Newsgroup: it.economia.borsa
Titolo: X stardust, -ditropan- ecc...

Ho scaricato Ad-aware 5.83
Ho fatto lo scanning del mio PC, questo è il risultato:
Scanning finished
==================
Suspicious modules found:0
Suspicious keys found : 12
Suspicious folders found:2
Suspicious files found:35
==========================
Components ignored:0
Total components found:49
Che devo fare adesso, li devo cancellare tutti e 49?
ciao.
Tr@derOne.
--------------------------------
Inviato via 
http://usenet.libero.it

 Inviato via 
http://usenet.libero.it
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 problema.
In effetti, cancellati tutti i file sospetti, il problema resta...
ciao.


 In effetti, cancellati tutti i file sospetti, il problema resta...
Prova questo è un versione try.
http://www.zdnet.it/zdnet/jumpNews.asp?idUser=0&idChannel=380&idNews=161176
Ciao

Tr@derOne wrote:
Se hai tempo e voglia :
Vai al seguente sito : 
http://www.ks-soft.net/
e ti scarichi il programmino IP-Tools che poi devi installare.
Chiudi tutte le connessioni internet e fai partire il programmin o
IP-tools che comunque poi resterà caricato come demone (sempre in
esecuzione).
Non appena ti si attiva la connessione automaticamente senza che tu gli
dica niente ... falla partire e connettiti.
Dopodichè vai al programmino Ip-tools e prova a vedere sotto connection le
porte che usa per la connessione ed a quale indirizzo IP si và a
connettere.
Se l'IP a cui si connette è sospetto (tipo uno dei tanti siti hard in giro
per il web) ti sarai tolto ogni dubbio di che cosa ti trovi nel PC.
La porta  destinazione dovrebbe essere la 80 (sevizio HTTP), se così non è
allora ti trovi qualche bella backdoors aperta da qualche infame !!!
-ditropan-


 -ditropan-
--------------------------------
Inviato via 
http://usenet.libero.it

 altro?
Quella è un'altra cosa !!! IP-tools ti dà l'indirizzo IP del destinatario
finale non solo quella del tuo provider con cui sei attualmente connesso.


 un altro?
No, ditropan vorrebbe vedere qual e' l'IP al quale il tuo PC
tenta di connettersi. Quindi potresti provare ad assecondarlo,
facendo partire la connessione quando la richiede, per vedere che
succede. Una volta connesso apri una finestra in DOS e digita
"netstat -na > connessione.txt" (senza virgolette).  Questo
creera' un file di testo dal nome connessione.txt in C:\Windows.
Aprilo con notepad e copincolla qui il contenuto.
--
Stardust®

 Aprilo con notepad e copincolla qui il contenuto.
Sì però traderone dice che gli parte la finestra anche quando lui è già
connesso, così non funziona perchè appena gli dà l'ok il programma di
connessione tenterà di impossessarsi del modem per avviare la connessione
ma poi darà errore perchè il modem è già occupato con la connessione già
presente. quindi così non dovrebbe funzionare.



Ho fatto come hai detto. Mi sono connesso assecondandolo senza cliccare su
nessuna pagina web specifica, poi ho eseguito i comandi come mi hai detto.
ecco cosa è venuto fuori da connessione.txt ( io ho provato a connettermi
all'indirizzo remoto ma non trova nulla)
Connessioni attive
  Proto Indirizzo locale Indirizzo remoto Stato
  TCP 
0.0.0.0:1026
 
