Bloqueio de bot Citadel no mikrotik

[robertosreis]

Preciso de ajuda para identificar dentro da minha rede alguma maquina de cliente que esta infectada com esse Bot Citadel, recebi hoje um email do Cert.br informando sobre esse problema, ou se souberem de alguma forma de fazer bloqueio direto no firewall do mk já me ajuda. Obrigado

[dragon1910]

boa noite.

da uma olhada nessa lista de portas se eu não me engano deve ter como bloquear o bot Citadel.
http://www.portalchapeco.com.br/jackson/portas.htm

[megabyte]

Preciso de ajuda para identificar dentro da minha rede alguma maquina de cliente que esta infectada com esse Bot Citadel, recebi hoje um email do Cert.br informando sobre esse problema, ou se souberem de alguma forma de fazer bloqueio direto no firewall do mk já me ajuda. Obrigado

Interessante também recebi esse e-mail hoje e como ainda uso nat fica dificil descobrir .
Se saber a porta que usa dar pra logar e descobrir ips interno .

[alexrock]

Sem chance, esse bot (como o Zeus) enviam e recebem comandos via portas 80 e 443, sendo o destino personalizado e atualizável, sendo quase impossivel bloquear. Em um ambiente empresarial seria possível usado whitelist, mas num provedor seria inviavel.

[netuai]

mas deve ter uma forma, também recebi a notificação, e tenho que bloquear o quanto antes.

[carlosallan]

Também recebi essa notificação, no meu caso não uso nat. Verifiquei quem foi o cliente que estava com ip naquele dia e horário e o informei sobre o problema para o mesmo tomar as providências.

[megabyte]

Alguém sabe como fazer logs deste vírus mikrotik

[netuai]

sistema de log é fácil, difícil é bloquear

[salvato]

Acabei de receber essa mesma notificação, alguém conseguiu resolver?

[netuai]

ta difícil, ate hoje eu não resolvi, ninguém da uma luz

[salvato]

Acredito que seja muito complicado, se ouvesse mesmo como bloquear via MK as proprias operadoras já tinham feito isso, a unica coisa a se fazer é lutar para conseguir entregar IP valido a todos os clientes.
Como isso ainda não é possivel vou continuar procurando a solução paleativa mas esta dificil.

[netuai]

Acredito que o problema maior seja que segundo alguns boatos ele usa a porta 80 e 443, ai fica difícil se for.

[salvato]

O problema é icentivo que temos do governo e as facilidades para termos investimentos e poder tirar nosso proprio ASN e mandar ip valido para os clientes.