Newsgroup: it.comp.sicurezza.varie
Titolo: Cosa può essere accaduto?

Vi racconto cosa mi è accaduto un po' di tempo fa, quando ancora non
utilizzavo il firewall. Io ho un portatile che uso anche sul lavoro, previa
autorizzazione del preside e del direttore di Dipartimento.
Ero al lavoro e cercavo del software per una webcam usata che mi avevano
regalato, dopo un po' di giri in rete mi rendo conto che non trovavo nulla
di scaricabile su internet ho provato a chiedere in chat. Apro mIRC, vado
sui canali #italia e #webcam a chiedere informazioni. Avevo settato su mIRC
di accettare automaticamente gli inviti. Mi invitano anche su altri canali,
lascio perdere, e dopo 10-15 minuti di infruttuosa ricerca chiudo mIRC e
torno a più serie mansioni. Dopo una settimanetta mi chiama l'amministratore
di rete dicendomi che c'erano problemi col GARR. L'amministratore del server
di IRCnet della tin aveva mandato una email al GARR dicendo che la mia
macchina col n° di IP etc. etc. abusava del server in questione con
connessioni permanenti. Sospettavano l'utilizzo di un software pirata per
fare questi giochetti. Sulla mia macchina oltre a mirc non c'era nulla di
sospetto, ne c'era mai stato. Comunque erano già alcuni giorni che mi
arrivavano messaggi di Delivery Status Notification di mail che non avevo
mai spedito. L'ho fatto presente al mio amministratore di rete il quale mi
ha detto che lui non poteva farci nulla perchè era un indirizzo di posta
Tin. Il mio norton 2001 era aggiornatissimo ma abbiamo deciso comunque di
formattare l'HD e reinstallare tutto.
E' chiaro che non avrei dovuto usare mIRC, ma come può essere successo
"l'abuso"? Tra l'altro mIRC è s tutte le macchine del Laboratorio
centralizzato computer della facoltà e non è mai arrivata alcuna notifica.
Grazie ancora,
Duccio

 centralizzato computer della facoltà e non è mai arrivata alcuna notifica.
mIrc: un programma che in una rete protetta NON andrebbe (IMHO) mai 
installato, se non hai una pistola carica puntata alla tempia.
-- 
HappyCactus - Linux User #209744 - LFS User #6046 - >>> SMSPM950 <<<
 
Ci sono 10 categorie di persone al mondo: quelle che capiscono
il sistema binario e quelle che non lo capiscono.

 ha scritto nel messaggio
news:MPG.180b8f5cd...@powernews.libero.it...


 Cosa sono gli zombie?
Sistemi collegati ad internet su cui sono installati, all'insaputa 
dell'utente, programmi di controllo remoto. Piu' in particolare, gli 
zombi sono quei sistemi utilizzati per attacchi distribuiti, DDoS, 
solitamente collegati tramite reti P2P (slapper), IRC, o altro.



Capisco, e come si sgamano? Col firewall, vero? Una volta che uno sgama uno
che cerca di fare il furbo cosa deve fare?
Duccio

 wrote in message
news:ao12l5$l0h$1...@newsserver.unipi.it...

Dunque, mettiamola cosi':
1) Tu chatti
2) Un tipo ti fa credere di essere una bella figa, ti manda un bel file
dicendoti
"cliccaci sopra due volte per vedermi" , o anche una cartolina di auguri
formato EXE, ad es.
3) A quel punto, lo "zombie" ti si insidia nel computer a tua insaputa.
Innanzitutto, puo'
mascherarsi da servizio di Windows, magari anche se hai tipo zonealarm sei
sovrappensiero
e gli dai l'ok ad uscir su internet.
Da qui in avanti puo' succeder di tutto, nel senso che lo zombie puo' esser
programmato per
collegarsi (ad es) ad un canale IRC protetto e scaricarsi i vari
aggiornamenti, ed e' difficile
risalire a chi te l'ha mandato, dato che, a tutti gli effetti, e' il *tuo*
computer che viene
controllato, e chi lo controlla non e' necessariamente detto che lo faccia
direttamente dal
suo computer, magari si appoggia ad un computer neozelandese a sua volta
"zombizzato".
Ora io l'ho descritta in maniera semplicistica, dato che non me ne intendo e
quello che ti
dico l'ho letto su alcuni siti internet, quindi non prenderlo per "oro
colato" :-)
Danny
P.S. Certo che usare mirc o roba del genere... eh...

 Cosa sono gli zombie?
Macchine penetrate e sotto effettivo controllo dei penetratori (e non piu'
dei legittimi admin).
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SETI@home: 141WU/7815hrs on a P166MMX :-)
SecurFaq             : 
http://securfaq.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

Danny ha scritto:
         2) Un tipo ti fa credere di essere una bella figa, ti
manda un bel file    dicendoti   "cliccaci sopra due         volte per
vedermi" , o anche una        cartolina di auguri
    formato EXE, ad es.
Il bello è che da Mirc non avevo accettato nulla. Ne chat, ne *.pif ne
*.exe. Non apro mai nulla che non venga da una fonte attendibile. Poi io uso
un portatile e lo connetto alla rete solo poco tempo al giorno, giusto per
fare ricerche bibliografiche e scaricare la mail. Come possono aver fatto
una connessione permanente col mio IP? E' questo che mi chiedo. Si possono
clonare gli IP? o lo possono fare solo quelli che sono connessi alla mia
stessa rete?
Ancora grazie,
Duccio


Dunque:
Poniamo che arrivo col mio portatile in un'azienda che ha un router fornito
ad es. dalla Telecom, il quale ha a disposizione chesso' 10 IP
pubblici (validi per internet).
Poniamo anche che attacco il mio portatile alla rete
e mi viene automaticamente assegnato uno di questi 10 IP.
Navigo, faccio quel che devo fare, e poi me ne vado.
Successivamente, uno dei tizi dell'azienda accende il suo pc, e supponiamo
che gli venga dato lo stesso IP che era stato assegnato al mio portatile.
Lui chatta, scarica, clicca selvaggiamente su qualsiasi cosa, ed eccalla'
che risulta che quell' IP ha combinato casini a destra e a manca.
Quindi, dipende da come ti sei connesso ad internet.
Danny

 Danny
il  mio portatile ha un ip statico...
è solo mio. E internet non funziona un cazzo per emorragia di banda a
monte...
Grazie ancora
Duccio