Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 4 replies
  • Subscribers 2 subscribers
  • Views 1322 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

IDS Event

NugentS
I am getting the message below from Astaro 7.002

I cannot detect the trojan on the PC in question so I think / hope its a false alarm. However of more immediate importance is that the "packet dropped" section says that the packet has not been dropped. Yet my IDS settings are set to drop anything that I consider even close to being relavent. Specifically malware and DOS which seem the most relavent...

Anyone have any ideas?

Sean





Intrusion Protection Alert

An intrusion has been detected. The packet has *not* been dropped.
If you want to block packets like this one in the future, set the corresponding intrusion protection rule to "drop" in WebAdmin.
Be careful not to block legitimate traffic caused by false alerts though.

Details about the intrusion alert:

Message........: BACKDOOR superspy 2.0 beta runtime detection - file management
Details........: http://www.snort.org/pub-bin/sigs.cgi?sid=8477
Time...........: 2007:04:12-17:04:07
Packet dropped.: no
Priority.......: 1 (high)
Classification.: A Network Trojan was detected IP protocol....: 6 (TCP)

Source IP address: 192.168.38.19
- http://www.dnsstuff.com/tools/ptr.ch?ip=192.168.38.19
- http://www.ripe.net/perl/whois?query=192.168.38.19
- http://ws.arin.net/cgi-bin/whois.pl?queryinput=192.168.38.19
- http://cgi.apnic.net/apnic-bin/whois.pl?search=192.168.38.19
Source port: 4317
Destination IP address: 213.244.170.73
- http://www.dnsstuff.com/tools/ptr.ch?ip=213.244.170.73
- http://www.ripe.net/perl/whois?query=213.244.170.73
- http://ws.arin.net/cgi-bin/whois.pl?queryinput=213.244.170.73
- http://cgi.apnic.net/apnic-bin/whois.pl?search=213.244.170.73
Destination port: 12340


This thread was automatically locked due to age.
Parents Reply Children
  • 0 in reply to tilimil
    I've had a customer or 2 plagued with these... I found them to be false positives, so I disabled that rule.  If all your checking does not reveal any spyware, I'd just disable the rule.
  • 0 in reply to BrucekConvergent
    The same alerts are reported against one of my virtual machines, used only for eMule downloading. After investigation I concluded that it has to be a false positive, so I agree with Brucek to disable this rule.

    My "infected" system (virtual server) is only used for eMule downloading and has no other applications installed. The trigger for this alert is based on both content and TCP ports, and since emule can be used on all ports, it is obvious that sometimes the same port is used as SuperSpy.

    Don't worry too much. If your system is reported clean and this is the only reported alert, my suggestion is to turn the alert off.