Newsgroup: it.comp.sicurezza.varie
Titolo: Rst attack 127.0.0.1. continui... Ma è Blaster Worm?

Continuo a ricevere questi strani log-alert da Agnitum Personal Firewall:
07/09/2003 14.56.12 Connection request 127.0.0.1 TCP(1094)
07/09/2003 14.56.12 My address 127.0.0.1
07/09/2003 14.56.30 Rst attack 127.0.0.1 -> 127.0.0.1
Il tutto ogni 8 - 12 min circa in media.
Ora... ho letto gli ultimi post sull'argomento ma non ho trovato nulla sul
Rst attack. Si tratta del Blaster Worm e di quanto descritto nella K.B.
823980?
Dai consigli letti nel newsgroup per Blaster Worm e dal tutorial di Fabio P,
(ammesso che il problema dei miei log-alert sia quello e che non sia sfigata
al punto di "beccare" qualche altro baco) ho effettuato quanto segue:
- Ho installato la patch della K.B. 823980
- Aggiornato WinXpHE a tutti gli update rilasciati.
- Controllato periodicamente il PC tramite MCaffe Viruscan on-line e sempre
risulta tutto a posto.
- Attivato AdWare ad ogni riavvio.
Ora...
Devo continuare a preoccuparmi, oppure ho fatto tutto il possibile per
evitare brutte sorprese?
Inoltre...
Ma tutte queste "connection request" oltre a dar lavoro al Firewall è
possibile che "rubino" banda alla mia linea ADSL? (alice flat)
Trovero' log alert ancora per molto tempo?
Un salutone a tutti e grazie x la pazienza
Ciaobai :-)
Mascia
MI SUD - IT - EU

 Il tutto ogni 8 - 12 min circa in media.
Rst attack invece no, quando accade in genere è qualcuno  che cerca di
esaurire la tua banda, non ne ho avuto nessuno legato a 127.0.0.1
Come hai settato attack plugins ? che Agnitum usi, il 1.0 o il 2.0?

 ha scritto nel messaggio
news:k9I6b.299530$Ny5.9...@twister2.libero.it...


 is 127.0.0.1?
a occhio cosi' crei problemi a quei programmi che fanno uso di ipc creando
connessioni fittizie.
p.s. 
http://www.freewebs.com/iosononiubbo/iosononiubbo.htm#quotare
-- 
per leggere e postare su free.it.*:
http://infofreeit.altervista.org/polacco.zip

> p.s. 
http://www.freewebs.com/iosononiubbo/iosononiubbo.htm#quotare
Pardon... conosco bene Emily ma era una risposta diretta e preferivo un
front-quote (sbagliando)
Ripardon e grazie per l'aiuto
Ciaobai
-- 
Mascia
MI_Sud-IT-EUR

 connessioni fittizie.
Comunque la cosa si fa sempre piu grave...
Ora sono praticamente continue le connection request e ogni 7/8 minuti
appare anche questo:
08/09/2003 1.32.44 Port scanned 127.0.0.1 TCP(1865) TCP(1439) TCP(1217)
TCP(1246) TCP(1298) TCP(1689)
Come è possibile?
Vabbe... Portiamo pazienza...
Un salutone
CiaoBai
-- 
Mascia
MiSud-IT-EUR

 Come è possibile?
ipotesi: il firewall non ammette il traffico su 127.0.0.1, un programma
(lecito?) cerca di usare 127.0.0.1 per fare ipc e prova ad aprire qualche
porta fallendo miserevolmente ogni volta, il firewall nota il traffico e
fa scattare l'allarme.
qual e' la porta sorgente? quali sono i flag dei pacchetti?


