Avast Antivirus 的網路掃描行為
一直以來,DR 對防毒軟體的印象都不是太好。即便前陣子曾在某防毒軟體代理商工作過,但也沒有因此改觀(甚至可能還更糟了)。儘管如今對於這項領域已經沒有什麼涉入,但不幸地,偶爾還是會遇到跟防毒軟體有關的事情。
某日在登入公司的一部 Linux 主機時,注意到有幾筆 SSH 登入失敗記錄。由於平常這些遠端服務,一般來說只有 DR 在用而已,所以這顯然不正常。進一步查看日誌,這些連線的時間點非上班時間,且似乎背後有一份經過蒐集的清單在那邊試,而不是只有嘗試登入 root 或 admin 等等這些常見的名稱。
此外也同步查核了公司內的 Windows Server 主機,則發現其 SMB 服務,在相同的時間點,也有同樣來源的嘗試登入記錄。如此蓄意的行為,當然不能就這樣放過。於是便從 IP 位址循線找到了來源電腦,發現那是一部 Windows 7 SP1 的客戶端電腦。雖然略舊,但一時之間也沒查看出明顯有問題的地方。
於是回頭再翻查伺服器日誌,用來源 IP 再搜了一遍。這才意識到其實 httpd 也有被嘗試登入的情形,而且這回線索就很明顯了,因為所留下的 User-Agent 字串,直接就寫著「Avast Antivirus」。