[nsp-sec] Morto worm C&C (RDP Scanner)

[Nick Hale]

Ack 28144.

On 8/30/2011 13:29, Joel Rosenblatt wrote:
> ----------- nsp-security Confidential --------
> 
> 
> 
> 
> Hi,
> 
> I found what looks like a Morto worm C&C on our network on the 25th - it was taken down, but the bots are still reporting in - see attached file for IPs
> 
> Start time for IP's found 2011/08/26 14:09:29 -0500
> End time                  2011/08/29 01:43:28 -0500
> 
> Here are the ASNs found:
> 
> 3
> 8
> 9
> 12
> 17
> 18
> 25
> 26
> 27
> 29
> 31
> 32
> 46
> 47
> 52
> 55
> 59
> 81
> 87
> 91
> 103
> 111
> 131
> 137
> 160
> 174
> 209
> 217
> 224
> 225
> 237
> 239
> 271
> 376
> 553
> 577
> 680
> 714
> 719
> 766
> 786
> 803
> 812
> 852
> 855
> 1103
> 1110
> 1161
> 1213
> 1221
> 1224
> 1239
> 1246
> 1249
> 1257
> 1267
> 1312
> 1423
> 1547
> 1653
> 1659
> 1668
> 1680
> 1706
> 1742
> 1759
> 1781
> 1785
> 1832
> 1853
> 1967
> 1968
> 2055
> 2108
> 2110
> 2116
> 2119
> 2152
> 2386
> 2510
> 2516
> 2518
> 2519
> 2527
> 2547
> 2572
> 2609
> 2634
> 2637
> 2698
> 2701
> 2706
> 2711
> 2764
> 2828
> 2830
> 2841
> 2846
> 2847
> 2852
> 2856
> 2914
> 3209
> 3215
> 3216
> 3239
> 3243
> 3249
> 3255
> 3257
> 3269
> 3292
> 3301
> 3303
> 3308
> 3320
> 3339
> 3352
> 3356
> 3452
> 3462
> 3479
> 3512
> 3549
> 3582
> 3593
> 3676
> 3685
> 3737
> 3741
> 3786
> 3790
> 3794
> 3801
> 3813
> 3816
> 3999
> 4130
> 4134
> 4181
> 4385
> 4436
> 4540
> 4609
> 4657
> 4685
> 4704
> 4713
> 4721
> 4725
> 4750
> 4755
> 4760
> 4766
> 4768
> 4773
> 4775
> 4780
> 4788
> 4802
> 4804
> 4808
> 4812
> 4837
> 4847
> 5006
> 5056
> 5089
> 5090
> 5384
> 5385
> 5391
> 5400
> 5432
> 5479
> 5483
> 5486
> 5495
> 5513
> 5522
> 5603
> 5607
> 5610
> 5617
> 5645
> 5650
> 5661
> 5690
> 5713
> 5719
> 5738
> 5742
> 5769
> 5778
> 6057
> 6079
> 6106
> 6128
> 6147
> 6181
> 6192
> 6198
> 6263
> 6304
> 6306
> 6327
> 6356
> 6367
> 6389
> 6400
> 6458
> 6478
> 6535
> 6614
> 6621
> 6639
> 6648
> 6661
> 6690
> 6697
> 6702
> 6711
> 6713
> 6724
> 6739
> 6752
> 6785
> 6789
> 6799
> 6805
> 6828
> 6830
> 6848
> 6849
> 6855
> 6856
> 6866
> 6876
> 6877
> 6907
> 7011
> 7015
> 7016
> 7017
> 7018
> 7029
> 7050
> 7058
> 7065
> 7106
> 7132
> 7137
> 7276
> 7303
> 7377
> 7418
> 7459
> 7474
> 7522
> 7543
> 7545
> 7552
> 7575
> 7657
> 7679
> 7718
> 7725
> 7738
> 7782
> 7896
> 7992
> 8002
> 8039
> 8047
> 8048
> 8111
> 8121
> 8151
> 8163
> 8167
> 8175
> 8220
> 8257
> 8334
> 8339
> 8346
> 8359
> 8369
> 8371
> 8376
> 8400
> 8402
> 8404
