Newsgroup: it.comp.sicurezza.varie
Titolo: intrusine porta 12345

scusate la parentesi
il check BO mi segnala un'intrusione
tipo NETBUS sulla porta 12345
proveniente da ip 80.181.254.246 porta remota 3903
***** Wed Feb 12 14:29:29 2003
***** Fine Connessione *****
***** Inizio Connessione *****
***** IP: 80.181.254.246
***** Port: 12345
***** Wed Feb 12 14:44:52 2003
il Firewall Zone Alarm e Kerio invece niente
potrebbe essere una normale scansione del server
oppure della banca o del TOL
oppure qualche hacker in cerca di vittime
credo che in qualche misura
il fatto interessi anche voi
saluti prudenti

***** Wed Feb 12 14:44:52 2003
questo vuol dire che la connessione c'è stata, no?
--
Ciao!
Davide
[DAOC PG]Armorgod Troll Sciamano - Midgard Vortigern[/DAOC PG]

 Davide
ok
ma c'è da preoccuparsi ?
saluti

 credo che in qualche misura il fatto interessi anche voi
Se lo dici tu...
- terzo consiglio non richiesto:
Non postare lo stesso messaggio su piu' gruppi. Se lo fai per
avere piu' risposte, rischi di ottenere esattamente l'effetto 
contrario.
Fabio

 Fabio
ok grazie


Se vuoi sapere se hai Netbus/2/Pro e non BO.
La cosa che puoi fare è semplice. Toglierlo e vedere con Netstat (una copia
sicura dell'eseguibile) e vedere sei hai ancora connsesioni aperte sulla
12345.
ZA e altri personal Firewall possono non solo essere aggirati ma se tu per
sbaglio hai accettato di rendere la connessione trusted non puoi pretendere
che poi ta la blocchino
Premmo ciò le modalità manuali (e forse piu sicure) per rimuovere la
versione standard di NetBus sono:
1- Vai su
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runservices e
rimuovi la chiave Netbus
2 - Riavvia la macchina
3 - Elimina i file sysedit.exe e patch.exe
4 - lancia netstat (copia sicura) e verifica
;)
=====================================
TCMAST3R
Portal Administrator
http://www.tcproject.info
Portale italiano sulla Security e sul Networking
=====================================
--------------------------------
Inviato via 
http://usenet.libero.it


ok
netstat -an ?
e poi ?
come vedo se una porta è ancora aperta ?
e se chiudo la connessione e poi
mi riconnetto senza riavviare
le porte restano aperte oppure
ad ogni connessione diversa si resettano ?
grazie
saluti


netstat sicuramente non è il miglior strumento, ma una copia sicura di
quest'utlimo per quanto concerne la porta in questione è sufficiente.
Se si ha una versione classica di Netbus che si connette attraverso la porta
12345 continuerà sempre a farlo su questa! In secondo luogo bisogna
considerare che la macchina infetta ha installata la versione server che ad
ogni avvio del sistema si metterà in "listening" sulla porta in questione.
Pertanto una volta eliminata l'applicazione server della versione standard
di Netbus la porta 12345 non dovrebbe più comparire nella lista delle porte
aperte o quantomeno in listening e lo si vede con Netstat (copia sicura).
Attenzione che molto spesso ci sono applicazioni server di gateway antivirus
come Trend Micro che di default (se non viene diversamente settata)
comunicano attraverso la porta 12345 e questo può trarre in inganno.
================================
TCMAST3R
Portal Administrator
http://www.tcproject.info
Portale italiano sulla Security e sul Networking
=================================
--------------------------------
Inviato via 
http://usenet.libero.it