Newsgroup: it.comp.sicurezza.varie
Titolo: Backdoor-g-1 - Test virus negativo, eppure...

NIS nel registro connessioni fa questo tipo di annotazioni:
20/02/01 21.47.55 Connessione:  localhost: Backdoor-g-1  a
localhost: pop3,  65 byte inviati,  58 byte ricevuti,  1.055
tempo trascorso
20/02/01 21.47.55 Connessione:  localhost: pop3  from  localhost:
Backdoor-g-1,  58 byte inviati,  65 byte ricevuti,  1.055 tempo
trascorso
Oltre ad altre come queste:
20/02/01 22.11.03 Connessione:  
news.libero.it
: nntp  from  ----:
lotusnotes,  137 byte inviati,  275 byte ricevuti,  0.560 tempo
trascorso
20/02/01 18.14.38 Connessione:  localhost: pop3  from  localhost:
socks,  130 byte inviati,  271001 byte ricevuti,  46.013 tempo
trascorso
Con nomi vari nel from: coauthor / ms-sql-s / maze / netshow /
nsvt-stream, ecc.
NAV 2000 è aggiornato a due giorni fa, durante la connessione non
ci sono allarmi di intrusioni, non ho icq né altre chat, e uso
Internet per ricerche in rete, mail e ng.
Ho scaricato il ng e ci sono la bellezza di 15934 messaggi, ho
fatto una ricerca tra i post su backdoor e g-1, e in qualcuno ho
letto che NIS fa 2+2=5, e che ci possono essere errori di
settaggio, per cui non è il caso di preoccuparsi, ma vorrei
capire che cosa significano quelle note, e che cos'è, in
sostanza, questa backdoor-g-1 fantasma.
Inoltre, quali possono essere i settaggi errati di NIS?
Grazie se qualcuno avrà la pazienza di darmi una spiegazione
elementare.
V.

trascorso
Anche io ho avuto il tuo  stesso problema e questo e' quanto sono
riuscito ha capire.
Backdoor-g-1 corrisponde al troian Subseven e rimane in ascolto sulla
porta 1243.
Il norton nel registro segnala tutte le connessioni avvenute e nel
caso in questione, visto che la 1243 viene utilizzata anche da un
cavallo di troia, ne evidenzia l'utilizzo chiamandola backdoor-g-1
dopo di che sta a te capire se si tratta di una normale connessione di
routine assegnata dal tuo pc per il servizio richiesto oppure qualcosa
di cattivo.
Se ricontrolli il registro noterai sicuramente che le porte prima e
dopo a quella in questione sono in sequenza (o quasi). 
Un altro controllo importante che pui fare e' digitare netstat -a
in una finestra di dos e se ti ritrovi la 1243 perennemente in
listening mooolto probabilmente hai problemi di backdoor mentre se
non compare dormi pure tranquilla, 
Comunque lascio il campo hai piu' esperti del ng.
--
Ciao,
Claudio

.....
precisamente.


Controlla con "netstat -a" se trovi la porta 1243 in listening
preoccupati.
Mentre per quanto riguarda NIS e' sua abitudine segnalare l'uso della
1243 con la dicitura backdoor-g-1 anche se la backdoor sul pc non
esiste (questo e' quanto sono riuscito ha capire io) il perche' poi
bisogna chiederlo alla Symantec.
--
Ciao,
Claudio


Perche' e' un programma imbecille.
Se quella porta viene aperta da un qualsiasi povero processo
che ha bisogno di inviare dati, per nis e', inevitabilmente
B-G-1.
-- 
Acting like a maniac.
Whiplash!
ICQ #: 107064322

 B-G-1.
Allora ecco perchč quando sto collegata per piů tempo, e ogni
tanto aggiorno i ng, il report di Nis mi segnala in sequenza
tutte le porte a partire dalla 1027 o 1028, e quando arriva sulla
1243 mi segnala *sempre* Backdoor-g-1.
Scusate se abuso, mi spiegate anche queste:
1080 - socks
1433 - ms-sql-m
1434 - ms_sql-s
1477 - ms-sna-server
1478 - ms-sna-base
1755 - netshow
Grazie, adesso ne so uno zero virgola zero qualcosina in piů.
V.