Microsoft doorstaat MyDoom tot nu toe goed

Tot op heden is Microsoft.com nog bereikbaar ondanks de aanval van het MyDoom.B virus die vandaag is gestart, zo is te lezen op The Inquirer. In tegenstelling tot SCO, lijkt Microsoft weinig hinder te ondervinden van de DDoS aanval die door computers welke besmet zijn met het MyDoom virus wordt uitgevoerd. Evenals SCO had Microsoft een tijdelijke URL in het leven geroepen waardoor de site bij een eventuele storing op het hoofddomein toch bereikbaar zou zijn. De tijdelijke URL die Microsoft had gekozen was Information.microsoft.com. De verspreiding van MyDoom.B, de variant van het MyDoom-virus dat het op Microsoft had voorzien, is aanzienlijk minder dan de A-variant die de website van SCO sinds 1 februari offline heeft gehaald.

IT-banen

Reacties (72)

raphidae 4 februari 2004 00:10

Microsoft heeft echt wel bij alle grote transitproviders en beheerders van transatlantische knooppunten geregeld dat ICMP of wat voor slecht verkeer allang gefilterd is voordat het in de buurt komt van het netwerk van Microsoft/Akamai. Daarnaast hebben ze een dergelijke dikke pijp liggen dat je flink je best moet doen.

.Frank 3 februari 2004 20:54

Ik ben al de hele dag essentieële updates voor Windows XP aan het downloaden van microsoft.com, totaal geen hinder ondervonden!

Edit: in de laatste zin van de nieuwspost zit overigens een syntaxisfout.

dasiro @.Frank • 4 februari 2004 00:49

al de hele dag en jij noemt dat geen hinder ondervinden

(tenzij je nog aan het telefoonlijntje hangt of een of ander traag dsl-abbo)

Gody @.Frank • 3 februari 2004 20:59

je download deze update's van windows.update.com, niet van [url="http://www.microsoft.com,"]www.microsoft.com,[/url] wellciht dat dat ook nog eens verschil maakt.
[edit] sorry Jump je hebt inderdaad gelijk

Jump @Gody • 3 februari 2004 23:04

nee, je download die van windowsupdate.microsoft.com
als je naar update.com gaat, zie je een site die totaal niks met microsoft te maken heeft

windows.update.com geeft zelf dns error

Verwijderd 3 februari 2004 20:55

Windows Update was vandaag anders behoorlijk traag, met af en toe snellen pieken.

Die Updates worden overigens niet in Europa gehost maar in de VS.

Mr.CeeJay @Verwijderd • 3 februari 2004 21:03

Dat vind ik eigenlijk best stom.
Microsoft heeft in Europa ook een aantal afdelingen en gezien de enigzins kostbare transatlantische bandbreedte snap ik niet waarom ze niet een us.microsoft.com en eu.microsoft.com maken zodat de bereikbaarheid en snelheid voor de klanten ten goede komt... andere 'groten' hebben dat bijv. wel, zoals asus.
Door meerdere mirror's te plaatsen kan een virus moeilijker al je sites down halen.

Verwijderd @Mr.CeeJay • 4 februari 2004 07:28

Je hebt primair gelijk, ware het niet dat Microsoft zo ontzettend onvoorstelbaar veel bandbreedte heeft ingeruimd voor webverkeer, dat je waarschijnlijk het verschil niet eens merkt als de server in NL zou staan in plaats van in US.

Als je ziet dat je bijna altijd met een paar honderd kb/s kunt downloaden, vind ik dat best een nette prestatie. Waarschijnlijk is het voor Microsoft niet 'kostenbesparend' (winstgevend is het zeker niet) om een gesplitste site te gaan runnen. Puur vanwege extra monitoren e.d.

Dan kun je beter je ontieglijk deftige capaciteit een keer uitbreiden als er over 3 jaar toch te weinig capaciteit blijkt te zijn. Ik download inmiddels al jaren met een paar honderd kb/s van de Microsoft servers. (dagelijks)

Spockz @Verwijderd • 8 februari 2004 09:40

Hoe kan het dat jij altijd met meer dan 100kb/s download terwijl het bij mij sinds ik ADSL heb altijd maar met 32kb/s gaat? Ik download dan wel via de nederlandse server, misschien dat het nog een verschil maakt, maarjah zovaak update ik nou ook weer niet.

Sharkys @Verwijderd • 8 februari 2004 15:49

Misschien is je verbinding niet sneller?

raphidae @Mr.CeeJay • 4 februari 2004 08:17

Als jij gaat downloaden van Microsoft (akamai) dan wordt de data wel degelijk van de dichtsbijzijnde server afgehaald.

Alle content van Microsoft (akamai) is bij alle grote internetknooppunten gemirrord en wordt transparant gecached.

