Newsgroup: it.comp.sicurezza.varie
Titolo: Trojan bastardo dentro

Ciao ragazzi non metto il nome completo del gingillo per non indurre in
tentazione qualche lamer.
Lunedě sera mi sono imbattuto in un simpatico gingillino che non solo non
veniva rilevato dal norton nel suo file silkeroppato (che BTL č piuttosto
strano visto che per il sig.norton silkeroppe=virus, ma che č andato in
esecuzione nella piů completa indifferenza dell'antivirus.
Si tratta di un gran bel lavoro, tutto scritto il delphy che all'avvio come
prima cosa secca antivirus e firewall e poi si mette in ascolto sulla porta
5001.
Per fortuna mi sono accorto subito che qualcosa non andava, quando lavoro
con certi file ho cento occhi aperti, e visto che il firewall andava giů
come una pera matura mi sono insospettito (bello sforzo!).
Ho trovato la chiave di avvio e l'ho rimossa ed il firewall č rimasto su. Mi
son tenuto il file exe per esaminarlo, ma norton continuava ad ingnorarlo
finchč ieri sera č finalmente riuscito a riconoscerlo come backdoor op*ix.
L'ho cercato, ho scaricato il pacchetto lamer ready ed il norton lo ha
riconosciuto subito. Ora il dubbio da niubbo.
hanno trovato un parente di silkrop davvero affidabile o lunedě sera norton
aveva deciso di prendersi una serata di permesso senza avvisare? So che con
certe tecniche č possibile far passare un file silkeroppato sotto norton, ma
quel file era un exe non *poteva* essere ignorato!.
Ultimo dubbio.
Ho controllato le regole del firewall ed i log. Non risultano accessi alla
porta 5001 o comq connessioni in entrata a porte non autorizzate, dovrei
stare tranquillo, giusto.
--
Parsifal (che esce or ora da dietro la lavagna dove ha scontato1 giorno di
vergogna per essersi fatto fregare come un niubbo di primissimo pelo)
--
Parsifal
www.geocities.com/florindi1975
www.telediritto.it

 aveva deciso di prendersi una serata di permesso senza avvisare?
Esistono  in giro  particolari programmi  (exe-packers/crypters) che
comprimono/criptano  gli  eseguibili. Una  "ficiur"  di  costoro  e`
quella di rendere un virus invisibile ai programmi che lo cercano.
Leggi questo articolo da NetRunners2 ( 
www.spippolatori.com
 ) :
Ricetta per farsi un Bo server invisibile agli antivirus   By Buttha
PS: Non  fucilatemi il  Buttha, era  un articolo  di gioventu`,  non
    voleva rompere le palle a nessuno.... :-)
-- 
http://fantoibed.cjb.net
  |   linux   |  
http://www.spippolatori.com
 UIN:62959208             | addicted  |  email:  
fant...@libero.it

    voleva rompere le palle a nessuno.... :-)
 :) Purtroppo, 
spippolatori.com
 non è, al momento, online.
hola
Buttha
-- 
Dicesi antispam: la prima i nell'indirizzo email

stare tranquillo, giusto.
Yesssssss.


 stare tranquillo, giusto.
In generale dipende dal firewall e dalla backdoor. Tra l'altro non sai cosa
e' entrato o uscito quando il firewall e' andato giu'.
Non puoi usare solo i log del firewall per avere certezze su quanto accade.
Se, ad esempio, il firewall fa statefull inspection, o permette liberamente
il traffico in uscita, una bd che originasse autonomamente la connessione
verso l'esterno potrebbe passare attraverso le acl.
Inoltre non avresti trovato i log degli acessi, ma dei rifiuti: se il fw
chiude le porte avrebbe loggato e impedito le connessioni, quindi saresti
potuto stare "quasi" tranquillo anche trovando righe nel log.
Se invece non bloccasse quelle porte non ti mostrerebbe nulla comunque e
la mancanza di log non dovrebbe affatto tranquillizzarti.
Questo in generale, non sapendo nulla del tuo firewall e della backdoor.
Io in linea di massima sono tranquillo quando "vedo" i tentativi di accesso
nei log del firewall. Mi preoccupo quando non ne vedo per troppo tempo:
potrebbe essere andato storto qualcosa.
Fabio

