Newsgroup: it.comp.sicurezza.varie
Titolo: chiamate all'ISP indesiderate tramite router

ci e' capitata una cosa strana......
il router della rete si collega ad internet ( tramite il nostro ISP
regolare ) puntualmente ogni 15 min. e per la durata di 3 min. circa.
Ovviamente abbiamo controllato se qualcuno ha scaricato qualche prog. x la
connessione diretta ma non c'e' niente ( e poi sarebbe difficile farli funz.
tramite router ). Sono convinto che sia un Trojan, qualcuno ha mai visto
niente del genere????
Grazie



beh, si', ma era solo un utente fessacchiotto che aveva puntato il suo
mailer sulla sua casella di posta su 
usa.net
 con il controllo ogni 15
minuti.
hai solo macchine win, sulla rete?
se hai anche un linux qualsiasi puoi trovare facilmente che pacchetti
sono e a chi sono diretti, oltre che sapere da che interfaccia di rete
sono generati.
Ciao.roberto
-- 
Save our planet!
Save wildlife;
For your E-MAIL use only recycled Bytes !!
roberto poggi  
rpo...@softhome.net

 regolare ) puntualmente ogni 15 min. e per la durata di 3 min. circa.
hai un cisco 760?
si? il tuo trojan si chiama broadcast e si risolve facilmente.
no? posta maggiori info su che router e che pc hai.
un mayhem che hai il guardafuori espresso aperto? ah ecco! :)
--
---------------------------------------------------
 Qualsiasi cosa succeda ricordate sempre una cosa:
   io fumo Gauloises Blu'  - Erase ME to reply
---------------------------------------------------

 >regolare ) puntualmente ogni 15 min. e per la durata di 3 min. circa.


il router e' un digcom ( tintoretto lan + ) ed ho solo macchine win98 in
rete tcp/ip. La chiamata al collegamento viene effettuata sicuramente dal
server (l'ho verificato staccando dall'HUB le altre macchine). programmi in
esecuzione non ce ne sono, e' per questo che ho pensato ad un trojan. Non ci
sono neanche programmi residenti. ho verificato che la connessione parte
anche se si fa click su start o col destro su risorse del computer ( per
esempio ).Per completezza, una volta stabilita la connessione indesiderata
non si hanno scambio di pacchetti ( o almeno la spia del router rimane
ferma.. )
sapete dovo posso reperire un programmino per i trojan???

sapete dovo posso reperire un programmino per i trojan???
vai su 
www.avp.it
 e cerca avpnetwork agent e avp system watcher.
oltre al vero antivirus avp toolkit pro, questi due ti possono dare
informazioni su cosa bolle in pentola.
anche se dal fatto che dici di avere solo win98, propenderei per il
solito pacchettino di chiamata al master browser, o un refresh
dell'active desktop, un controllo di OE sulla posta, o cosettine simili,
insomma, cose naturali, per windows.
a questo punto, l'unica possibilita' e' trovare effettivamente il
pacchetto incriminato, e filtrarlo dal router.


 pacchetto incriminato, e filtrarlo dal router.
A questo proposito ricordo che i router zyxel includono la possibilità
di conoscere il pacchetto che ha originato l'ultima chiamata.
Se hai la possibilità di farti prestare uno zyxel risolvi in un minuto.
Valerio

niente del genere????
Si', credo sia il SMB-Election-Broadcast.
Leonardo
".signature": bad command or file name

esecuzione non ce ne sono, e' per questo che ho pensato ad un trojan.
O ad un DNS mal configurato :-)
Ecco cosa passa da un Windows zoppo cliccando INVIO nel momento sbagliato
(cioe' quasi sempre):
15:06:54.020000 sandarta.netbios-ns > 194.243.154.62.domain: 429+ (41)
15:06:54.020000 
www.snoopy.it
 > sandarta: icmp: net 194.243.154.62 unreachable
15:06:55.520000 sandarta.netbios-ns > 194.243.154.62.domain: 429+ (41)
15:06:55.520000 
www.snoopy.it
 > sandarta: icmp: net 194.243.154.62 unreachable
15:06:57.020000 sandarta.netbios-ns > 194.243.154.62.domain: 429+ (41)
15:06:57.020000 
www.snoopy.it
 > sandarta: icmp: net 194.243.154.62 unreachable 
15:07:02.020000 
www.snoopy.it
 > sandarta: multiple nuke ;-)
...dove 194.243.154.62 e' il DNS di TIN.