 qual e' la porta sorgente? quali sono i flag dei pacchetti?
Purtroppo Outpost indica solo queste informazioni che ti riporto dai log
[Cut & Paste]
Ti riporto le segnalazioni di Attack Detection degli ultimi 3 minuti e il
contenuto in All Connbection.
Poi io non so molto sull'argomento:
Se sai dove posso trovare le info che cerchi x aiutarmi a capirci qualcosa,
fai un fischio.
08/09/2003 14.49.31 Connection request 80.182.213.12 TCP(1400)
08/09/2003 14.48.41 Connection request 80.182.216.59 TCP(1655)
08/09/2003 14.48.17 Connection request 80.181.181.163 TCP(135)
08/09/2003 14.47.59 Connection request 80.179.211.211 ICMP(2048)
08/09/2003 14.46.56 Connection request 80.179.64.66 ICMP(2048)
08/09/2003 14.46.51 Connection request 80.179.81.145 ICMP(2048)
08/09/2003 14.46.41 Connection request 66.220.17.151 TCP(1346)
08/09/2003 14.46.19 Connection request 80.179.83.238 ICMP(2048)
08/09/2003 14.46.14 Connection request 80.182.24.239 TCP(135)
08/09/2003 14.46.08 Connection request 66.220.17.151 TCP(1586)
08/09/2003 14.45.21 Connection request 81.249.151.29 UDP(137)
08/09/2003 14.45.21 Connection request 80.179.212.246 ICMP(2048)
08/09/2003 14.44.50 Connection request 66.220.17.151 TCP(1141)
08/09/2003 14.44.31 Connection request 195.167.123.7 UDP(137)
08/09/2003 14.44.28 Connection request 80.182.46.99 TCP(1173)
08/09/2003 14.44.23 Connection request 80.184.81.112 ICMP(2048)
08/09/2003 14.44.12 Port scanned 127.0.0.1 TCP(1869) TCP(1400) TCP(1578)
TCP(1969) TCP(1656) TCP(1528)
08/09/2003 14.44.12 Connection request 127.0.0.1 TCP(1869)
08/09/2003 14.44.12 Rst attack 127.0.0.1 -> 127.0.0.1
08/09/2003 14.44.12 Connection request 127.0.0.1 TCP(1400)
08/09/2003 14.44.11 Connection request 80.182.109.144 TCP(1763)
08/09/2003 14.44.01 Connection request 80.182.90.64 TCP(1294)
08/09/2003 14.43.51 Connection request 127.0.0.1 TCP(1578)
08/09/2003 14.43.50 Connection request 127.0.0.1 TCP(1969)
08/09/2003 14.43.47 Connection request 127.0.0.1 TCP(1656)
08/09/2003 14.43.29 Connection request 80.180.212.28 ICMP(2048)
08/09/2003 14.43.27 My address 127.0.0.1
08/09/2003 14.43.27 Connection request 127.0.0.1 TCP(1528)
08/09/2003 14.43.25 Connection request 80.182.67.171 TCP(135)
08/09/2003 14.43.24 Connection request 80.183.64.110 TCP(4662)
mentre il log delle connessioni (all connection) è questo.
EXPLORER.EXE LocalHost 1027 TCP 104 bytes 108 bytes 08/09/2003 14.29.30
Inbound 1024 *.*.*.* 00:23:59 0
FXSSVC.EXE LocalHost 1024 TCP 108 bytes 104 bytes 08/09/2003 14.29.30
Outbound 1027 *.*.*.* 00:23:59 0
OVERNET.EXE 
p203.ict-se.fr
 34974 TCP 309 bytes 2492 bytes 08/09/2003
14.30.59 Inbound 4662 *.*.*.* 00:22:30 2
OVERNET.EXE 
adslppp3.omah.uswest.net
 15683 TCP 135 bytes 190 bytes
08/09/2003 14.30.59 Inbound 4662 LocalHost 00:22:30 0
OVERNET.EXE 
host248-142.pool80181.interbusiness.it
 4155 TCP 145 bytes 630
bytes 08/09/2003 14.30.59 Inbound 4662 LocalHost 00:22:30 0
OVERNET.EXE 
host132-126.pool80181.interbusiness.it