0.0.0.0:0
 LISTENING
  TCP 
0.0.0.0:1042
 
0.0.0.0:0
 LISTENING
  TCP 
0.0.0.0:1051
 
0.0.0.0:0
 LISTENING
  TCP 
0.0.0.0:1063
 
0.0.0.0:0
 LISTENING
  TCP 
0.0.0.0:1088
 
0.0.0.0:0
 LISTENING
  TCP 
0.0.0.0:1094
 
0.0.0.0:0
 LISTENING
  TCP 
0.0.0.0:113
 
0.0.0.0:0
 LISTENING
  TCP 
0.0.0.0:135
 
0.0.0.0:0
 LISTENING
  TCP 
62.94.3.138:1094
 
165.21.77.249:6667
 SYN_SENT
  TCP 
62.94.3.138:113
 
0.0.0.0:0
 LISTENING
  TCP 
62.94.3.138:137
 
0.0.0.0:0
 LISTENING
  TCP 
62.94.3.138:138
 
0.0.0.0:0
 LISTENING
  TCP 
62.94.3.138:139
 
0.0.0.0:0
 LISTENING
  TCP 
127.0.0.1:1025
 
0.0.0.0:0
 LISTENING
  UDP 
62.94.3.138:137
 *:*
  UDP 
62.94.3.138:138
 *:*


 Inviato via 
http://usenet.libero.it


   TCP 
62.94.3.138:1094
 
165.21.77.249:6667
 SYN_SENT
Questo e' il whois fatto sull' IP 
165.21.77.239
:
----------------------------------------------------
12/12/02 23:14:13 IP block 165.21.77.239
Trying 165.21.77.239 at ARIN
Trying 165.21.77 at ARIN
OrgName:    Singapore Telecommunications Pte Ltd
OrgID:      STPL-3
NetRange:   165.21.0.0 - 165.21.255.255
CIDR:       
165.21.0.0/16
NetName:    SINGNET
NetHandle:  NET-165-21-0-0-1
Parent:     NET-165-0-0-0-0
NetType:    Direct Assignment
NameServer: 
DNSSEC1.SINGNET.COM.SG
NameServer: 
DNSSEC2.SINGNET.COM.SG
NameServer: 
DNSSEC3.SINGNET.COM.SG
Comment:
RegDate:    1993-03-31
Updated:    1999-05-04
TechHandle: OD-ORG-ARIN
TechName:   Owner of Domains
TechPhone:  +65 / 4722580
TechEmail:  
hostm...@singnet.com.sg
------------------------------------------------
Sembrerebbe percio' che la connessione
punti a un IP di Singapore... Mumble mumble...
Di piu' non so dirti.
Prova a rifare la stessa cosa, ma digitando stavolta
la stringa:      netstat -a > connessione.txt
--
Stardust®

Tracing route to 165.21.77.249 [165.21.77.249]
Hop 1   IP 147.123.164.1     Time : 137     (
ts8.spin.it
  |  .IT  | Italy)
Hop 2   IP 147.123.127.38    Time : 184     (
ts8-mi.spin.it
  |  .IT  |
Italy)
Hop 3   IP 213.248.79.117    Time : 208     (
mno-vcn-i1-feth8-2.telia.net
 
|  .NET | Network)
Hop 4   IP 213.248.77.49     Time : 149     (
ffm-bb2-pos0-3-0.telia.net
  |
 .NET | Network)
Hop 5   IP 213.248.65.6      Time : 229     (
kbn-bb2-pos2-1-0.telia.net
  |
 .NET | Network)
Hop 6   IP 213.248.64.126    Time : 280     (
nyk-bb2-pos2-0-0.telia.net
  |
 .NET | Network)
Hop 7   IP 4.25.14.37        Time : 269    
(
p5-1.nycmny1-cr11.bbnplanet.net
  |  .NET | Network)
Hop 8   IP 4.24.10.78        Time : 264    
(
p3-0.nycmny1-nbr1.bbnplanet.net
  |  .NET | Network)
Hop 9   IP 4.24.4.17         Time : 290    
(
so-6-0-0.chcgil2-br2.bbnplanet.net
  |  .NET | Network)
Hop 10   IP 4.24.9.62         Time : 320    
(
p4-0.dnvtco1-br2.bbnplanet.net
  |  .NET | Network)
Hop 11   IP 4.0.6.225         Time : 340    
(
p15-0.snjpca1-br2.bbnplanet.net
  |  .NET | Network)
Hop 12   IP 4.24.7.38         Time : 329     (
p2-0.paix-bi3.bbnplanet.net
 
|  .NET | Network)
Hop 13   IP 4.0.3.130         Time : 340     (
p5-0.paix-bi1.bbnplanet.net
 
|  .NET | Network)
Hop 14   IP 4.0.3.142         Time : 340     (
p7-0.paix-bi2.bbnplanet.net
 
|  .NET | Network)
Hop 15   IP 4.0.2.102         Time : 410     (
p0-0.singtel5.bbnplanet.net
 
|  .NET | Network)
Hop 16   IP 203.208.182.21    Time : 380     (not resolved)
Hop 17   IP 202.160.250.45    Time : 330    
(
POS2-0.above-core1.ix.singtel.com
  |  .COM | US Commercial)
Hop 18   IP 202.160.250.149   Time : 530    
(
POS6-2.tp-core1.ix.singtel.com
  |  .COM | US Commercial)
Hop 19   IP 203.208.145.138   Time : 520     (not resolved)
Hop 20   IP 202.166.127.26    Time : 518    
(
ge-0-1-0.greenspot.singnet.com.sg
  |  .SG  | Singapore)
Hop 21   IP 202.166.127.8     Time : 560     (not resolved)
Hop 22   Error: Request timed out
Done


lookup 165.21.77.249 ... 
ad77-249.magix.com.sg
connect to 202.42.194.206
The data in sgnic's WHOIS database is provided by sgnic for
information purposes only.
Registrant:
     SINGAPORE NETWORK INFORMATION CENTRE (SGNIC) PTE LTD
       Domain Name:     
com.sg
     Creation Date:     01-03-1994 12:00:00 
   Expiration Date:     
     Domain Status:     Active
     Owner/Main Contact:
 
