Botnet scanner efter Windows-pc'er i Danmark

Artiklen blev oprindeligt publiceret den 12/8/2004

DK-CERT har registreret en voldsom stigning i antallet af scanninger efter port 445 på den danske del af internettet. De kommer sandsynligvis fra et såkaldt botnet.

Fra tirsdag til onsdag steg antallet af pakker til port 445, der passerede gennem en af de centrale routere i Danmark, med over 1800 procent. Port 445 anvendes af Windows-computere. Der findes en række sårbarheder på porten, for eksempel den som ormen Sasser udnyttede. Endvidere bruges porten også til at afprøve svage brugernavne og adgangskoder.

De mange forsøg på at finde sårbare computere kommer sandsynligvis fra en botnet-orm. Det er en orm, der spreder sig ved at udnytte kendte sårbarheder. Når det lykkes den at inficere en computer, forbinder den sig til et IRC-netværk (Internet Relay Chat). Herfra kan ormens bagmænd sende kommandoer til den.

Angrebene kommer fra computere fra hele verden og er rettet mod computere på danske netværk. Der er ikke registreret tilsvarende stigende aktivitet på port 445 på verdensplan.