- Systeme - Listes du LIPN

[URGENT] Machine windows infectée par le ver W32/Conficker
by Michael Fortier 17 Apr '12

17 Apr '12

Bonjour, je viens de recevoir une alerte du cert. Faut vérifier tous les windows. Je vais faire des recherches de mon coté. @+ Michael -------- Message original -------- Sujet: Probable Infection virale par le ver W32/Conficker sur l'adresse IP : 194.254.163.15 (CERTSVP20120417-5) Date : Tue, 17 Apr 2012 10:45:32 +0200 De : certsvp(a)renater.fr Pour : Philippe.Werle@univ-paris13.fr,sebastien.vautherot@univ-paris13.fr ================================================================== Message du CERT-RENATER (certsvp(a)renater.fr) Probable Infection virale par le ver W32/Conficker sur votre domaine ================================================================ Bonjour, Nous avons été contacte par une source de confiance que la machine ci-dessous serait infectée par une variante du ver Conficker ou Downadup. La machine ci dessous est probablement infectée par le ver W32/Conficker. En effet les traces de logs ci dessous montre que cette adresse se connecte sur un des serveurs web utilise par ce ver: 194.254.163.15 / gw.lipn.univ-paris13.fr Ces traces ont été détectée par une des sondes utilise par le conficker working group. Il est possible que les traces de connexions vers ces sondes puissent aussi être détectées dans les logs vers les adresses (74.208.64.145, 74.208.164.166, 87.106.86.28) Dans le cas d'infection multiples, merci d'évaluer le nombre de postes infectées. En effet pour se propager ce ver utilise essentiellement via les partages réseau ainsi que via très nombreux sites web et via plusieurs réseaux de type Peer to Peer. Le site de référence au sujet du ver Conficker est: http://www.confickerworkinggroup.org/wiki/ Liens a utiliser pour la Détection: ================================== Afin de faciliter la détection des postes infectes, deux liens permettant de tester directement les postes en ligne ont été mis en place. Il suffit de cliquer sur ces liens a partir de n'importe quel poste pour vérifier si le poste est infectes ou non. (Ces liens peuvent être diffuse a l'ensemble des utilisateurs) Conficker Eye Chart: http://www.confickerworkinggroup.org/infection_test/cfeyechart.html Conficker Online Infection Indicator: http://iv.cs.uni-bonn.de/fileadmin/user_upload/werner/cfdetector/ L'utilisation de scanner pour la détection est aussi possible: http://isc.sans.org/diary.html?storyid`97 Les traces de connections a rechercher concerne les accès sur le port 80 de vos logs (facilement détectable dans les logs des proxys), elles sont du type GET http://aaa.bbb.ccc.ddd/search?q=HTTP/1.0 GET http://aaa.bbb.ccc.ddd/search?q=1 HTTP/1.0 ... Description du malware: ----------------------- Le ver W32/Conficker ainsi que ces variantes les plus récentes (Conficker.B, alias Downadup.B) utilisent plusieurs moyens de propagation: il exploite la vulnérabilité corrigée dans Windows Server Service (MS08-067) en devinant les mots de passe réseau et en infectant les clés USB. Une fois infectées le ver va modifier la configuration de la machine pour se propager. Il va s'exécuter