> 8422
> 8427
> 8439
> 8445
> 8447
> 8452
> 8473
> 8551
> 8615
> 8708
> 8717
> 8728
> 8737
> 8751
> 8764
> 8771
> 8818
> 8865
> 8866
> 8877
> 8881
> 8926
> 8997
> 9031
> 9038
> 9044
> 9051
> 9105
> 9116
> 9117
> 9121
> 9141
> 9143
> 9158
> 9198
> 9229
> 9246
> 9269
> 9299
> 9318
> 9323
> 9354
> 9374
> 9416
> 9419
> 9488
> 9503
> 9506
> 9519
> 9605
> 9617
> 9621
> 9622
> 9644
> 9674
> 9737
> 9790
> 9824
> 9829
> 9916
> 9924
> 9942
> 9943
> 10013
> 10030
> 10081
> 10091
> 10139
> 10199
> 10318
> 10326
> 10396
> 10429
> 10437
> 10448
> 10474
> 10481
> 10507
> 10546
> 10620
> 10755
> 10796
> 10821
> 10838
> 10938
> 11033
> 11039
> 11050
> 11060
> 11078
> 11084
> 11130
> 11139
> 11175
> 11215
> 11232
> 11260
> 11290
> 11293
> 11315
> 11318
> 11351
> 11417
> 11426
> 11427
> 11442
> 11456
> 11492
> 11499
> 11530
> 11546
> 11608
> 11650
> 11664
> 11727
> 11776
> 11796
> 11814
> 11830
> 11834
> 11888
> 11955
> 11976
> 11979
> 12015
> 12035
> 12083
> 12093
> 12131
> 12173
> 12175
> 12262
> 12271
> 12282
> 12297
> 12322
> 12334
> 12338
> 12350
> 12357
> 12389
> 12392
> 12400
> 12418
> 12479
> 12499
> 12530
> 12543
> 12552
> 12576
> 12578
> 12605
> 12635
> 12638
> 12670
> 12705
> 12714
> 12715
> 12716
> 12741
> 12768
> 12816
> 12844
> 12874
> 12880
> 12912
> 12926
> 12946
> 12956
> 12968
> 12975
> 12985
> 13041
> 13055
> 13056
> 13118
> 13124
> 13156
> 13174
> 13184
> 13188
> 13285
> 13367
> 13371
> 13489
> 13490
> 13515
> 13644
> 13651
> 13672
> 13728
> 13802
> 13825
> 13868
> 13926
> 13977
> 13999
> 14048
> 14051
> 14080
> 14174
> 14209
> 14265
> 14366
> 14420
> 14540
> 14571
> 14654
> 14676
> 14677
> 14743
> 14797
> 14828
> 14910
> 14921
> 14928
> 15100
> 15177
> 15290
> 15318
> 15377
> 15419
> 15435
> 15474
> 15502
> 15547
> 15557
> 15582
> 15600
> 15626
> 15640
> 15659
> 15682
> 15735
> 15774
> 15798
> 15802
> 15855
> 15857
> 15897
> 15964
> 16010
> 16086
> 16154
> 16178
> 16202
> 16229
> 16232
> 16246
> 16299
> 16301
> 16305
> 16322
> 16342
> 16366
> 16462
> 16527
> 16586
> 16604
> 16735
> 16750
> 16810
> 16817
> 16942
> 17001
> 17135
> 17488
> 17506
> 17511
> 17552
> 17575
> 17676
> 17746
> 17813
> 17858
> 17870
> 17877
> 17917
> 17960
> 17974
> 18001
> 18182
> 18187
> 18291
> 18359
> 18403
> 18515
> 18566
> 18712
> 18791
> 18812
> 18881
> 19016
> 19029
> 19108
> 19151
> 19165
> 19181
> 19182
> 19262
> 19296
> 19429
> 19465
> 19564
> 19751
> 19817
> 19863
> 19957
> 19994
> 20001
> 20012
> 20014
> 20057
> 20058
> 20093