  :) Purtroppo, 
spippolatori.com
 non è, al momento, online.
Mica vero...;)

Mica vero...;)
Pensa che, dopo aver postato, ho letto della riapertura del sito nella
ml sikurezza...
mah


 potrebbe essere andato storto qualcosa.
Quello è vero, ma non vedendo nulla in uscita dalla 5001 non posso stare
tranquillo?
Per buona misura ha già provveduto a cambiare tutte le pass di una qualche
importanza.
Parsifal

 Spero che la cosa Ti possa consolare. ;)
Mi consola come utonto che si reputa poco piů che niubbo, mi rattrista
enormemente come consumatore che aveva una certa fiducia in un prodotto.
Grazie e ciao

 tranquillo?
Penso di si. Soprattutto se adesso la 5001 non e' piu' aperta ;)
Fabio

 penso che registri solo il traffico che viola le acl. O no?
Da quel che ricordo di atguard, potevi loggare tutto cio' che volevi.
-- 
Di risate alle mie spalle ne ho viste poche.
(Serg1)

 Penso di si. Soprattutto se adesso la 5001 non e' piu' aperta ;)
Sigillata come una tomba ;-)
--
Parsifal

Da quello che vedo logga tutto (ovviamete settaggio paranoico ;))
Spesso, non è una scelta corretta: qualcuno potrebbe causarti un
Denial of Service iniziando a spararti pacchetti per riempirti il
disco o, cmq, per impegnarti il sistema di I/O.
hola


 disco o, cmq, per impegnarti il sistema di I/O.
Anche se ho limitato le dimensioni dei log a 512kb (1024 per le
connessioni)?
--
Parsifal

 Data: 11/02/2002 Ora: 22.04.33
[...]
Beh, allora direi che dovresti stare abbastanza tranquillo.
Non me la ricordavo questa feature (usato una settimana).
Fabio

connessioni)?
Beh, in questo caso non rischi il rempimento del disco ma, al massimo,
un gravoso I/O; quanto gravoso? Bisognerebbe fare una prova: qualcuno
che ti invii pacchetti a profusione e tu che controlli le performance
del sistema sotto attacco.


 del sistema sotto attacco.
Direi che potrebbe esserci anche altro. Cosa succede quando le
dimensioni del file log superano il limite? Smette di loggare?
Elimina le entry di troppo con un approccio fifo?
In ogni caso sarebbe possibile forzare il riempimento del file
di log con entry banali per eliminare le registrazioni di fasi
di attacco precedenti o fermare il servizio prima dell'attacco
vero e proprio.
Se la dimensione del file di log, comunque, e' generosa, direi
che non ci si dovrebbe preoccupare piu' di tanto: si tratta di
situazioni limite >[1]<. Per toglierti una curiosita' potresti
fare due conti per vedere se il limite di 1024KB puo' essere o
meno superato facilmente: se provi il test che ti ha suggerito
buttha tieni d'occhio la crescita dl file e poi calcola quanto
tempo puoi gestire traffico simile. Ovviamente devi provare in
situazioni analoghe a quelle che troverebbe un attaccante: se,
ad esempio, hai un'interfacia esterna adsl il rtt limitera' la
velocita' dell'attacco e il rate di logging e, di conseguenza,
anche l'impatto sulle prestazioni e il tempo di riempimento.
Se tu eseguissi il test da un'interfaccia ethernet avresti una
situazione piu' gravosa ma non realistica.
Puo' anche darsi che NIS abbia sistemi per limitare il rate di
registrazione: l'impattto sulle prestazioni e sulle dimensioni
del file di log puo' essere non trascurabile. Anche il tipo di
risposte del firewall al traffico influisce (nessuna risposta,
rst, icmp unreachable, ecc.).
Fabio che ha una /var/log di 2 GB
[1] ma visto che sei paranoico... :)

 Fabio che ha una /var/log di 2 GB
Ellamadonna! ;-)
(beh, io sto facendo di peggio, in effetti...sbatto
in un database mysql *tutto* il traffico, usando ntop)