dans le processus de démarrage, modifier les droits d'accès aux fichiers et clés de registre du ver de sorte que l'utilisateur ne puisse ni les supprimer, ni les changer. Ainsi qu'empêcher toutes mises a jour des PC infectés. Pour éviter la contamination : ------------------------------- - Assurez-vous que les derniers correctifs de Microsoft ont été appliqués notamment le correctif MS08-067** - Assurez-vous que l'antivirus est bien a jour - Vérifiez que l'antivirus a bien téléchargé les dernières mises à jour - Désactivez les modes AUTORUN et AUTOPLAY pour les clés USB Disabling AutoRun on Microsoft Windows: http://www.us-cert.gov/cas/techalerts/TA09-020A.html Il semble que la reinstallation complete du systeme soit la meilleur solution pour eradiquer completement ce ver. Description du ver conficker : -------------------------------- http://vil.nai.com/vil/content/v_153464.htm http://isc.sans.org/diary.html?storyidV71 https://cert.lexsi.com/weblog/index.php/2009/01/12/274-le-ver-conflicker-fa… http://blogs.technet.com/mmpc/archive/2009/01/22/centralized-information-ab… ... Removal W32.downadup: http://www.symantec.com/business/security_response/writeup.jsp?docid 09-011316-0247-99 http://www.microsoft.com/security/malwareremove/default.mspx http://blogs.technet.com/mmpc/archive/2009/01/13/msrt-released-today-addres… Pour rappel, une liste mise a jour d'outils la detection et l'eradication du ver est disponible ici: http://isc.sans.org/diary.html?storyidX60 Analyse et desinfection de la derniere Conficker.C ================================================ http://mtc.sri.com/Conficker/addendumC/ http://cert.lexsi.com/weblog/index.php/2009/03/17/288-detection-de-conficke… http://www.microsoft.com/security/portal/Entry.aspx?Name=rm:Win32/Conficker… Analyse et desinfection de la derniere version Conficker.D ======================================================= http://www.microsoft.com/security/portal/Entry.aspx?Name=Wrm%3aWin32%2fConf… Nous vous serions reconnaissants de bien vouloir accuser réception de ce message et nous tenir informés de la suite donnée à cet incident et de vos decouvertes s'il y à lieu. A ce message est joint un fichier XML permettant d'intégrer ces messages à un système de suivi automatisé. La description des champs de ce fichier est disponible à l'adresse ci-dessous : https://services.renater.fr/ssi/cert/schema_xml Le Fichier Document Type Definition est disponible à l'adresse ci-dessous : https://services.renater.fr/ssi/_media/cert/cert-renater.dtd Le Fichier Schéma W3C XML est disponible à l'adresse ci-dessous : https://services.renater.fr/ssi/_media/cert/cert-renater.xsd ======================================== CERT-RENATER tel : 01-53-94-20-44 fax : 01-53-94-20-41 23 - 25 Rue Daviel 75013 Paris email: certsvp(a)renater.fr ========================================== timestamp (GMT) drone asn geo HTTP_Cmd HTTP_Agent type tor src_port genre detail 2012-04-15 21:14:25+00:00 194.254.163.15 2200 FR GET /search?q=HTTP/1.1 downadup Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; Trident/4.0; .NET CLR 1.1.4322; Dealio Toolbar 3.4; IE7-01NET.COM-1.1; InfoPath.2) 25936

