Volgens het Internet Storm Centrum (http://isc.incidents.org/) is er een dramatische toename van scans op NetBios poort 137 geconstateerd in de laatste paar dagen. Wie daarover meer wil lezen kan kijken op de volgende internetpagina’s:

http://isc.incidents.org/
http://isc.incidents.org/analysis.html?id=170
http://isc.incidents.org/top10.html
http://isc.incidents.org/port_details.html?port=137

Het I.S.C. gelooft nu dat deze poortscan inderdaad moet worden gerelateerd aan de nieuwe internetwormen W32.Bugbear en Scrub-worm die in de afgelopen dagen het internet teisteren. Tot nu toe heb ik in de Intrusion Analyzer (Visual Zone versie 5.7.0.2909) de volgende hits kunnen doorsturen naar het Internet Storm Centrum;

type,date,time,source,destination,transport

FWIN,2002/09/24,10:23:48 +2:00 GMT,212.83.192.25:137,212.115.200.81: 137,UDP
FWIN,2002/09/29,17:51:16 +2:00 GMT,62.83.125.147:1025,212.115.195.238: 137,UDP
FWIN,2002/09/29,18:32:50 +2:00 GMT,61.40.196.148:1026,212.115.195.28: 137,UDP
FWIN,2002/09/29,21:55:46 +2:00 GMT,212.115.195.70:1028,212.115.196.16: 137,UDP
FWIN,2002/09/30,22:28:06 +2:00 GMT,212.115.195.236:1025,212.115.195.240: 137,UDP
FWIN,2002/09/30,23:11:44 +2:00 GMT,212.115.195.236:1025,212.115.195.174: 137,UDP
FWIN,2002/10/01,19:18:38 +2:00 GMT,169.229.52.83:1026,212.115.196.79: 137,UDP
FWIN,2002/10/01,19:31:58 +2:00 GMT,212.115.195.26:1025,212.115.196.79: 137,UDP
FWIN,2002/10/01,19:41:12 +2:00 GMT,196.20.13.26:1030,212.115.196.79: 137,UDP
FWIN,2002/10/01,19:56:02 +2:00 GMT,80.11.148.136:1046,212.115.196.79: 137,UDP
FWIN,2002/10/03,06:13:46 +2:00 GMT,61.121.35.125:1025,212.115.200.126: 137,UDP
FWIN,2002/10/04,06:11:52 +2:00 GMT,64.160.155.194:1026,212.115.195.220: 137,UDP
FWIN,2002/10/04,06:16:00 +2:00 GMT,207.248.47.252:24881,212.115.195.220: 137,UDP
FWIN,2002/10/04,16:41:48 +2:00 GMT,68.144.18.21:1026,212.115.195.183: 137,UDP
FWIN,2002/10/05,12:39:04 +2:00 GMT,80.198.28.171:1025,212.115.195.192: 137,UDP
FWIN,2002/10/05,19:13:04 +2:00 GMT,66.191.194.2:1031,212.115.200.65: 137,UDP

Het I.S.C krijgt miljoenen logbestanden binnen over de gehele wereld. Uit de IP-adressen kan men de locatie achterhalen. Uit de analyse blijken de volgende landen voor te komen:

Denemarken,
Frankrijk (Brittanië),
Japan,
Mexico,
Nederland,
Spanje,
Verenigde Staten (diverse Universiteiten)

Als we de resultaten van Messageslabs in Engeland erbij leggen, dan mogen we kennelijk niet verwachten dat W32.Bugbear snel van het net zal verdwijnen. Voorlopig blijft men er last van houden. Voor verdere informatie over Bugbear zie:

http://securityresponse.symantec.com/avcenter/venc/data/w32.bugbear@mm.html