Gody 3 februari 2004 20:58

Ik vindt het prettig om te horen dat hun website nog steeds goed bereikbaar is. Ik vindt het zowieso een beetje een raar idee dat je een website (zoals ms.com in dit geval) plat zou willen hebben. Het zullen waarschijnlijk wel persoonlijke ideën zijn van de desbetreffende B variant schrijver, maar wat is nu werkelijk het nut ervan? Niets. Ben benieuwd waarom de MS site het zogoed uithoudt... betere servers? minder aanvragen per seconde? (door bestrijding van de b variant of door minder besmettingen) [lees net dat er minder besmettingen waren, sorry overheen gelezen]
Tja het klinkt misschien niet erg aardig, maar voor sco vondt ik het minder erg, mede vanwege de belachelijke rechtzaken (belachelijk tot redelijk is bewezen).

ironx @Gody • 3 februari 2004 21:16

Ben benieuwd waarom de MS site het zogoed uithoudt...

Denk dat dit er ook wel mee te maken heeft:

"In anticipation of the MyDoom.B payload striking www.microsoft.com tomorrow, Microsoft have shortened the TTL [time to live] on the www.microsoft.com DNS entry to 60 seconds. Yesterday the TTL was set to just under an hour.

Dutchmega

@ironx • 3 februari 2004 21:21

Ik wist niet dat alleen de TTL wijziging genoeg was om een DOS aanval te voorkomen

Maarja, MS zal zich natuurlijk er zich wel op voorbereid hebben maar daarnaast heeft MS veel meer (betere) servers en goede load-balancing

Roland684

Bedrijfsnieuws

@Dutchmega • 4 februari 2004 00:07

Dat is het ook niet.
Het geeft je enkel sneller de mogelijkheid om een domein te wijzigen. Als je een dag moet wachten voordat het uit alle caches wereldwijd is verdwenen dan is misschien al die tijd je server onbereikbaar.
Het geeft ze de mogelijkheid om www.microsoft.com in een minuut ergens anders naar toe te leiden ipv naar hun webserver. (en die webserver dan bereikbaar maken onder information.microsoft.com).

Probleem is wel dat er nu een hele hoop meer dns requests komen. Maar 1 request per minuut per provider, wereldwijd, is nog wel te doen.

Smylodon 3 februari 2004 21:14

Wat ik van een interview op de belgische TV heb begrepen is dat Microsoft alle requests naar verschillende servers (in verschillende landen) doorstuurd. Gevolg is dat je niet met 1 overbelaste server zit.
Op zich een slimme zet van Microsoft, maar het werkt dus alleen als je de requests ook werkelijk naar verschillende servers kan doorsturen. SCO heeft waarschijnlijk maar een, of een paar servers beschikbaar, en kan dat dus waarschijnlijk niet eens doen al zouden ze het willen...

SWINX @Smylodon • 3 februari 2004 21:28

sco.com en thescogroup.com draaien zelfs op dezelfde server!

Tomsworld

@SWINX • 3 februari 2004 21:35

www.sco.com resolved niet meer ze hebben die entry uit de dns gehaald dus wordt die server niet meer belast het verkeer gaat naar nergens.

freggy @Tomsworld • 3 februari 2004 22:38

Het verkeer gaat niet "naar nergens", er is zelfs geen verkeer. Het virus vraagt het IP op van de server, vindt geen resultaat, en dus wordt er niets verstuurd. Anders zou het zijn als men bvb. het adres had laten resolven naar 127.0.0.1, dan zouden alle besmette pc's naar zichzelf gaan requests sturen...

RSpliet 3 februari 2004 20:59

Ze zitten toch niet weer stiekem op Akamai's Linux-servertjes heh?

tazitiz @RSpliet • 4 februari 2004 01:01

Het lijkt er op dat de dns wel naar akamai wordt doorgestuurd:

Non-authoritative answer:
www.microsoft.com canonical name = www.microsoft.akadns.net

microsoft.com nameserver = dns1.cp.msft.net
microso... etc

in ieder geval wijst de canonical name daar duidelijk naartoe.

Nu wijzen de entries die je daarvandaan haalt weer naar servers met de volgende ipjes:

Non-authoritative answer:
Name: www2.microsoft.akadns.net
Addresses: 207.46.245.156, 207.46.250.252, 207.46.156.220, 207.46.144.222
207.46.156.252, 207.46.244.188, 207.46.156.188, 207.46.134.157
Aliases: [url="http://www.microsoft.com,"]www.microsoft.com,[/url] www.microsoft.akadns.net

en dat zijn geen akamai ipjes. maar deze ipjes hebben ook geen duidelijke MS tag in de reverse dns.

tracen geeft ook weer een vage route aan:
3 51 ms 91 ms 8 ms 42.ge-2-0-1.xr1.d12.xs4all.net [194.109.5.177]
4 23 ms 9 ms 9 ms 0.so-2-3-0.xr1.sara.xs4all.net [194.109.5.102]
5 33 ms 9 ms 8 ms ge-3-1-0.nar1.AMS1.gblx.net [208.49.125.141]
6 40 ms 97 ms 60 ms so4-0-0-2488M.cr2.AMS2.gblx.net [67.17.65.241]
7 214 ms 170 ms 173 ms so4-0-0-2488M.cr1.PAO2.gblx.net [67.17.92.241]
8 191 ms 167 ms 173 ms so5-0-0-2488M.ar2.PAO2.gblx.net [67.17.67.226]
9 215 ms 191 ms 201 ms 208.50.13.70
10 238 ms 182 ms 224 ms 207.46.34.81
11 213 ms 243 ms 195 ms 207.46.34.110
12 245 ms 242 ms 233 ms 207.46.36.214
13 255 ms 197 ms 197 ms 207.46.155.13
14 * * * Request timed out.