 3310 TCP 183 bytes 1261
bytes 08/09/2003 14.30.59 Inbound 4662 LocalHost 00:22:30 1
OVERNET.EXE 
62-101-126-217.fastres.net
 23427 TCP 1221 bytes 478,5 Kb
08/09/2003 14.30.59 Inbound 4662 *.*.*.* 00:22:30 363
OVERNET.EXE 
pd9e42ab1.dip.t-dialin.net
 5574 UDP 15,9 Kb 18,6 Kb 08/09/2003
14.30.57 Outbound 4665 LocalHost 00:22:32 26
OVERNET.EXE *.*.*.* n/a UDP 0 bytes 0 bytes 08/09/2003 14.30.59 Listening
1034 LocalHost 00:22:30 0
OVERNET.EXE 
41.Red-217-126-140.pooles.rima-tde.net
 61834 TCP 8,6 Mb 1,4 Mb
08/09/2003 14.30.59 Inbound 4662 *.*.*.* 00:22:30 7738
OVERNET.EXE 
189.Red-80-38-233.pooles.rima-tde.net
 4417 TCP 8502 bytes 318,9
Kb 08/09/2003 14.30.59 Inbound 4662 *.*.*.* 00:22:30 248
OVERNET.EXE 
host183-220.pool62211.interbusiness.it
 1715 TCP 265,2 Kb 600
bytes 08/09/2003 14.30.59 Inbound 4662 *.*.*.* 00:22:30 201
OVERNET.EXE 
host110-82.pool80181.interbusiness.it
 2810 TCP 8433 bytes 753,3
Kb 08/09/2003 14.30.59 Inbound 4662 *.*.*.* 00:22:30 577
OVERNET.EXE 62.123.94.254 2919 TCP 12,9 Kb 13,0 Kb 08/09/2003 14.30.59
Inbound 4662 *.*.*.* 00:22:30 19
OVERNET.EXE 
62-62-204-48.reverse.9tel.net
 3299 TCP 5486 bytes 11,5 Kb
08/09/2003 14.30.59 Inbound 4662 *.*.*.* 00:22:30 12
OVERNET.EXE 
amarseille-107-1-22-176.w81-248.abo.wanadoo.fr
 3293 TCP 1389
bytes 3,1 Mb 08/09/2003 14.30.59 Inbound 4662 *.*.*.* 00:22:30 2382
OVERNET.EXE 
host13-221.pool62211.interbusiness.it
 4744 TCP 1,9 Mb 1,4 Mb
08/09/2003 14.30.59 Inbound 4662 *.*.*.* 00:22:30 2529
OVERNET.EXE 213.197.243.12 61826 TCP 373 bytes 116 bytes 08/09/2003 14.30.59
Inbound 4662 *.*.*.* 00:22:30 0
OVERNET.EXE 
anantes-101-1-3-163.w81-50.abo.wanadoo.fr
 4976 TCP 497,8 Kb 1,3
Mb 08/09/2003 14.30.59 Inbound 4662 *.*.*.* 00:22:30 1374
OVERNET.EXE 
host71-214.pool62211.interbusiness.it
 1064 TCP 181 bytes 2481
bytes 08/09/2003 14.30.59 Inbound 4662 *.*.*.* 00:22:30 1
OVERNET.EXE 
73.Red-80-35-118.pooles.rima-tde.net
 4772 TCP 168 bytes 138
bytes 08/09/2003 14.30.59 Inbound 4662 *.*.*.* 00:22:30 0
OVERNET.EXE 
pc1-grim1-3-cust47.nott.cable.ntl.com
 1751 TCP 181 bytes 116
bytes 08/09/2003 14.30.59 Inbound 4662 *.*.*.* 00:22:30 0
OVERNET.EXE 
12-210-203-117.client.attbi.com
 64492 TCP 461 bytes 996 bytes
08/09/2003 14.30.59 Inbound 4662 *.*.*.* 00:22:30 1
OVERNET.EXE 211.61.127.189 3082 TCP 179 bytes 116 bytes 08/09/2003 14.30.59
Inbound 4662 *.*.*.* 00:22:30 0
OVERNET.EXE 
lns-th2-8-82-64-223-90.adsl.proxad.net
 4760 TCP 461 bytes 2054
bytes 08/09/2003 14.30.59 Inbound 4662 *.*.*.* 00:22:30 1
OVERNET.EXE 
125.red-80-32-91.pooles.rima-tde.net
 4321 TCP 2722 bytes 160
bytes 08/09/2003 14.30.59 Inbound 4662 *.*.*.* 00:22:30 2
OVERNET.EXE 218.146.14.117 62510 TCP 107 bytes 160 bytes 08/09/2003 14.30.59
Inbound 4662 *.*.*.* 00:22:30 0
OVERNET.EXE 
host248-210.pool80181.interbusiness.it
 4662 TCP 2485 bytes 183
bytes 08/09/2003 14.51.26 Outbound 1294 LocalHost 00:02:03 21
SVCHOST.EXE *.*.*.* n/a TCP 0 bytes 0 bytes 08/09/2003 14.29.12 Listening