> 20115
> 20130
> 20135
> 20161
> 20214
> 20231
> 20252
> 20299
> 20343
> 20357
> 20365
> 20381
> 20412
> 20453
> 20507
> 20525
> 20597
> 20633
> 20661
> 20676
> 20723
> 20825
> 20838
> 20845
> 20852
> 20876
> 20911
> 21040
> 21050
> 21183
> 21211
> 21250
> 21277
> 21327
> 21332
> 21334
> 21378
> 21415
> 21453
> 21479
> 21491
> 21497
> 21502
> 21508
> 21541
> 21548
> 21565
> 21582
> 21586
> 21823
> 21826
> 21844
> 21864
> 21928
> 22047
> 22085
> 22140
> 22192
> 22245
> 22258
> 22302
> 22368
> 22394
> 22402
> 22442
> 22561
> 22652
> 22709
> 22742
> 22759
> 22773
> 22834
> 22869
> 22927
> 22933
> 22950
> 23118
> 23184
> 23243
> 23292
> 23487
> 23520
> 23674
> 23682
> 23693
> 23719
> 23752
> 23889
> 23966
> 24105
> 24106
> 24158
> 24207
> 24389
> 24492
> 24518
> 24560
> 24651
> 24698
> 24749
> 24757
> 24827
> 24863
> 24877
> 24940
> 24961
> 25019
> 25106
> 25144
> 25206
> 25229
> 25249
> 25255
> 25369
> 25395
> 25441
> 25454
> 25490
> 25513
> 25514
> 25515
> 25543
> 25914
> 26046
> 26206
> 26496
> 26504
> 26554
> 26599
> 26611
> 26615
> 26642
> 27168
> 27258
> 27264
> 27364
> 27506
> 27563
> 27611
> 27665
> 27696
> 27699
> 27734
> 27747
> 27767
> 27781
> 27895
> 27921
> 27925
> 27984
> 27995
> 28024
> 28153
> 28283
> 28573
> 28590
> 28615
> 28661
> 28669
> 28708
> 28751
> 28840
> 28884
> 28885
> 28890
> 28898
> 28917
> 28919
> 28968
> 29084
> 29180
> 29208
> 29247
> 29256
> 29283
> 29285
> 29314
> 29328
> 29386
> 29516
> 29518
> 29542
> 29544
> 29562
> 29580
> 29582
> 29614
> 29687
> 29695
> 29737
> 29780
> 29859
> 29895
> 29900
> 29914
> 29917
> 29946
> 29975
> 29979
> 29980
> 30036
> 30211
> 30264
> 30370
> 30376
> 30404
> 30481
> 30612
> 30693
> 30722
> 30764
> 30833
> 30868
> 30981
> 30986
> 31028
> 31042
> 31122
> 31133
> 31163
> 31195
> 31213
> 31290
> 31334
> 31343
> 31420
> 31514
> 31549
> 31593
> 31642
> 31661
> 31708
> 31828
> 32020
> 32064
> 32071
> 32107
> 32601
> 32613
> 32666
> 32676
> 32682
> 32726
> 32855
> 32939
> 33091
> 33097
> 33165
> 33287
> 33363
> 33470
> 33489
> 33490
> 33491
> 33576
> 33588
> 33650
> 33651
> 33652
> 33653
> 33654
> 33655
> 33656
> 33657
> 33660
> 33661
> 33662
> 33665
> 33666
> 33668
> 33692
> 33762
> 33774
> 33776
> 33922
> 33934
> 34058
> 34065
> 34087
> 34188
> 34245
> 34400
> 34416
> 34421
> 34533
> 34560
> 34569
> 34636
> 34644
> 34743
> 34754
> 34772
> 34779
> 34977
> 35004
> 35047
> 35122
> 35125
> 35141
> 35178
> 35228
> 35249
> 35357
> 35434
> 35518
> 35612
> 35725
> 35736