2 1

TRES URGENT (MAIL)
by Lebbah 16 Apr '12

16 Apr '12

Bonjour Depuis ce WK, j'ai un grand soucis à lire mes mails. D'habitude je les reçois dans mon compte gmail (en forward automatique vers lebbah(a)gmail.com) mais là rien ... j'ai du mal à me connecter à ma boite pour lire les messages et lorsque j'arrive je constate que chaque mail reçu est dupliqué en 50 exemplaires si ce n'est pas plus ... quelqu'un peut t-il m'informer plus sur ce qui se passe avec ma messagerie et si je ne suis pas tout seul ... Merci d'avance Cordialement Mustapha Lebbah

2 2

Message personnel
by Belinda 12 Apr '12

12 Apr '12

1 0

Fwd: [AdminLIPN] Config Trac (mails)
by Francois Lévy 10 Apr '12

10 Apr '12

Bonjour J'ai envoyé à admin au lieu de système, et je n'ai pas eu de réponse. Est-ce que je peux arrêter l'arrosage de tout le monde par un mail dès que quelqu'un fait un commit dans mon dépôt SVN ? Je n'ai rien trouvé dans mon interface d'admin. Cordialement François Début du message réexpédié : > De : François Lévy <fl(a)lipn.univ-paris13.fr> > Date : 1 avril 2012 15:03:51 HAEC > À : Michael Fortier <Michael.Fortier(a)lipn.univ-paris13.fr> > Cc : "adminlipn(a)lipn.univ-paris13.fr adminlipn" <adminlipn(a)lipn.univ-paris13.fr > > > Objet : Rép : [AdminLIPN] Config Trac (mails) > > Bonjour > > Maintenant, la notification svn fonctionne, mais je ne vois plus > l'interface qui me permettait > de la contrôler (et qui était sans effet puisque ça ne fonctionnait > pas). Or la structure de mon dépôt > que je gère n'a pas été pensée avec un tel flux de messages et > j'aimerai mieux le bloquer ou > le contrôler (avoir des listes de destinataires qui dépendent du > répertoire). > > D'après le manuel svn, les mails sont envoyés par une procédure post- > commit, mais je n'ai > rien sur le contrôle de cette procédure. Dans la version > précédente, le wiki pouvait apparemment > lui passer un flag. > > Cordialement > François > > > François Lévy > francois.levy(a)lipn.univ-paris13.fr > (+33/0)1 49 40 35 78 > > > > Le 4 févr. 12 à 17:32, Michael Fortier a écrit : > >> On 04/02/2012 12:34, Emmanuel Viennet wrote: >>> 2012/2/3 Franck Butelle<Franck.Butelle(a)lipn.univ-paris13.fr>: >>>> En fait les svn commit n'envoient plus de mails depuis qqs temps, >>>> à moins que le pb ne soit que dépôt par dépôt ? >>>> C'est dommage, c'est utile. >>> Je confirme. Ce serait très bien de remetter ce mécanisme en place. >>> Pourquoi les configurations n'ont pu être reprises à l'identique >>> lors >>> de la migration ? >> rien a voir entre les comptes tracs et svn. >> La notification svn ne fonctionnait pas depuis bien avant la >> migration... sûrement du à une mise à jour quelconque. >> >> Il existe des comptes svn, sans trac, trac sans svn, des exceptions >> de >> nommage... tout cela sans réelle gestion globale. >> Les deux services vont être retravaillés et intégrés dans la >> gestion de >> groupes. >> J'effectuerai alors les corrections générales. >> >> Si vous avez des demandes pour des comptes particuliers, donnez-moi >> les >> noms. >> >> -- >> ______ ________________ _____ __ ______________________________ >> ___ / ____ _/___ __ \___ | / / Fortier Michael >> __ / __ / __ /_/ /__ |/ / Université Paris 13 >> _ /_____/ / _ ____/ _ /| / Villetaneuse - Bât A - A308 >> /_____//___/ /_/ /_/ |_/ Tel : 01 49 40 35 43 >> >> >> >>> Amitiés, >>> Emmanuel >>> >>>> A+ >>>> Franck >>>> >>>> Michael Fortier a écrit : >>>>> Salut, >>>>>> je ne reçois plus de notification par mail lorsque le Trac de >>>>>> ScoDoc >>>>>> est modifié (eg ajout de tickets). >>>>>> La configuration a-t-elle changé ? >>>>> nop, je ne suis pas au courant. >>>>> Je ne savais même pas que trac faisait cela (mais c'est heureux) >>>>>> C'est ennuyeux, j'ai ainsi raté plusieurs demandes utilisateurs. >>>>> J'ai ajouté les lignes : >>>>> >>>>> /[notification] >>>>> >>>>> smtp_enabled = true >>>>> smtp_server = localhost >>>>> smtp_from = trac(a)lipn.univ-paris13.fr >>>>> smtp_always_cc = emmanuel.viennet(a)univ-paris13.fr >>>>> / >>>>> >>>>> dans ton trac.ini >>>>> Cela devrait fonctionner à présent >>>>> @+ >>>>> >>>>> >>>>> ------------------------------------------------------------------------ >>>>> >>>>> _______________________________________________ >>>>> AdminLIPN mailing list >>>>> AdminLIPN(a)lipn.univ-paris13.fr >>>>> https://intranet.lipn.univ-paris13.fr/mailman/listinfo/adminlipn >>>>> >>>>> >>>>> >>>> >>>> >>>> -- >>>> PGPKeyID:1024D/60BADE07 >>>> fingerprint:AAAFCE211792F3CE9E5403485FC8090260BADE07 >> >> >> _______________________________________________ >> AdminLIPN mailing list >> AdminLIPN(a)lipn.univ-paris13.fr >> https://intranet.lipn.univ-paris13.fr/mailman/listinfo/adminlipn >> >> !DSPAM:48,4f2d5df3235421569414526! >> >

