Newsgroup: it.comp.sicurezza.varie
Titolo: ELDIABLO - strana presenza su server NT4 - chi sa dirmi di cosa si tratta?

Ho trovato sul nostro server NT 4.0 una sottocartella  "ELDIABLO" con
all'interno decine di altre caselle annidate. Contengono file MP3, immagini
di copertine di CD con titoli in tedesco, file RAR che hanno l'aspetto di
essere immagini di CD pronti da masterizzare (una cartella continene
"ULTIMATIVE-CREW" nel nome) e altro.
Naturalmente il tutto è arrivato via ADSL causando per alcuni giorni un
rallentamento della rete.
Nei PC in rete ho usato AD-Aware. Ho trovato di tutto ma niente che potesse
ricollegarsi a quanto sopra.
Qualcuno sa dirmi di cosa si tratta?
Se necessita posso dare altre informazioni sulle quali ora sorvolo per non
dilungarmi troppo.
Grazie molte.
-- 
D. Donati

 rallentamento della rete.
Due ipotesi:
1) Hai FTP attivato
2) ELDIABLO č un tuo collega
x:termoPilucco propende per la prima, ma la seconda č molto piů suggestiva.

 2) ELDIABLO è un tuo collega
3) hanno craccato il server e ora ne abusano in mille modi.
-- 
HappyCactus - Linux User #209744 - 
 
www.google.com
 - 
groups.google.com

 > 2) ELDIABLO č un tuo collega


l'ho disattivato, ma come fare per rimuoverlo?
   Se le cose stanno cosi` qualcuno ha avuto accesso alla tua macchina
al punto di poter installare servizi (e probabilmente sostituire file
di sistema, modificare configurazioni, ecc.). In ogni caso il sistema
e` da considerarsi compromesso. L'unica cosa saggia da fare e
reinstallare da zero e applicare tutte le patch (possibilmente prima
di assegnare un IP pubblico alla macchina).
-- 
S.L.

all'interno decine di altre caselle annidate. Contengono file MP3
Server compromesso. Fai un backup dei soli dati, pialla la macchina,
reinstalla NT, applica tutte le security patch e solo *DOPO* rimetti
la macchina in rete.
Leonardo
-- 
"Se e' vero che Linux in se' e' gratis, non lo sono le indispensabili
interfacce grafiche (X, KDE ecc.) che consentono alle persone normali
di utilizzarlo."                    -- Jason Matusow, Microsoft Corp.

 l'ho disattivato, ma come fare per rimuoverlo?
Se sono riusciti ad installarti un FTP server da remoto
significa che quella macchina e' compromessa e pertanto
inaffidabile.
Segui il consiglio che ti hanno dato in altri post:
fai un backup dei dati che ti servono, formatta tutto e
fai un'installazione pulita ed aggiornata del sistema,
senza collegare direttamente il pc ad internet.
E mettilo "dietro" ad un firewall appositamente dedicato.
Danny che piu' spende meno spende.


Prima di dare il via alle procedure falegnamiche, io verificherei che il
server FTP non abbia l'accesso anonimo in scrittura.
Ciaotutti,
* -- che purtroppo sa di cosa parla...
--
Per scrivermi in email aggiungete un tag [PRI] al soggetto, altrimenti
il messaggio verra' automaticamente cassato.
To write me in private mail add a [PRI] to the subject, otherwise the
message will be automatically deleted.

server FTP non abbia l'accesso anonimo in scrittura.
   Se l'OP e` l'amministratore di quel server, e se, come sosteneva
nel secondo messaggio, il server ftp non l'ha installato lui, allora
non ci sono molte alternative. Piallatona e poi una bella passata di
mordente. :)
-- 
S.L.

server FTP non abbia l'accesso anonimo in scrittura.
Nakher -- quello e' Serv-U FTP, non il FTP di serie di IIS. Quindi e'
stato _uploadato e lanciato_ prima ancora che sfruttato; robba seria.
Pialla, pialla.