	Name:		SINGAPORE NETWORK INFORMATION CENTRE (SGNIC) PTE LTD(SN2ORG-SGNIC)
	Registered Address(line1): 	8 TEMASEK BOULEVARD
	Registered Address(line2): 	#14-00 SUNTEC TOWER 3
	Registered Address(line3): 	
	Registered Country: 		Singapore
	Registered Postalcode: 	038988
	Mailing Address(line1): 	8 TEMASEK BOULEVARD
	Mailing Address(line2): 	#14-00 SUNTEC TOWER 3
	Mailing Address(line3): 	
	Mailing Country: 		Singapore
	Mailing Postalcode: 		038988
	Telephone: 		65-772-0479
	Facsimile: 		65-211-2217
	Pager / Mobile Number: 	
	Email: 		
d...@nic.net.sg
     Administrative Contact:
 
	Name:		 SGNIC ADMINISTRATOR(SGNIC-PERSG102)
	ParentName:	SINGAPORE NETWORK INFOR
MATION CENTRE (SGNIC) PTE LTD(SN2ORG-SGNIC)
	Registered Address(line1): 	8 TEMASEK BOULEVARD
	Registered Address(line2): 	#14-00 SUNTEC TOWER 3
	Registered Address(line3): 	
	Registered Country: 		Singapore
	Registered Postalcode: 	038988
	Mailing Address(line1): 	
	Mailing Address(line2): 	
	Mailing Address(line3): 	
	Mailing Country: 		
	Mailing Postalcode: 		
	Telephone: 		65-772-0479
	Facsimile: 		65-211-2217
	Pager / Mobile Number: 	
	Email: 		
d...@nic.net.sg
     Technical Contact:
 
	Name:		 SGNIC ADMINISTRATOR(SGNIC-PERSG102)
	ParentName:	SINGAPORE NETWORK INFORMATION CENTRE (SGNIC) PTE
LTD(SN2ORG-SGNIC)
	Registered Address(line1): 	8 TEMASEK BOULEVARD
	Registered Address(line2): 	#14-00 SUNTEC TOWER 3
	Registered Address(line3): 	
	Registered Country: 		Singapore
	Registered Postalcode: 	038988
	Mailing Address(line1): 	
	Mailing Address(line2): 	
	Mailing Address(line3): 	
	Mailing Country: 		
	Mailing Postalcode: 		
	Telephone: 		65-772-0479
	Facsimile: 		65-211-2217
	Pager / Mobile Number: 	
	Email: 		
d...@nic.net.sg
     Billing Contact:
 
	Name:		 N.A.(SGNIC-PERN.103)
	ParentName:	N.A.(NN8ORG-SGNIC)
	Registered Address(line1): 	N.A.
	Registered Address(line2): 	
	Registered Address(line3): 	
	Registered Country: 		
	Registered Postalcode: 	N.A.
	Mailing Address(line1): 	
	Mailing Address(line2): 	
	Mailing Address(line3): 	
	Mailing Country: 		
	Mailing Postalcode: 		
	Telephone: 		N.A.
	Facsimil


 Tracing route to 165.21.77.249 [165.21.77.249]
In parole povere?


 Name: SINGAPORE NETWORK INFORMATION CENTRE (SGNIC) PTE LTD(SN2ORG-SGNIC)
Continuo a non capire, ma di che si tratta?
c'č un sito internet per vedere cosa č?
ciao.


 In parole povere?
Per il poco che ne capisco, la mia conclusione e' che hai un
trojan horse a bordo, probabilmente il famoso JDBGMRG.EXE
(da non confondere con JDBGMGR.EXE, normale file di Windows)
che tenta di collegarsi al suo server a Singapore. Prova a cancellarlo,
se Windows non ti lascia perche' e' in esecuzione prova da dos puro.
Uno specifico sito anti-trojan e' questo,
dal quale puoi scaricare l'utility "The Cleaner":
http://www.moosoft.com
--
Stardust®

 ha scritto nel messaggio
news:62Z94Z1Z153Y10...@usenet.libero.it...



 Ho già scaricato un antivirus dal nome Trojan_Guarder che mi ha eliminto
tutti i virus trojan (o almeno credo) che avevo perchè non me ne trova più.
Se scarico anche quello e lo installo faccio dei casini?
ciao.


