Newsgroup: it.comp.sicurezza.varie
Titolo: firewall e virus (lungo)

Mi scuso per il subject molto generico, ma e' il meglio che ho trovato. 
Forse sono anche un po' OT nel qual caso una pedata nella giusta 
direzione sara' bene accetta. :-)
Sono abbonato fastweb fibra. Come saprete in FW si possiede un indirizzo 
di rete privato ed e' possibile trovarsi nella stessa sottorete con 
altri abbonati.
Su un portatile ho il firewall kerio personal edition.
Stamane, allertato da un altro utente fw, relativamente ad una 
diffusione di qualche virus (mydoom probabilmente) in particolare nella 
rete fastweb, ho acceso il portatile e aperto il monitor di kerio, piu' 
per curiosita' che per timore.
Sfortunatamente ho notato che era attiva una connessione da un indirizzo 
della mia sottorete e che stavo ricevendo megabytes alla grande da una 
generica applicazione System. Staccando e poi riattaccando il cavo di 
rete o bloccando e poi sbloccando tutto il traffico tramite opzione di 
kerio la connessione riprendeva su una diversa porta (superiore a 3000).
Ho provato anche ad inserire delle regole specifiche per 
quell'indirizzo, ma senza risultato.
Per farla breve, alla fine ho scoperto che avevo configurato come zona 
Thrusted non solo i miei pc ma tutta la sottorete a cui appartengo.
Corretto il problema, l'intrusione e' sparita.
Ho anche fatto una prova scrivendo nella barra degli indirizzi 
\\1.2.3.4\c$ e si e' aperta la finestra di dialogo per inserire la 
password per l'utente nomepc/guest.
Ho anche provato ad usare net send ma non so la sintassi quando si 
possiede solo l'indirizzo ip ed il nome del pc.
L'intenzione era quella di mandargli un avviso...
Il portatile aveva una cartella ed una stampante condivisa e nella 
cartella condivisa ho trovato 2 files che non credo di aver messo io:
netsvcs.exe e navpaw.exe. Ho provato a cercare info su questi file, non 
ci sono molti link, quelli che li indicano come worm, trojan o virus 
indicano anche come eliminare eventuali "comandi" che ne permettono 
l'esecuzione all'avvio del pc, ma non ho trovato nulla.
Mi chiedevo se il pc, con la configurazione che ho detto, cioe' in 
pratica con una cartella condivisa, puo' essere infettato (non l'ho 
detto, ma sicuramente il pc non e' stato infettato tramite posta 
elettronica o programmi eseguiti incautamente).
Un'altra curiosita' era il capire cosa diavolo stessi ricevendo. Kerio 
mi indica solo quanti byte sto ricevendo, ma non dove vanno a finire, se 
in un file o in un programma. Ethereal?
Il portatile ha win xp home aggiornato regolarmente.
Non ha un antivirus per mia scelta ( e finora sono sopravvissuto ;-)
grazie
	maxx
-- 
NOSPAM: Rimuovere i trattini dallo username!
Cut hyphens from my username!

 Non ha un antivirus per mia scelta ( e finora sono sopravvissuto ;-)
Non mi pare proprio. La tua scelta sconsiderata ha messo in pericolo te
e gli altri. Non mi pare che tu debba vantartene tanto. Se avessi avuto
un antivirus aggiornato, probabilmente tutto questo non sarebbe
successo.
HappyCactus e i 10Mbit non dovrebbero darli con tanta leggerezza...
[1] Grande banda, grandi responsabilita'. Fila a mettere in sicurezza il
pc, march!
-- 
*    HappyCactus - Linux User #209744 - BOFH Certified Engineer    *
*                         
http://www.google.com
                    *
*                                                                  *
*                           ET IN ARCADIA EGO                      *

 HappyCactus e i 10Mbit non dovrebbero darli con tanta leggerezza...
e nemmeno le tastiere. :-(
ciao


 e nemmeno le tastiere. :-(
Gia', pero' poi avresti difficolta' a scrivere.


 uscita ...
Dipende (C)... e' solo probabile.
Fabio

 mel caso, che cosa.
Avevo gia' guardato, ma a parte la presenza dei 2 file non c'e' nulla 
che indichi che venga avviato qualche processo "sospetto".
grazie


 Anche su macchine con patch di windows aggiornate?
In linea di massima no, ma questo aspetto non era stato chiarito.
Fabio

 Mi perdoni.. ma non era Remote Procedure Call? :-))
Okkatzo :-) Ma dove me la sono inventata la ecsechiuscion?


Semplice estensione mentale del concetto.
In fondo "chiamare" una procedura serve ad eseguirla ;-)
Bye, G.



ok, per questa volta č andata ma che non si ripeta piů... :-)

 Anche su macchine con patch di windows aggiornate?
L'ultima volta che ho dato un'occhiata c'erano una dozzina
di vulnerabilitā non patchate sul solo IE6:
http://pivx.com/larholm/unpatched/
http://www.safecenter.net/UMBRELLAWEBV4/ie_unpatched/index.html
ma immagino che qualcosa di pių aggiornato si trovi pių
genericamente cosė:
http://www.google.it/search?q=unpatched+vulnerabilities+xp
Ma d'altra parte, se hai il disco condiviso basta mettere un file
nella cartella giusta :-(
Bye, G.