> 35804
> 35805
> 35807
> 35898
> 35911
> 36049
> 36149
> 36290
> 36374
> 36423
> 36426
> 36441
> 36522
> 36727
> 36850
> 36874
> 36884
> 36912
> 36925
> 36935
> 36937
> 36947
> 36954
> 36962
> 36991
> 36992
> 36996
> 36998
> 37009
> 37035
> 37044
> 37057
> 37069
> 37076
> 37090
> 37133
> 37134
> 37140
> 37168
> 37273
> 37903
> 38266
> 38285
> 38322
> 38444
> 38456
> 38547
> 38623
> 38805
> 38932
> 38997
> 39111
> 39229
> 39309
> 39493
> 39554
> 39642
> 39651
> 39706
> 39822
> 39927
> 40029
> 40285
> 40306
> 40313
> 40336
> 40497
> 40545
> 40824
> 41164
> 41368
> 41435
> 41440
> 41560
> 41571
> 41661
> 41682
> 41733
> 41762
> 41782
> 41786
> 41822
> 41833
> 41887
> 41997
> 42049
> 42239
> 42295
> 42298
> 42322
> 42395
> 42396
> 42411
> 42420
> 42429
> 42430
> 42450
> 42610
> 42652
> 42689
> 42772
> 42863
> 42912
> 42961
> 43022
> 43205
> 43234
> 43447
> 43554
> 43561
> 43658
> 43733
> 43764
> 43870
> 43925
> 43939
> 43995
> 44038
> 44178
> 44217
> 44244
> 44281
> 44291
> 44395
> 44581
> 44658
> 44725
> 44739
> 44775
> 44851
> 44924
> 45007
> 45025
> 45051
> 45143
> 45271
> 45356
> 45595
> 45609
> 45629
> 45664
> 45727
> 45758
> 45769
> 45774
> 45841
> 45899
> 45904
> 45951
> 46262
> 46435
> 46687
> 46780
> 46925
> 47165
> 47218
> 47366
> 47771
> 47794
> 47853
> 47982
> 48030
> 48108
> 48161
> 48245
> 48293
> 48414
> 48526
> 48832
> 49060
> 49129
> 49218
> 49325
> 49342
> 49368
> 49577
> 50010
> 50229
> 50289
> 50531
> 50562
> 50710
> 50923
> 50971
> 51011
> 51367
> 51669
> 51784
> 51803
> 52228
> 52262
> 53006
> 53128
> 53250
> 53271
> 53488
> 53695
> 55330
> 55441
> 55526
> 55577
> 55740
> 55831
> 56040
> 56089
> 56491
> 56592
> 56710
> 56823
> 196742
> 196968
> 197043
> 197073
> 197074
> 197350
> 197486
> 197614
> 262146
> 393238
> 
> 
> Joel Rosenblatt, Manager Network & Computer Security
> Columbia Information Security Office (CISO)
> Columbia University, 612 W 115th Street, NY, NY 10025 / 212 854 3033
> http://www.columbia.edu/~joel
> Public PGP key
> http://pgp.mit.edu:11371/pks/lookup?op=get&search=0x90BD740BCC7326C3
> 
> 
> 
> 
> _______________________________________________
> nsp-security mailing list
> nsp-security at puck.nether.net
> https://puck.nether.net/mailman/listinfo/nsp-security
> 
> Please do not Forward, CC, or BCC this E-mail outside of the nsp-security
> community. Confidentiality is essential for effective Internet security counter-measures.
> _______________________________________________