251 *.*.*.* 00:24:17 0
SVCHOST.EXE *.*.*.* n/a UDP 0 bytes 0 bytes 08/09/2003 14.29.27 Listening
520 LocalHost 00:24:02 0
SVCHOST.EXE *.*.*.* n/a UDP 0 bytes 0 bytes 08/09/2003 14.29.27 Listening
123 LocalHost 00:24:02 0
SVCHOST.EXE *.*.*.* n/a UDP 0 bytes 0 bytes 08/09/2003 14.29.27 Listening
123 LocalHost 00:24:02 0
SYSTEM *.*.*.* n/a UDP 0 bytes 0 bytes 08/09/2003 14.25.48 Listening 445
*.*.*.* 00:27:41 0
SYSTEM *.*.*.* n/a TCP 0 bytes 0 bytes 08/09/2003 14.25.48 Listening
MICROSOFT_DS *.*.*.* 00:27:41 0
SYSTEM *.*.*.* n/a TCP 0 bytes 0 bytes 08/09/2003 14.26.19 Listening 1025
*.*.*.* 00:27:10 0
SYSTEM n/a n/a RAWSOCKET 0 bytes 0 bytes 08/09/2003 14.26.19 Listening n/a
n/a 00:27:10 0
SYSTEM n/a n/a GRE 0 bytes 0 bytes 08/09/2003 14.26.19 Listening 12032 n/a
00:27:10 0
Comunque devo capire meglio il funzionamento di Outpost PF perchè in
"blocked" trovo una miriade di "alert" del tipo:
Tu come hai impostato nelle opzioni alla voce "System" il "ICMP Setting"? Io
le ho lasciate di default e in questo modo trovo gli alert sotto indicati.
Se invece metto un flag nella opzione "Destination Unreachable" gli alert
qui sotto scompaiono.
ICMP Traffic Destination Unreachable/3 n/a
host21-178.pool8020.interbusiness.it
 Destination Unreachable/3 Outbound ICMP
LocalHost
ICMP Traffic Echo Request/0 n/a 
host100-1.pool80182.interbusiness.it
 Echo
Request/0 Inbound ICMP LocalHost
ICMP Traffic Destination Unreachable/3 n/a 
ns4.tin.it
 Destination
Unreachable/3 Outbound ICMP LocalHost
ICMP Traffic Destination Unreachable/3 n/a
host21-178.pool8020.interbusiness.it
 Destination Unreachable/3 Outbound ICMP
LocalHost
ICMP Traffic Destination Unreachable/3 n/a 
ns4.tin.it
 Destination
Unreachable/3 Outbound ICMP LocalHost
ICMP Traffic Destination Unreachable/3 n/a
host21-178.pool8020.interbusiness.it
 Destination Unreachable/3 Outbound ICMP
LocalHost
ICMP Traffic Echo Request/0 n/a 
80.179.186.172.forward.012.net.il
 Echo
Request/0 Inbound ICMP LocalHost
ICMP Traffic Destination Unreachable/3 n/a 
ns4.tin.it
 Destination
Unreachable/3 Outbound ICMP LocalHost
ICMP Traffic Destination Unreachable/3 n/a
host21-178.pool8020.interbusiness.it
 Destination Unreachable/3 Outbound ICMP
LocalHost
ICMP Traffic Echo Request/0 n/a 
host222-194.pool80182.interbusiness.it
 Echo
Request/0 Inbound ICMP LocalHost
ICMP Traffic Echo Request/0 n/a 
80.179.59.104.forward.012.net.il
 Echo
Request/0 Inbound ICMP LocalHost
ICMP Traffic Echo Request/0 n/a 
80.179.89.241.forward.012.net.il
 Echo
Request/0 Inbound ICMP LocalHost
ICMP Traffic Echo Request/0 n/a 
80.179.73.37.forward.012.net.il
 Echo
Request/0 Inbound ICMP LocalHost
ICMP Traffic Echo Request/0 n/a 
80.179.202.235.forward.012.net.il
 Echo
Request/0 Inbound ICMP LocalHost
ICMP Traffic Destination Unreachable/3 n/a
host21-178.pool8020.interbusiness.it
 Destination Unreachable/3 Outbound ICMP
LocalHost
Grazie x l'aiuto e per l'interessamento.
-- 
Mascia
MISUD-IT-EUR

