[TABLE="class: tablea_fc, width: 100%"]
[TR]
[TD]
Dreambox Virus / Bot entdeckt![/TD]
[TD="align: right"][/TD]
[/TR]
[/TABLE]
Hab da was krasses erlebt heute ... wusste gar nicht das es sowas gibt
Mein Kumpel hatte Tagelang probleme mit seiner dreambox. jeden tag gecrasht und danach waren irgendwelche dateien ausgetauscht und enigma startete nicht mehr. Musste immer neu flashen und nächsten Tag ging wieder nix.
Hab ihm dann heute mal geholfen und rausgefunden das seine box permanent im internet erreichbar war weil er portfreigabe gemacht hat für telnet und ftp damit er von der arbeit und so auf die box kommt. Leider standard username/passwort mit root/dreambox.
Eben war seine box wieder hinüber. Konnte dann im aktivieren FTP und Telnet Log auf seiner Box sehen das sich einer eingeloggt hat auf der box aus polen, ein paar files auf die box kopiert hat und irgendnen unfug gemacht hat.
Konnte lustigerweise die IP selber im browser und ftp erreichen mit standard root/dreambox login, war eine ENIGMA1 Box ...
Auf dieser fremden box lief ein prozess names "m5" das wohl permanent irgendwelche internet ip ranges gescannt hat und probiert hat sich dort mit root/dreambox einzuloggen und wenn login erfolgreich, dann wurde der bot auch da installiert und ein paar libs ausgetauscht die den bot starten. Diese Box hat dann wohl jeden Tag meinen Kumpel probiert zu infizieren und den bot zu installieren.
Da es LIBS sind für enigma1 crashte aber die box von meinem kumpel immer weil die für POWERPC und nich MIPSEL kompiliert sind ...
Kann in dem kompilierten "m5" binary nich viel erkennen, aber es ist aufjedenfall nen BOT der IP's scannt und sich dann probiert damit zu verbreiten.
Aber da sind ein paar text strings zu erkennen die klar drauf hindeuten das es sich um einen bot handelt, befehle wie DDOS, IP Scans usw usw.
[TABLE="width: 98%, align: center"]
[TR]
[TD] [TABLE="class: tableinborder, width: 100%"]
[TR="class: smallfont"]
[TD="class: tablecat, colspan: 2"]
code:[/TD]
[/TR]
[TR="class: smallfont"]
[TD="class: inposttable, align: right"]1:
2:
3:
4:
5:
6:
7:
8:
9:
10:
11:
12:
13:
14:
15:
16:
17:
18:
19:
20:
21:
22:
23:
24:
25:
26:
27:
28:
29:
30:
31:
32:[/TD]
[TD="class: inposttable, align: left"]PRIVMSG %s :* .login <password> - login to bot's party-line
PRIVMSG %s :* .logout - logout from bot's party-line
PRIVMSG %s :* *** Miscs Commands
PRIVMSG %s :* .exec <commands> - execute a system command
PRIVMSG %s :* .version - show the current version of bot
PRIVMSG %s :* .status - show the status of bot
PRIVMSG %s :* .help - show this help message
PRIVMSG %s :* *** Scan Commands
PRIVMSG %s :* .advscan <a> <b> <user> <passwd> - scan with user
ass (A.B) classes sets by you
PRIVMSG %s :* .advscan <a> <b> - scan with d-link config reset bug
PRIVMSG %s :* .advscan->recursive <user> <pass> - scan local ip range with user
ass, (C.D) classes random
PRIVMSG %s :* .advscan->recursive - scan local ip range with d-link config reset bug
PRIVMSG %s :* .advscan->random <user> <pass> - scan random ip range with user
ass, (A.B) classes random
PRIVMSG %s :* .advscan->random - scan random ip range with d-link config reset bug
PRIVMSG %s :* .advscan->random->b <user> <pass> - scan local ip range with user
ass, A.(B) class random
PRIVMSG %s :* .advscan->random->b - scan local ip range with d-link config reset bug
PRIVMSG %s :* .stop - stop current operation (scan/dos)
PRIVMSG %s :* *** DDos Commands:
PRIVMSG %s :* NOTE: <port> to 0 = random ports, <ip> to 0 = random spoofing,
PRIVMSG %s :* use .*flood->[m,a,p,s,x] for selected ddos, example: .ngackflood->s host port secs
PRIVMSG %s :* where: *=syn,ngsyn,ack,ngack m=mipsel a=arm p=ppc s=superh x=x86
PRIVMSG %s :* .spoof <ip> - set the source address ip spoof
PRIVMSG %s :* .synflood <host> <port> <secs> - tcp syn flooder
PRIVMSG %s :* .ngsynflood <host> <port> <secs> - tcp ngsyn flooder (new generation)
PRIVMSG %s :* .ackflood <host> <port> <secs> - tcp ack flooder
PRIVMSG %s :* .ngackflood <host> <port> <secs> - tcp ngack flooder (new generation)
PRIVMSG %s :* *** IRC Commands:
PRIVMSG %s :* .setchan <channel> - set new master channel
PRIVMSG %s :* .join <channel> <password> - join bot in selected room
PRIVMSG %s :* .part <channel> - part bot from selected room
PRIVMSG %s :* .quit - kill the current process[/TD]
[/TR]
[/TABLE]
[/TD]
[/TR]
[/TABLE]
Der prozess lief auf der box aus polen dutzende mal und hatte dutzende aktivie Internet verbindungen .... war also fleissig dabei fremde boxen im internet zu suchen wo man sich mit root/dreambox einloggen konnte. Und wenn das gelang wurden ein paar dateien ausgetauscht ... schlecht für enigma2 boxen das es sich dabei um powerpc libs handelt udn danach gar nix mehr geht.
Hab mir die Bot Binaries mal geladen und gezippt, vlt kann da ja einer was mit anfangen aber vorsicht!!!
Find ich krass ... wusste gar nich das es dreambox viren gibt. Zugegeben eine Box im internet zu haben ohne passwort bzw. mit standard root/dreambox login is nicht gerade schlau, aber das es Bots gibt die solche dreamboxen suchen und infizieren finde ich schon krass!!!
