Newsgroup: it.news.net-abuse
Titolo: Roba strana nella mia tela di Ragno

Salve a tutti, belli e brutti,
Metto il caro vecchio Agnitum su "Rules Wizard", ed ogni tanto mi capitano
messaggi come questo:
Generic Host Process for Win32 Serices richiesta una connessione in arrivo
con
Porta Locale TCP: 1025
Indirizzo locale (il mio)
Indirizzo remoto (perlopiu' iniziano con 80, ma non sempre)
E domande sul da farsi.
Preoccupatissimo ho scaricato un Trojan Remover... Trojan Remover appunto,
in prova per trenta giorni, e dopo una scansione sull'HDD ed una nei
processi in atto non ha trovato nulla... potrebbero essere tentativi di
ingresso o cose simili? ^^;;
-- 
Stefano Gigante aka Dottor Tofu
drto...@tin.it
             -          ICQ #53475013
drto...@yahoo.it

 Porta Locale TCP: 1025
Boh, se parli di richieste in arrivo (quindi non generate dal tuo sistema, ma
RICEVUTE) puo' essere un ICQ, un software peer-to-peer, un Messenger, ma se
anche fosse Matrix in persona (!) che ti frega? Il tuo firewall fa il suo
dovere, lascia che questi pacchetti vengano bloccati ed ignora gli avvisi di
quel tipo, iniziando a preoccupati solamente se nti che qualcosa per te
sconosciuto tenta connessioni dall'INTERNO all'ESTERNO.
:-)
-- 
Ciao!
   -DocDoc-
--- Per scrivermi: dottoATdespammed.com
Sei anche tu stanco dei messaggi spam? Usa Terminator, il programma
anti-spam italiano FREEWARE!     
http://www.spamterminator.it/

 all'ESTERNO. :-)
Quindi ora so che il problema, che riguarda solo comunicazioni
dall'esterno... in realta' non e' un vero problema. Uso spesso ICQ ed MSN,
ma mi preoccupavo perche' pensavo, fossero loro, avrei avuto un "ICQ
richiede..." ed "MSN richiede...", ma in ogni caso, fosse anche un allegro
importuno, ora so che non sono io.
Grazie ^__^


 importuno, ora so che non sono io.
Questa e' la cosa importante, ovviamente. ;-)


 Questa e' la cosa importante, ovviamente. ;-)
Anche perche' a^2 free conferma che non ho ospiti sgradevoli a bordo ;P


 Porta Locale TCP: 1025
E' il servizio RPC. Sono probabilmente i soliti tentativi del virus
Blaster per cercare PC non patchati in rete ed infettarli.
bye Krmel
-- 
Questo messaggio ha eseguito un'operazione non valida e viene terminato.
Se il problema persiste, reinstallare tutti i partecipanti al newsgroup.

 E' il servizio RPC.
Sulla porta 1025?


 Blaster per cercare PC non patchati in rete ed infettarli.
Pero' 600 connessioni TCP bloccate in otto ore mi sembra un po' tantino


 ^^;;;
Solo? si tratta di poco piů di un tentativo di connessione al minuto...
Secondo me dovresti ritenerti fortunato :P
-- 
Fermiamo Scientology prima che sia troppo tardi!!!
http://xenu.com-it.net
  ---  
http://xenu.freewinds.cx
(per rispondere personalmente leva IlDitoDalCulo)

 Ah: il thread e' OT.
Ora che ho appurato che non sono vittima di roba mirata si'... scusate.
E' solo che temevo ci fosse qualcosa di strano ^^;


 Sulla porta 1025?
Perché? Dove l'avresti preferito? ;-)


 Perché? Dove l'avresti preferito? ;-)
Diciamo su una certa porta 135?...


 Diciamo su una certa porta 135?...
135/TCP
1025/TCP
1033/UDP
bye Krmel che gli pare

 1033/UDP
Maddeche'... Solo la 135.
Leggi qui come funziona Blaster:
http://securityresponse.symantec.com/avcenter/venc/data/w32.blaster.worm.html


 
http://securityresponse.symantec.com/avcenter/venc/data/w32.blaster.worm.html
Lo so come funziona il Blaster, ma ho visto in genere quelle porte
associate al servizio RPC (interrompendolo cessano di essere in
ascolto). 


 ascolto). 
wiseowl:/home/happycactus# nmap -sV -v 192.168.1.15
Starting nmap 3.50 ( 
http://www.insecure.org/nmap/
 ) at 2004-04-30 10:26
...
PORT     STATE SERVICE      VERSION
135/tcp  open  msrpc        Microsoft Windows msrpc
139/tcp  open  netbios-ssn
445/tcp  open  microsoft-ds Microsoft Windows XP microsoft-ds
1025/tcp open  msrpc        Microsoft Windows msrpc
Anche nmap sembra esser d'accordo. La 1025 mi risulta esser attualmente
aperta dal solito svchost.
-- 
*    HappyCactus - Linux User #209744 - BOFH Certified Engineer    *
*                         
http://www.google.com
                    *
*                                                                  *
*                           ET IN ARCADIA EGO                      *

 aperta dal solito svchost.
Non lo metto in dubbio, ma si parlava di connessioni dall'esterno, e non di
porte aperte in locale: e dato che la 135 e' la porta di connessione del
servizio RPC ed e' quella (sola) che viene utilizzata da Blaster nei suoi
tentativi di diffusione, io escluderei che possa trattarsi di Blaster.


 Non lo metto in dubbio, ma si parlava di connessioni dall'esterno,
Non per insistere, ma quello scan (non so se hai notato il prompt) e'
stato effettuato da una macchina linux ad una windows: quindi quella
1025 e' certamente bind()ed su ANY. Che poi i geniali programmatori la
utilizzino come IPC endpoint locale facendo un bind() su ANY, e' un
altro discorso: a $EVIL_WORM gliefa' un baffo.


 altro discorso: a $EVIL_WORM gliefa' un baffo.
Si, si, lo so, ma si parlava di Blaster, io rispondevo su Blaster, e Blaster
attacca sulla 135 che e' la porta RPC, punto. Tutto il resto sono solamente piu'
o meno interessanti disquisizioni su se e come programmi e servizi (Winzozz o
meno) possano risultare attaccabili dall'esterno, ma non riguardano Blaster e la
domanda dell'amico.
In ogni caso siamo ormai sempre piu' Offtopic, per questo gruppo quindi direi di
finirla qui o passare su "it.comp.sicurezza.windows".


 quindi direi di finirla qui o passare su "it.comp.sicurezza.windows".
as you wish.


Blaster per cercare PC non patchati in rete ed infettarli.
ed io rispondevo dicendo che Blaster attacca sulla 135, non sulla 1025, e da li'
e' partito questo thread inutile...:-)


 e' partito questo thread inutile...:-)
Se la 1025 è associata a RPC, cosa impedisce a qualche variante di
Blaster di provarci là? Mica ci metterei la mano sul fuoco che ci
provi solo sulla 135 - ed è quello infatti che sospetto.
Ok, ormai siamo abbastanza OT.


 Ok, ormai siamo abbastanza OT.
Sono d'accordo. ;-)