 scompaiono.
io non uso proprio outpost (e poco pure windows) pero' ti posso suggerire
di non bloccare gli icmp 0, 3, 8 e 11 ovvero echo reply, destination
unreachable, echo, time exceeded per prima cosa perche' fanno comodo e
non sono normalmente pericolosi e secondo perche' bloccarli e' il
miglior modo per avere enormi log di allarmi del tutto inutili. l'icmp e'
un protocollo per fare diagnosi o esplorazioni della rete ed e' piu' che
normale ricevere montagne di pacchetti di quel tipo.


 Il tutto ogni 8 - 12 min circa in media.
si anch'io.
inoltre, in  BLOCKED ho anche parecchio ICMP Traffic....
ho letto il tutorial del Panigatti, ma la domandona è questa: il fw ci
protegge realmente?
grazie, saluti.


Secondo me bisognerebbe usare il fw solo come seconda linea di difesa. 
Ma la prima è il famoso firewall che hai tra le orecchie.
Mi spiego: innanzitutto bisognerebbe capire chi sono i propri nemici: 
sull'interfaccia di loopback non puoi avere nulla di dannoso (parlo di 
internet: se hai già nel sistema dei worm che si cibano allegramente dei 
bachi del tuo s.o. allora è già tardi per un firewall); per esempio, se 
la gente ignorasse questi tentativi, nessuno si sarebbe accorto della 
boiata di redirigere windowsupdate su 127.0.0.1. Sarà anche che si sono 
liberati i loro server, ma hanno rotto le scatole a tutto il pianeta!
Ma, a prescindere da questo, non aveva senso preoccuparsi per tutti 
quegli avvisi, no?
Poi un'altra cosa: da quando si registrano nei log tutti gli icmp? Gli 
icmp sono per definizione utili (a parte i redirect).
In pratica: il firewall non ti protegge più di quanto non gli consenti 
di fare: se blocchi tutto quanto e poi ti installi programmi pieni di 
trojan non puoi prendertela con il firewall, no?
Nel tuo caso specifico io controllerei per la presenza di worm e virus; 
poi, una volta certo che tutto è pulito, consentirei a tutto quello che 
parte da 127.0.0.1 verso 127.0.0.1 di fare quello che vuole senza 
avvisarmi. E vivrei tranquillo.
Hope it helps
Radel

 vuole senza avvisarmi. E vivrei tranquillo.
ok, grazie.
ciao.