1 soort malware is. Ik neem niet
aan dat er dan aanroepen aan een/je server worden gedaan; wat meer iets voor
harvesters is...

WD

[Operator]

In article <4448e53c$0$31651$e4fe514c@news.xs4all.nl>,
Paul van der Vlis <paul@vandervlis.nl> writes:
>
> Voor een school beheer ik een Apache server. In de logs vind ik van
> dit soort zaken:
>
> 192.168.0.195 - - [16/Apr/2006:06:25:55 +0200] "GET
> /getdata.php?id=4&version=2.10 HTTP/1.1" 200 103 "-" "Microsoft URL
> Control - 6.00.8862" "-"

Op de apache server staat in de doc-root getdata.php
Die doet iets en geeft een 200, alles OK. (103 bytes data)

> De IP's komen zowel van het interne netwerk als van daarbuiten.
> Microsoft URL control is gewoon een bepaalde API die gebruikt wordt in
> Visual C++.

Tja, je kan het ook vragen met een perl script of zo...
(inc het vertellen van (verzonnen) client software)

> Maar de interne machines waar dit vandaan komt zijn gewone Windows PC's.

Het zou kunnen dat ze vanaf een flop iets anders booten...
Zal wel niet.

> Kent iemand dit misschien? Zijn deze PC's misschien besmet met een virus
> o.i.d.?

Als je denkt dat getdata.php niet aangeroepen mag worden
dan moet je die niet op je server zetten.

Denk server-side. Als er een resource is (of niet),
ze komen er om vragen. Welk OS ze ook draaien.
En vertrouw ze geen van alle.

[Geert Wirken]

Warden Dave schreef op 21-4-2006 16:56:
> "Warden Dave" <warden_dave@mnsys.invalid> wrote:
>
>> [HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
>> "mremotes" = "%System%\<random name>.exe"
>
> Al zie ik nu dat dat voorbeeld iets voor 1 soort malware is. Ik neem
> niet aan dat er dan aanroepen aan een/je server worden gedaan; wat meer
> iets voor harvesters is...

Het zou natuurlijk kunnen dat je spyware hebt staan op een computer in
het lokale netwerk die e-mailadressen harvest. Misschien begint het
programma wel op je startpagina, als die staat ingesteld op een site op
je lokale server (vandaar de aanroepen in je logs) en volgt het zo een
weg naar buiten.

[Operator]

In article <444959c6$0$31640$e4fe514c@news.xs4all.nl>,
Geert Wirken <usenet@gwirken.nl> writes:
[...]
> Het zou natuurlijk kunnen dat je spyware hebt staan op een computer in
> het lokale netwerk die e-mailadressen harvest.

OP's getdata.php geeft een 200
Dan zal het wel mogen.

[Warden Dave]

"Operator" <root@mier.doktercom.nl> wrote:
> Geert Wirken <usenet@gwirken.nl> writes:

> [...]
>> Het zou natuurlijk kunnen dat je spyware hebt staan op een computer
>> in het lokale netwerk die e-mailadressen harvest.

> OP's getdata.php geeft een 200
> Dan zal het wel mogen.

Nu ja, de server kan met zo'n status code heerlijk onverschillig staan
tegenover Paul van der Vlis' eventuele probleem dat 1 of ander akeligs
binnen ook het interne netwerk alle vindbare bronnen/documenten
besnuffelt... (Zoals opgemerkt kun je als UA-String dat "Microsoft URL
Control" dus ook veelvuldig tegenkomen bij minder goedwillend gebruik van
die OCX.)

WD

[Geert Wirken]

Operator schreef op 22-4-2006 1:37:
> In article <444959c6$0$31640$e4fe514c@news.xs4all.nl>,
> Geert Wirken <usenet@gwirken.nl> writes:
> [...]
>> Het zou natuurlijk kunnen dat je spyware hebt staan op een computer in
>> het lokale netwerk die e-mailadressen harvest.
>
> OP's getdata.php geeft een 200
> Dan zal het wel mogen.

Ja, dat had ik ook gezien, maar stel dat het programma vanaf de
startpagina begint en alleen maar geldige links volgt zul je alleen maar
200's in je log zien.
In ieder geval kan OP wel zien welke PC het is, dus ik zou zeggen: even
goed alles nalopen op die computer.

[Operator]

In article <4449c545$0$31650$e4fe514c@news.xs4all.nl>,
Geert Wirken <usenet@gwirken.nl> writes:
> Operator schreef op 22-4-2006 1:37:
>> In article <444959c6$0$31640$e4fe514c@news.xs4all.nl>,
>> Geert Wirken <usenet@gwirken.nl> writes:
>> [...]
>>> Het zou natuurlijk kunnen dat je spyware hebt staan op een computer in
>>> het lokale netwerk die e-mailadressen harvest.
>>
>> OP's getdata.php geeft een 200
>> Dan zal het wel mogen.
>
> Ja, dat had ik ook gezien, maar stel dat het programma vanaf de
> startpagina begint en alleen maar geldige links volgt zul je alleen maar
> 200's in je log zien.

