Newsgroup: it.comp.sicurezza.varie
Titolo: Collegamenti sospetti

Alcuni giorni fa mentre ero collegato al mio provider (TIN) mi sono accorto
di una forte attività del modem che rallentava il funzionamento il normale
funzionamento del PC, malgrado stessi semplicemente consultando una pagina
gia' completamente scaricata. Insospettito dal fatto ho aperto la finestra
della connessione internet ed ho notato che il contatore dei byte inviati
aumentava in modo vertiginoso malgrado non stessi trasmettendo niente. Ho
provato a chiudere il browser (Microsoft Explorer) ma l'attività di
trasmissione non ha cessato fino a quando non ho deciso di chiudere il
collegamento. Cio' si e' ripetuto anche in data odierna.
Vorrei sapere se qualcuno dalla rete ha modo di collegarsi direttamente al
mio PC a mia insaputa oppure se cio' avviene solo collegandosi anche
brevemente ad alcuni siti oppure se ho scaricato inavvertitamente qualche
file che pur non creando problemi nel normale funzionamento del PC, invia a
mia insaputa dei file in rete.
E' possibile per me verificare a chi e' diretto questo flusso di dati? Ci
sono dei software per verificare l'eventuale destinatario? Siete a
conoscenza di altri episodi di questi tipo?
Grazie a tutti per l'aiuto.

 aumentava in modo vertiginoso malgrado non stessi trasmettendo niente. 
Se eseguivi un netstat avresti avuto le connessioni attive (se c'erano)
e forse la risposta.
Possono esserci diverse spiegazioni:
- hai una backdoor installata, e qualcuno ti stava "succhiando" l'hard
disk
- qualche buontempone ti stava solo saturando la banda, costringendo il
tuo computer a rispondere a ping a iosa. Lo scherzetto consiste proprio
nel costringerti a sganciare, perchè hai la banda satura e non riesci a
fare niente.
Ad occhio propendo per la seconda ipotesi. Anche se la prima merita
senz'altro di essere verificata con attenzione perchè sarebbe molto più
grave.
-- 
Vincent

 Vincent
Ti ringrazio per la risposta tempestiva ma non essendo un "mago"
dell'informatica mi permetto di chiederti cosa e' un netstat e come posso
verificare la presenza di una backdoor. Aggiungo inoltre che quando giorni
fa mi sono accorto della strana attività del modem ad un certo punto si e'
aperta una piccola "finestra" intitolata "Attenzione" con il messaggio "Ciao
Cipollino!" che ha avviato la procedura di chiusura sessione di windows. Ho
temuto un virus ma ho Norton Antivirus aggiornato e non ha rilevato anomalie
inoltre il pc continua a funzionare correttamente.
Grazie di nuovo.

 wrote in message 7sdaho$hmb$1...@fe2.cs.interbusiness.it...

Mi sa che allora e' vera la seconda ipotesi di Vincent.
per eseguire netstat devi aprire una finestra dos (prompt dei comandi)
quando sei collegato e eseguire il comando "netstat -na".
per quanto riguarda la backdoor procurati avp (
www.avp.it
) e vedi un po'
cosa ti dice.
Ciao
/\/\arco /\/\ex


La prima, volevo dire la prima ipotesi, non la seconda!!!


 inoltre il pc continua a funzionare correttamente.
Ahimè, Tu HAI SICURAMENTE una backdoor installata. Mi meraviglia che tu
ti sia soffermato sul traffico anomalo sul modem e abbia trascurato di
segnalare un fatto così pacchiano come quello che hai descritto adesso.
Non credo sia normale che il computer ti saluti "ciao cipollino!" e poi
si chiude da solo :-)
Quello che devi fare è *sicuramente* evitare di collegarti a IRC, ICQ o
qualunque accessorio che possa rivelare esplicitamente la tua presenza
in rete. Meglio (molto meglio) se non ti colleghi proprio a internet
finchè non hai risolto il problema.
Procurati un antivirus aggiornato. Quello che hai NON lo è abbastanza.
Ritieniti tranquillo solo quando la backdoor ti viene rilevata e
rimossa.
In alternativa, se te la senti di smanettare nel regedit, apri la
chiave:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
e guarda cosa c'è dentro. Normalmente c'è solo SysTay.exe. Voci sospette
potrebbero essere PATCH.EXE o .EXE (spazio punto exe). Se le trovi
rimuovile, quindi riavvia windows e hai risolto buona parte dei
problemi.
Risolto il problema tecnico, restano le ferite da leccare. Purtroppo il
lamer ha dimostrato di essere entrato e aver fatto i suoi comodini nel
tuo computer. Non so cosa possa aver prelevato dal tuo pc mentre c'era
quella attività del modem, ma tieni conto che potrebbe aver preso di
tutto. Valuta tu. 
Comunque, ti consiglio di cambiare la password di accesso al provider,
quella della posta elettronica e tutte le password che hai memorizzato
nel computer.
Tieni conto che la backdoor l'hai ricevuta con una tecnica analoga ai
virus, ovvero hai eseguito un programma "infetto" (un trojano, per la
precisione). Come è analogo la tecnica di contagio, è analoga anche la
tecnica di difesa.
-- 
Vincent