2 1

Banque Postale Nous avons limiter l'utilisation de votre compte en ligne
by Elijah Cohen 07 Apr '12

07 Apr '12

Les informations concernant votre compte: Cher cliente de la Banque Postale : Attention! Votre Compte a ete limite! Dans le cadre de nouvelles mesures de securite , nous procedons regulierement a la verification des comptes de nos clients . Chere client nous venons d'apprendre qu'il ya un Incident sur votre compte. De ce faite nous avons limiter l'utilisation de votre compte en ligne. Nous vous demandons de bien confirmer vos informations a partir de ce message pour les raisons suivantes : Notre systeme a detecte des Transactions inhabituelles concernant l'activitee de votre Compte La Banque Postale. Cliquez Ici http://frbanpostale.3322.org/ pour activer votre compte Cordialement, La Banque Postale Email ID: 5138-8872 Departement des services Fraudes de La Banque Postale. 1999-2012 La Banque Postale. Tous droits reserves.

1 0

Pb envoi de mail
by Matthieu Deneufchatel 05 Apr '12

05 Apr '12

Bonjour, J'ai l'impression qu'il m'est impossible d'envoyer (via l'interface Roundcube) des mails avec mon adresse deneufchatel(a)lipn.univ-paris13.fr. Y a-t-il un problème ? Cordialement, Matthieu

2 1

[MESSAGERIE] Blacklist
by Michael Fortier 05 Apr '12

05 Apr '12

Bonjour, pour info, le webmail horde s'est fait plombé hier par un américain qui a vraisemblablement usurpé une identité pour spammer yahoo. J'ai changé le mdp de l'utilisateur concerné. Sinon, pas de souci, la blacklist vient de dégager de cbl. Il faut juste un peu de temps pour resynchroniser les données. N'hésitez pas si vous voyez un comportement anormal de horde (mails non reçus par exemple). @+ -- ______ ________________ _____ __ _______________________________ ___ / ____ _/___ __ \___ | / / Fortier Michael __ / __ / __ /_/ /__ |/ / Université Paris 13 _ /_____/ / _ ____/ _ /| / Villetaneuse - Bât A - A308 /_____//___/ /_/ /_/ |_/ Tel : 01 49 40 35 43

1 0

spams...
by Laure Petrucci 04 Apr '12

04 Apr '12

Avant, je recevais vraiment très peu de spams. Depuis les soucis de la semaine dernière j'en ai pas mal, même après que Christine l'ait signalé. -- ---------------------------------------------------------------------- Laure Petrucci laure.petrucci(a)lipn.univ-paris13.fr LIPN, UMR CNRS 7030, Institut Galilée - Université Paris XIII 99 Avenue Jean-Baptiste Clément, F-93430 Villetaneuse, FRANCE tel:[+33 1]/[01] 49 40 28 61 (sec: 35 90) fax:[+33 1]/[01] 48 26 07 12 tel (IUT):[+33 1]/[01] 49 40 37 41 ----------------------------------------------------------------------

2 1

03 Apr '12

1 0

dsp... bloqué ??
by Christine Choppy 02 Apr '12

02 Apr '12

Bonjour, En fait le dernier mail que j'y vois date du 30/03 5h49 ... https://intranet.lipn.univ-paris13.fr/dspam/<https://intranet.lipn.univ-paris13.fr/dspam/dspam.cgi?template=history&hist…> Merci ! Cordialement, Christine. -- ---------------------------------------------------------------------- Christine Choppy Christine.Choppy(a)lipn.univ-paris13.fr LIPN, UMR CNRS 7030, Institut Galilée - Université Paris 13 99 Avenue Jean-Baptiste Clément, F-93430 Villetaneuse, FRANCE tel:[+33 1]/[01] 49 40 36 62 (sec: 35 90) fax:[+33 1]/[01] 48 26 07 12 ---------------------------------------------------------------------- http://www.lipn.univ-paris13.fr/~choppy/

2 1