 stato _uploadato e lanciato_ prima ancora che sfruttato; robba seria.
Non so nemmeno come disinstallarlo, a parte cancellare la cartella in cui si
è caricato. Ma l'ho trovato in due posti, con nomi diversi.
Quanti ce ne saranno ancora?
Naturalmente non esiste un programma "uninstall" né è elencato in pannello
di controllo > installazione applicazioni.
Non è neppure elencato tra i servizi di rete.
Varrebbe la pena cercare tra le varie chiavi del registry? Ma se poi è sotto
falso nome anche li?
Credo che accetterò a malincuore il consiglio di formattare tutto e di
passare il sabato mattina a reinstallare NT, patch varie e SQL server..
Ma se poi non cambio qualcosa può risuccedere.
Il server non è diretamente connesso a Internet.
L'IP pubblico è del router ADSL "Eicon Diva 2440" che integra funzioni di
firewall settate su "High"
Perche' sono arrivati proprio al server e non ai tanti pc collegeti? Forse
perche l'IP di default del NAT era proprio il suo?
Se avessi installato le varie security patch rilasciate dopo il service pack
6 mi sarei protetto?
Qualche collega può aver introdotto un cavallo di troia?
Il disco del server è partizionato: sistema e dati. Mi basta formattare la
partizione di sistema?
Di nuovo grazie a tutti.
Davide


:Provate a guardare gli ingredienti del famoso Labello che si usa per
:le labbra screpolate: Butirrospermum Parkii (sperma di maiale).

 discorso.
RPC non dovrebbe essere raggiungibile, amenoche' non abbiano fatto il
port forwarding anche su quella.
IMHO IIS e' il responsabile piu' probabile.


 capito cosa intendi. 
Proprio questo. e dici che e' possibile? allora ritratto.
HappyCactus bella roba.


 IMHO IIS e' il responsabile piu' probabile.
Non ho installato IIS perchč non ne ho mai avuto bisogno.
Da qualche giorno, invece, ricevo un errore in avvio "RPC - impossibile
caricare ras.....qualche cosa"
Notare che Ras l'ho tolto da quasi 2 anni, dopo aver fatto qualche prova di
accesso via modem per l'amministrazione da casa.
davide

 Si'... e occhio se hai dati crittografati!
Giusto questo... Un mio amico ha formattato windows2000 e lo ha 
reinstallato. Successivamente si è ricordato di avere sull'altra 
partizione un sacco di roba che aveva criptato... Lol... Tu sai mica 
come recuperare i dati, sempre che sia possibile?
-- 
My mail reader can beat up your mail reader.
News 2000 [v 2.06] / StopDialer / PopDuster - 
http://www.socket2000.com

come recuperare i dati, sempre che sia possibile?
Dé, begli amici tu c'hai :-(
Secondo Microsoft, se non erano state prese precauzioni prima, quei
dati sono carne morta.


perche l'IP di default del NAT era proprio il suo?
   Io l'ho visto un firewall linux (perche` l'installatore lo riteneva
la soluzione piu` sicura) configurato cosi` male che chiunque da
Internet poteva fare qualcosa tipo:
route add IP_PUBBLICO ppp0
route add -net 
192.168.0.0/16
 gw IP_PUBBLICO
   e collegarsi alla rete locale che stava dietro al firewall.
-- 
S.L.

 dati sono carne morta.
Argh...
-- 
ASCII to  ASCII, DOS to DOS.


 port forwarding anche su quella.
interessante fatterello su RPC: in Windows NT 4 (o anche prima? non so, 
ho disinstallato il 3.51 da un bel po') c'era una simpaticissima chiave 
di registro (HKEY_LOCAL_MACHINE\Software\Microsoft\RPC\ServerProtocols) 
che permetteva di attivare e disattivare i transport lato server di RPC 
a piacimento. Bastava cancellare tutte le voci tranne ncalrc e, casomai 
servisse l'RPC locator, ncacn_np e, come per magilla, 135/UDP e 135/TCP 
sparivano dagli schermi di netstat senza ripercussioni su programmi che 
avevano bisogno di RPC per comunicare in locale. In Windows 2000, tanto 
per "snellire", non solo i transport lato client son stati tutti quanti 
incastrati nella stessa DLL, ma quelli lato server vengono caricati per 
forza tutti, e la chiave di cui sopra č sparita. L'RPC di Windows NT 4, 
come sostengono loro, avrą anche buchi di design non correggibili, perņ 
almeno si poteva configurare meglio
-- 
  < 
http://www.reactos.com/
 >  Open source clone of Windows NT. Current
      Don't stand, REACT!      version 0.1.3. C, C++ and ASM developers
                               and beta testers are welcome!