Preparati : HO brutte notizie da darti.
Sono andato a rivederni nei protocolli di connessione TCP/IP che cosč il
Syn_Sent e poi sul sito BlackICE  e sembra che tů sia sotto attacco
spoofig a prima vista.
Il chč vuol dire che hai installato una backdoor sul tuo pc ed il tipo che
ti osseva puň persino camunffarsi con te stesso in una connessione tcp/IP.
Puň essere che se non hai usato le dovute accortezze sto pezzo di merda ti
habbia pure catturato i codici di accesso dei tuoi nconti on-line con cui
fai trading oppure gli estremi della tua carta di credito se ultimamente
l'hai usata per acquisti su internet.
Dai retta a me spiana tutto e fai come ti ho detto abbandona W98.
Ti fornisco di seguito un pň di documentazione :
 Spoofing is the creation of TCP/IP packets using somebody else's IP
address. Routers use the "destination IP" address in order to forward
packets through the Internet, but ignore the "source IP" address. That
address is only used by the destination machine when it responds back to
the source.
A common misconception is that "IP spoofing" can be used to hide your IP
address while surfing the Internet, chatting on-line, sending e-mail, and
so forth. This is generally not true. Forging the source IP address causes
the responses to be misdirected, meaning you cannot create a normal
network connection.
However, IP spoofing is an integral part of many network attacks that do
not need to see responses (blind spoofing).
Examples of spoofing:
man-in-the-middlepacket sniffs on link between the two end points, and can
therefore pretend to be one end of the connection
routing redirectredirects routing information from the original host to
the hacker's host (this is another form of man-in-the-middle attack).
source routingredirects indvidual packets by hackers host
blind spoofingpredicts responses from a host, allowing commands to be
sent, but can't get immediate feedback.
floodingSYN flood fills up receive queue from random source addresses;
smurf/fraggle spoofs victims address, causing everyong respond to the
victim.
    * Intrusions (19)
      Attacks that make use of IP spoofing
    * MAC (2)
    * ARP (1)
* Web (2)
    * DNS (3)
    * IPX (1)
    * TCP (6)
      session creation and hijacking
    * IP-spoofing Demystified (Trust-Relationship Exploitation)-by daemon9
/ route / infinity for Phrack Magazine
    * RFC2267 -This paper discusses a simple, effective, and
straightforward method for using ingress traffic filtering to prohibit DoS
attacks which use forged IP addresses to be propagated from 'behind' an
Internet Service Provider's (ISP) aggregation point.
    * DoE: CIAC: Internet Address Spoofing and Hijacked Session Attacks-
    * CERT: CA-95.01.IP.spoofing.attacks.and.hijacked.terminal.connections
    * CERT: CA-96.21.tcp_syn_flooding
    * Technical details of the attack described by Markoff in NYT- Tsutomu
Shimomura describes how Kevin Mitnick used IP spoofing in order to break
into his systems.
    * 
http://www.research.att.com/~smb/papers/ipext.pdf
    * 
http://www.nmrc.org/faqs/hackfaq/hackfaq-25.html#ss25.1
    * 
http://www.ryanspc.com/ipspoof.html
    * 
http://www.tlsecurity.com/Textware/spoofing/ip-forgery.txt
    * 
http://www.tlsecurity.com/Textware/spoofing/ip-demystified.txt
    * 
http://www.tlsecurity.com/Textware/spoofing/IP-spoof.zip
    * 
http://www.coast.net/~emv/tubed/spoofing.html



--->ehm, penso che se traderone fosse al livello di sapere smanettare il
regedit non starebbe qui a chiedere aiuto ;0)

 Se scarico anche quello e lo installo faccio dei casini?
No, casini non dovrebbe farne.
Cmq c'e' da fare alcune distinzioni:.
Gli spyware non sono dannosi, in linea di massima.
Si limitano a monitorare la tua attivita' in rete, per
lo piu' a scopi statistico-pubblicitari (siti visitati, numero
di visite, et similia). Cmq quelli dovrebbero essere stati
eliminati da Ad-Aware. Punto.
I virus e i worm sono una cosa, i trojan un'altra,
e non sempre gli antivirus rilevano i trojan.
Un trojan non e' altro che un programma che serve principalmente
a permettere a qualcuno di prendere da remoto il controllo del PC
infestato, o quantomeno ad accedere ai suoi file, anche senza procurare
danni. Il pericolo sta nel fatto che in questo modo si ha accesso a tutto
cio' che e' presente sull'HD, comprese password varie, numeri di carte
di credito, ecc... Per uno che fa trading non e' una bella cosa, ovviamente.
Quindi ti consiglio di provvedere ad eliminare il problema al piu' presto,
dopodiche' sarebbe opportuno cambiare tutte le tue password.
--
Stardust®