altra voce sospetta (eufemico) e' netbus.svr, li dovresti vedere anche il
patch della voce, vai li' e cancellalo, se fosse il netbus v.2 (e se il
lamer e' un coglione) oltre al netbus.svr dovresti trovare anche un file
log.txt, aprendolo (se c'e') vedi quello che ha fatto sul tuo computer e
anche un'indirizzo IP che potrebbe (sempre se il lamer e' un coglione)
indicarti chi ti ha fatto il regalino.
la supposizione di lamer coglione deriva dal msg "ciao cipollino" se fosse
stato un lamer un po' meno coglione se ne sarebbe rimasto zitto a succhiarti
pwd o quant'altro hai sul hd.
saluti

 aver fatto i suoi comodini nel
                    ^^^^^^^^
Un lamer mobiliere? :-))))
Comunque (per Leo) chiedi anche al tuo provider di
cambiarti la password di accesso, probabilmente il
lamer ha preso anche quella.
E patcha la R: di Autlůk!
Ciao,
Valerio


O una o l'altra cosa no ?
Se ha fatto solo la prima,gli ha fatto anche un favore,magari intenzionale...[*]
fare lo scherzetto,con la consapevolezza che non avrebbe potuto tornarci
in quanto ha rivelato la presenza della backdoor e ha messo sull'avviso l'utente.
Insomma tu dici che e' un coglione,l'alternativa era uno stronzo pericoloso,
che e' peggio.
Io pero' consiglio vivamente il signor Leo di verificare sul sito del
suo provider gli accessi avvenuti, numero telefonico chiamante
(se il provider offre questa possibilita',la tin lo fa),
e da lě regolarsi di conseguenza,se il tizio ha usato l'accesso per molto tempo
chissa' cosa puo' aver combinato.
E a questo punto una denuncia la devi fare.
E' ora che la finiscano certi coglioni di pensare che internet
sia un terreno di gioco a danno di altri.
Ciao
Xbug
[*] certo avrebbe potuto dirgli semplicemente "hai una backdoor"

aumentava in modo vertiginoso malgrado non stessi trasmettendo niente.
Hai una backdoor, probabilmente Netbus. Preleva (o meglio fai prelevare ad
un amico con un altro PC, o cercalo in edicola: STAI LONTANO da Internet!)
AVP (
www.avp.it
), e fai un giro del disco fisso.
Poi ricordati di NON aprire allegati eseguibili inviati per email, dare in
pasto sempre all'antivirus tutto quel che scarichi su disco, e se hai gia'
un antivirus (ma penso di no), buttalo nel cesso e tira la catena (1).
Leonardo
(1) Se e' Protector Plus: dopo, tappa il cesso con cemento a pronta presa:
    a volte ritornano.
".signature": bad command or file name

 pwd o quant'altro hai sul hd.
Beh, può anche darsi che gli abbia mandato il messaggio perchè oramai
aveva già fatto tutto quello che doveva fare... :-)
-- 
Vincent


a maggior ragione ........... se lo scopo delle "visitine" era quello di
prendersi qualche pwd, se ne stava zittino ed usava quelli pwd, cosa che non
fara' ora poiche' spero che leo oramai abbia gia' provveduto in merito.

 wrote in message
_uzG3.34146$1u4.1...@typhoon.libero.it...



E' il numero del telefono da cui accedi ad internet.
Quando usavo tin potevo vedere sul sito tutti i dettagli dei miei collegamenti:
ore totali,durata giorno per giorno,e forse anche il mio numero,ma questo non mi ricordo.
Vai a vedere, con libero ad esempio non ti puoi collegare se disabiliti il callerID,
pero' non offre quel servizio,ma comunque e' una garanzia per te
se qualcuno fa danni a nome tuo,per poterlo rintracciare,o per discolparti.

     a volte ritornano.
Azz....ma e` davvero cosi` osceno??? (preciso che non l'ho mai
provato.....)
--
Bye bye by
TheMaz (Linux filtered...)