Dat is waar. Programmas van buiten het lan kunnen dat ook (en doen het ook)
De server moet er tegen kunnen.

> In ieder geval kan OP wel zien welke PC het is, dus ik zou zeggen: even
> goed alles nalopen op die computer.

Daar zit wat in. Het lan is in dit geval een tastbaar stuk van de
boze buitenwereld. Je hebt de mogelijkheid de hand te leggen op
een stuk software en dat te onderzoeken op eventuele kwade bedoelingen.

En als er naast de web-server in het lan nog meer servers draaien
dan moeten de beheerders daarvan zich ook realiseren dat ze het
lan als buitenwereld moeten beschouwen en ook daar de logs onderzoeken.

[Operator]

In article <e2bt50$311n$1@nl-news.euro.net>,
"Warden Dave" <warden_dave@mnsys.invalid> writes:
> "Operator" <root@mier.doktercom.nl> wrote:
>> Geert Wirken <usenet@gwirken.nl> writes:
>
>> [...]
>>> Het zou natuurlijk kunnen dat je spyware hebt staan op een computer
>>> in het lokale netwerk die e-mailadressen harvest.
>
>> OP's getdata.php geeft een 200
>> Dan zal het wel mogen.
>
> Nu ja, de server kan met zo'n status code heerlijk onverschillig staan
> tegenover Paul van der Vlis' eventuele probleem dat 1 of ander akeligs
> binnen ook het interne netwerk alle vindbare bronnen/documenten
> besnuffelt...

Ok. Als je het interne netwerk schoon hebt gemaakt, is de rest van
de wereld aan de beurt... onbegonne werk...

> (Zoals opgemerkt kun je als UA-String dat "Microsoft URL
> Control" dus ook veelvuldig tegenkomen bij minder goedwillend gebruik van
> die OCX.)

Zeker. En bij alle andere poorten/protocollen gebruiken ze de daar
gangbare teksten om geloofwaardig te lijken.

Ik zou mijn aandacht op eventuele andere servers in het lan richten.
Dat zijn er een beheersbaar aantal en moeten allemaal bestand zijn
tegen het besnuffelen van vindbare bronnen/documenten door derden.

[Paul van der Vlis]

Paul van der Vlis schreef:
> Hallo,
>
> Voor de een school beheer ik een Apache server. In de logs vind ik van
> dit soort zaken:
>
> 192.168.0.195 - - [16/Apr/2006:06:25:55 +0200] "GET
> /getdata.php?id=4&version=2.10 HTTP/1.1" 200 103 "-" "Microsoft URL
> Control - 6.00.8862" "-"
>
> De IP's komen zowel van het interne netwerk als van daarbuiten.
> Microsoft URL control is gewoon een bepaalde API die gebruikt wordt in
> Visual C++.
>
> Maar de interne machines waar dit vandaan komt zijn gewone Windows PC's.
> Kent iemand dit misschien? Zijn deze PC's misschien besmet met een virus
> o.i.d.?

Het lijkt erop dat het een of andere live-nieuws applicatie is die de
logs nogal vervuild, maar verder niets ergs.

Groet,
Paul.



--
http://www.vandervlis.nl/

[Geert Wirken]

Operator schreef op 22-4-2006 10:13:
>> (Zoals opgemerkt kun je als UA-String dat "Microsoft URL
>> Control" dus ook veelvuldig tegenkomen bij minder goedwillend gebruik van
>> die OCX.)
>
> Zeker. En bij alle andere poorten/protocollen gebruiken ze de daar
> gangbare teksten om geloofwaardig te lijken.
>
> Ik zou mijn aandacht op eventuele andere servers in het lan richten.
> Dat zijn er een beheersbaar aantal en moeten allemaal bestand zijn
> tegen het besnuffelen van vindbare bronnen/documenten door derden.

Ik denk dat het opvragen van vindbare bronnen niet het probleem is, maar
het feit dat computers in je *eigen* LAN dat doen met zo'n gekke
UA-string. Ik zou dat in ieder geval verdacht vinden, je zou eerder een
normale browser verwachten (weet niet wat op de school in kwestie wordt
gebruikt) i.p.v. een vage OCX.

[Operator]

In article <444a4fbc$0$31645$e4fe514c@news.xs4all.nl>,
Geert Wirken <usenet@gwirken.nl> writes:
[...]
> Ik denk dat het opvragen van vindbare bronnen niet het probleem is, maar
> het feit dat computers in je *eigen* LAN dat doen met zo'n gekke
> UA-string.

Het is een school lan. De gemiddelde user is gevaarlijker dan
de user-agent. Dicht spijkeren die servers. :-)