 
Forse il mio primo post era un po' lungo ed alcuni dettagli sono 
sfuggiti. Non ho il disco condiviso, ma una cartella non di sistema!
ciao


 
L'importante e' capirsi. Non mi ero accorto nemmeno io che aveva scritto 
execution...


 
E' evidente che se sul pc attancante si trova un umano o un virus che 
sfrutta qualche vulnerabilita' sconosciuta il mio portatile e' fritto, 
ma supponendo che l'attacco sia stato portato da un virus "noto" questo 
probabilmente tenta di sfruttare delle vulnerabilita' note che in teoria 
  dovrebbero essere risolte dagli aggiornamenti di windows (almeno le 
piu' pericolose spero).
La cosa che piu' mi preoccupa e incuriosisce e' capire cosa stesse 
uploadando sul mio pc il "virus". A parte i 2 file che ho segnalato di 
dimensione di circa 200k altro non ho trovato, almeno nella cartella 
condivisa.
Un altra domanda: l'accesso alla cartella condivisa non richiede 
comunque un nome utente ed una password? O c'e' qualche vulnerabilita' 
anche per questo?


 sfuggiti. Non ho il disco condiviso, ma una cartella non di sistema!
Hai il disco condiviso. Lo vedo da qui :-P
*****************
Battute a parte, Win2K/XP crea automaticamente delle "hidden
shares", cioè condivisioni nascoste, del tipo C$, D$, Admin$,
IPC$, FAX$, PRINT$ eccetera, per "scopi amministrativi".
Nascoste si fa per dire, perché:
a) basta sapere che esistono per accedervi
b) esistono programmi che le vedono lo stesso (netsearch per
dirne uno a caso).
Il solito discorso della protezione a pene di segugio, insomma. :-(
Qualcuno disse, ma non ricordo chi e come, quindi non garantisco
che sia vero, che se condividi una cartella su un disco viene creata
automaticamente la share nascosta di quel disco. Se è vero (non
ho tempo di fare prove) è una grande, enorme... beh, già sai cosa ;-).
Uno dei primi link che escono guglando:
http://support.microsoft.com/default.aspx?scid=kb;en-us;Q314984&sd=tech
************************
Che poi, rileggendo bene il post originale vedo che lo sai già... controlla !
Bye, G.

 
Appunto, se provo a connettermi ad una condivisione amministrativa debbo
inserire utente amministratore e relativa password. Anche se lo faccio
su questo pc devo necessariamente inserire la password di amministratore.
Quindi o il virus/umano ha usato un metodo da bruto per violare la
password, altrimenti ciccia.
La mia teoria ovviamente traballa un po' quando ci si sofferma sui 2 
file trovati nella cartella condivisa. Come e' stato possibile copiarli 
li', forse usando un utente normale con la password da dizionario.
O XP home non ha un livello di protezione elevato per le cartelle 
condivise.
Illuminatemi!
Adesso quel portatile risulta praticamente invisibile (almeno a me). Ho 
provato con ping, condivisioni amministrative, remoteexec, ma e' come se 
non esistesse. Chissa' cosa ho inserito nelle regole di kerio ... :-(


 non esistesse. Chissa' cosa ho inserito nelle regole di kerio ... :-(
Evvabbe', chiudiamo con una battutaccia: è attaccato il cavo di rete ? =8-P
Bye, G.

...

giorno.
sul sito 
http://www.bitdefender.de/scan/Msie/index.php
 ho riscontrato
i seguenti virus nel mio pc:
Process [netsvcs.exe] [PID:000003F0]=>(Petite 2.2) infected:
Backdoor.Agobot.3.Gen
Process [netsvcs.exe] [PID:000003F0]=>(Petite 2.2) unable to disinfect
C:\WINNT\system32\OpPorts.exe infected: Backdoor.HacDef.A
C:\WINNT\system32\OpPorts.exe unable to disinfect
C:\WINNT\system32\netsvcs.exe=>(Petite 2.2) infected:
Backdoor.Agobot.3.Gen
C:\WINNT\system32\netsvcs.exe=>(Petite 2.2) unable to disinfect
C:\WINNT\system32\sysconf.exe=>(ExeStealth)=>(PECompact 1.68-1.84)
infected: Backdoor.Agobot.3.Gen
C:\WINNT\system32\sysconf.exe=>(ExeStealth)=>(PECompact 1.68-1.84)
unable to disinfect
che faccio?
grazie.

 Evvabbe', chiudiamo con una battutaccia: è attaccato il cavo di rete ? =8-P
Si', e' la spina ad essere staccata! ;-)