dus de conclusie is, wie zoekt de origin uit van de ip's:

207.46.245.156, 207.46.250.252, 207.46.156.220, 207.46.144.222
207.46.156.252, 207.46.244.188, 207.46.156.188, 207.46.134.157

maar ik denk dat die toch uiteindelijk van MS zijn hoor.

raphidae @tazitiz • 4 februari 2004 08:19

Dat is best triviaal:

OrgName: Microsoft Corp
OrgID: MSFT
Address: One Microsoft Way
City: Redmond
StateProv: WA
PostalCode: 98052
Country: US

NetRange: 207.46.0.0 - 207.46.255.255
CIDR: 207.46.0.0/16
NetName: MICROSOFT-GLOBAL-NET
NetHandle: NET-207-46-0-0-1
Parent: NET-207-0-0-0-0
NetType: Direct Assignment
NameServer: DNS1.CP.MSFT.NET
NameServer: DNS2.CP.MSFT.NET
NameServer: DNS1.TK.MSFT.NET
NameServer: DNS1.DC.MSFT.NET
NameServer: DNS1.SJ.MSFT.NET
Comment:
RegDate: 1997-03-31
Updated: 2002-12-05

dasiro @RSpliet • 4 februari 2004 00:50

nah, deze keer zitten ze op hun unix-bakken

hulliex @RSpliet • 4 februari 2004 18:03

Niet naar Akamai Linux server volgens Netcraft:

http://uptime.netcraft.com/up/graph/?host=www.microsoft.com

Nog steeds op Windows Server 2003

Verwijderd 4 februari 2004 07:27

Even een korte reactie. Het feit dat microsoft nog steeds bereikbaar is zegt meer over de bandbreedte dan over de apparatuur die ze daar hebben staan. Stond er hier een tijd geleden niet een artikel over de bandbreedt van microsoft. Moest geloof ik 6000 mb verbinding zijn, over natuurlijk verschillende lijnen. Zegt volgens mij genoeg, wil je de site onbereikbaar maken.

p.s

6000 mb wil ik thuis ook wel

Verwijderd @Verwijderd • 4 februari 2004 10:42

Als je er van uit gaat dat iedere besmette pc gemiddeld 256 kpbs up heeft, dan heb je er 24000 nodig om die site ontoegankelijk te maken... lijkt me dat dat aantal binnenkort wel bereikt gaat worden omdat het virus zich nog steeds verspreid en de website bijna door z'n knieen zakt (af en toe down, traag, downloaden mislukt steeds ivm disconnect, inloggen op msn lukt amper...)

edit: waarom is dit overbodig en niet interessant of inzichtvol? ik vind mezelf nl. heel interesant.

Verwijderd @Verwijderd • 8 februari 2004 09:22

Geen idee...

Maar in elk geval klopt het wat je zegt in theorie... Maar je zegt dat het aantal virussen nog steeds oploopt... volgens mij zijn er ook veel mensen die de nodige maatregelen treffen om het virus te verwijderen... dus dit zou ongeveer gelijk moeten blijven.

Verwijderd @Verwijderd • 4 februari 2004 08:48

6000 millibit? Mwoah

Verwijderd @Verwijderd • 4 februari 2004 20:41

Weet je nog waar dat artikel staat?

Ben wel benieuwd

Verwijderd 3 februari 2004 21:24

MS heeft wel een budget voor dit soort rampenscenario's.

Maar ik vrees dat dit virus nog maanden doorgaat en er dan nog steeds open relayservers zullen blijven bestaan. (naast al die andere)

GlowMouse 3 februari 2004 21:57

Microsoft.com is bereikbaar onder meerdere IP addressen, kijk maar:

C:\>nslookup microsoft.com
....
Addresses: 207.46.245.222, 207.46.245.214

De load wordt dus over meerdere servers verdeelt. SCO had/heeft dit niet. Microsoft heeft het dus handiger aangepakt!

SpaceAce 3 februari 2004 22:04

--> Aanmelden MSN gaat niet lekker;
--> Mijn Hotmail account kan ik niet bereiken;
--> www.microsoft.com erg traag.

Lijkt me toch wat aan de hand.

[edit] Microsoft.com lijkt weer normaal bereikbaar. Zal wel toeval geweest zijn.

Op dit item kan niet meer gereageerd worden.

Microsoft doorstaat MyDoom tot nu toe goed

Lees meer

IT-banen

Reacties (72)

Sorteer op:

Weergave: