nabend,

wir hatten einige PCs, die das Netz mit dem Trojaner GateCrasher gescannt haben. Auf den infizierten/ gehackten PCs war VNC irgendwie versteckt (und ohne Passwort) installiert worden. Unter Software oder in irgendeinem Ordner hab ich es nicht gefunden...
Anscheinend hatten andere Unis auch dieses Problem in den letzten Tagen.

Weiß da jmd noch irgendwas darüber? Wie konnten die VNC versteckt installieren?

Auf den PCs wurde anscheinend nichts geändert. Vielleicht wurden sie auch versteckt als Warezdump verwendet (geht das?).
Was könnte der Eindringling sonst für ne Absicht gehabt haben?

</font><blockquote>Zitat:</font><hr />Original erstellt von Dyna:
wir hatten einige PCs, die das Netz mit dem Trojaner GateCrasher gescannt haben.</font>[/QUOTE]Wie genau wurde das festgestellt?
Firewall-Logs? Falls ja, was für welche?
Laufende Prozesse?
</font><blockquote>Zitat:</font><hr />Auf den infizierten/ gehackten PCs war VNC irgendwie versteckt (und ohne Passwort) installiert worden.</font>[/QUOTE]Muss wieder fragen: Wie wurde das festgestellt? Was für PCs sind das überhaupt, will sagen: Wer hat Zugang, welche Rechte existieren? Welches OS/Patches usw.?
</font><blockquote>Zitat:</font><hr />Anscheinend hatten andere Unis auch dieses Problem in den letzten Tagen.</font>[/QUOTE]Quellen für diese Aussage? Nicht, dass ich es nicht glauben würde...ich würds nur gern wissen.
</font><blockquote>Zitat:</font><hr />Wie konnten die VNC versteckt installieren?</font>[/QUOTE]Inwiefern es bei VNC geht, weiß ich nicht mit Sicherheit, aber es gibt ganz legal Programme, mit denen man sowas bewerkstelligen kann.
</font><blockquote>Zitat:</font><hr />Auf den PCs wurde anscheinend nichts geändert.</font>[/QUOTE]Die Aussage ist unklar. Ich denke, dort lief VNC und ein Trojaner obendrein. Wenn das keine Veränderung ist, dann weiß ich auch nicht.
</font><blockquote>Zitat:</font><hr />Vielleicht wurden sie auch versteckt als Warezdump verwendet (geht das?).</font>[/QUOTE]Sicher.
</font><blockquote>Zitat:</font><hr />Was könnte der Eindringling sonst für ne Absicht gehabt haben? </font>[/QUOTE]Ist eigentlich völlig egal. War der PC kompromittiert, gehört er vom Netz getrennt und neu aufgesetzt. Dort gespeicherte Passwörter und andere nützliche Infos bzgl. des restlichen Netzes gehören geändert. Das kann u.U. die gesamte Netzstruktur betreffen.

</font><blockquote>Zitat:</font><hr />Original erstellt von IRON:
Wie genau wurde das festgestellt?
Firewall-Logs? Falls ja, was für welche?
</font>[/QUOTE]Good old Norton™ Personal Firewall *hust*


</font><blockquote>Zitat:</font><hr /> </font><blockquote>Zitat:</font><hr /> Auf den infizierten/ gehackten PCs war VNC irgendwie versteckt (und ohne Passwort) installiert worden.</font>[/QUOTE]Muss wieder fragen: Wie wurde das festgestellt?
</font>[/QUOTE]Indem ich meinen VNC Viewer (und davor NMAP) gestartet hab...

</font><blockquote>Zitat:</font><hr /> Welches OS/Patches usw.?
</font>[/QUOTE]Über VNC hab ich dann gesehen, dass einem Win 2000 Rechner 40 wichtige Updates fehlten...

</font><blockquote>Zitat:</font><hr /> </font><blockquote>Zitat:</font><hr />Anscheinend hatten andere Unis auch dieses Problem in den letzten Tagen.</font>[/QUOTE]Quellen für diese Aussage? Nicht, dass ich es nicht glauben würde...ich würds nur gern wissen.
</font>[/QUOTE]Quelle: Die oben genannte Firewall. Das eine war eine Uni in Sussex und die andere in Antwerpen. Der in Antwerpen hat den PC erstmal (auf meine E-Mail hin) gesperrt und der andere hatte ihn gleich am ersten Tag (als der PC auffällig wurde) gesperrt. Weitere Informationen hatten die aber auch nicht...

</font><blockquote>Zitat:</font><hr /> </font><blockquote>Zitat:</font><hr />Auf den PCs wurde anscheinend nichts geändert.</font>[/QUOTE]Die Aussage ist unklar. Ich denke, dort lief VNC und ein Trojaner obendrein. Wenn das keine Veränderung ist, dann weiß ich auch nicht.
</font>[/QUOTE]Ok, das stimmt natürlich; aber es wurden keine Dateien verändert/ gelöscht o.ä.


</font><blockquote>Zitat:</font><hr />War der PC kompromittiert, gehört er vom Netz getrennt und neu aufgesetzt. Dort gespeicherte Passwörter und andere nützliche Infos bzgl. des restlichen Netzes gehören geändert. Das kann u.U. die gesamte Netzstruktur betreffen. </font>[/QUOTE]Die zuständige Person ("Ich habe nur nen Halbtags-Job und kann mich nicht um 70 PCs kümmern...") hat das System jetzt neu aufgesetzt... Das beste war, als sie mir gesagt hat, sie würden regelmäßig die Windowsupdates installieren. Erst gestern sogar auf diesem PC (genau - deshalb fehlen auch nur 40 Updates...)

Ich will garnicht wissen, wieviele solche PCs (bzw. Scheunentore) es noch an der Uni gibt...