[Nlnog] SSH scanning - PHPMyAdmin related

[Erik Bais]

Hi,

We hebben in de afgelopen week een aantal machines van klanten gezien bij verschillende ISP's die een serieuze hoeveelheid SSH scan's doen.
De hoeveelheid verkeer die de scan's genereren kan aardig oplopen ..  ik heb 80Mbit gezien vanaf sommige machines..

Hoewel het redelijk snel op te lossen is, leek het maandag / dinsdag wel alsof er niets anders te doen was ..

Hebben meer mensen dit gezien in de afgelopen week / maand ?

Het lijkt te maken te hebben met (http://isc.sans.edu/diary.html?storyid=9370&rss ) een oudere versie van PHPMyAdmin en uiteraard klanten die hun machine niet up to date houden .. Een vrij slechte combi ..

Meer info:
http://netblog.aegaeon.ca/2010/08/10/botnet-trend-phpmyadmin-ssh-attacks/#more-71
http://www.dslreports.com/forum/r24640843-Botnet-Trend-phpMyAdmin-SSH-Attacks

Mvg,
Erik Bais