Newsgroup: it.comp.sicurezza.varie
Titolo: La solita porta 137: ma che succede?

 trovare?
Non esistono "attacchi" alla porta 137. La porta 137 viene interrogata
principalmente per risolvere il nome del tuo computer in base al tuo
indirizzo IP da parte di server malconfigurati o macchine windows che
eseguono software p2p. Direi che le due categorie sopra coprono il 99%
della casistica. Sappi che se stai usando del software di file sharing
p2p tu stai generando verso i tuoi peer le stesse richieste sulla 137
udp che loro generano verso di te. L'aumento della diffusione di fw
personali porta ad un aumento di richieste di questo tipo, a causa del
tentativo di risoluzione per mettere il nome dell'host nei file di log.
Paradossalmente una possibile interpretazione della tua situazione 
potrebbe anche essere che tu hai un worm/backdoor a bordo e quelli sono
i tentativi di risoluzione inversa dei firewall delle macchine che stai
involontariamente attaccando :)
Questo in generale.
In particolare: in queste ultime settimane c'e' stato un aumento del 
traffico verso la 137/udp. Questo traffico non proviene, apparentemente
dalle fonti succitate (risoluzione inversa) per diversi motivi, tra cui
la porta sorgente e il fatto che arriva anche su macchine che non
dovrebbero in nessun modo ricevere questo tipo di traffico (ip fake,
macchine unix). Ecco un esempio di uno di questi detagrammi udp:
09/30-13:30:30.131867 151.xx.xx.xx:1025 -> 
151.36.98.217:137
UDP TTL:125 TOS:0x38 ID:51205 IpLen:20 DgmLen:78
Len: 58
01 00 00 10 00 01 00 00 00 00 00 00 20 43 4B 41  ............ CKA
41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41  AAAAAAAAAAAAAAAA
41 41 41 41 41 41 41 41 41 41 41 41 41 00 00 21  AAAAAAAAAAAAA..!
00 01                                            ..
Si tratta di una comunqe NODE STATUS REQUEST, utilizzata anche per la 
risoluzione inversa del nome, ma la porta sorgente non e' la 137, che
e' quella usata da netbios. Questo potrebbe anche essere dovuto ad un
nat ma in questo caso (e in diversi altri che ho controllato in base
al ttl) non e' cosi'. Questo lascia supporre che il datagramma sia
stato generato senza usare l'api di windows, come nel caso di uno
scanner.
Altre persone, in varie parti del mondo, hanno notato questo aumento
del traffico, iniziato in sordina intorno al 12-13. Questo comportamento
e' quello tipico dei worm ma per adesso non vi sono altre evidenze che
facciano supporre una cosa simile.
Fabio

 facciano supporre una cosa simile.
io uso linux e ho notato la stessa cosa
non uso samba,non uso p2p...
questo è il traffico di oggi!!!
# cat /var/log/iplog | grep -i netbios-ns
Sep 30 00:03:26 UDP: dgram to netbios-ns from 
r-bo043-7b234.tin.it
 
(62.211.35.234):1025 (50 data bytes)
Sep 30 00:54:46 UDP: dgram to netbios-ns from 
OL21-6.fibertel.com.ar
 
(24.232.6.21):1034 (50 data bytes)
Sep 30 00:56:04 UDP: dgram to netbios-ns from 
r-bo043-7b234.tin.it
 
(62.211.35.234):1025 (50 data bytes)
Sep 30 13:24:35 UDP: dgram to netbios-ns from 
nwusr-1053.dial-in.ttnet.net.tr
 (195.175.84.30):1025 (50 data bytes)
Sep 30 13:48:40 UDP: dgram to netbios-ns from 
r-bo060-4a235.tin.it
 
(62.211.34.235):1025 (50 data bytes)
Sep 30 14:04:10 UDP: dgram to netbios-ns from 
r-bo043-7b241.tin.it
 
(62.211.35.241):1026 (50 data bytes)
Sep 30 14:05:52 UDP: dgram to netbios-ns from 
r-bo060-2-336.tin.it
 
(62.211.33.80):1026 (50 data bytes)
Sep 30 14:06:02 UDP: dgram to netbios-ns from 
r-bo060-4a62.tin.it
 
(62.211.34.62):137 (247 data bytes)
Sep 30 14:11:58 UDP: dgram to netbios-ns from 
r-bo060-2b38.tin.it
 
(62.211.33.38):1025 (50 data bytes)
Sep 30 14:31:35 UDP: dgram to netbios-ns from 
211.229.128.217:1025
 (50 data 
bytes)
Sep 30 14:31:54 UDP: dgram to netbios-ns from 
OL65-111.fibertel.com.ar
 
(24.232.111.65):1046 (50 data bytes)
Sep 30 14:32:59 UDP: dgram to netbios-ns from 
61.63.203.7:1025
 (50 data 
bytes)
Sep 30 14:35:22 UDP: dgram to netbios-ns from 
r-bo060-4a235.tin.it
 
(62.211.34.235):1025 (50 data bytes)
Sep 30 14:41:57 UDP: dgram to netbios-ns from 
HSE-Ottawa-ppp-33422.sympatico.ca
 (209.226.125.45):64984 (50 data bytes)
Sep 30 14:42:02 UDP: dgram to netbios-ns from 
211.55.113.190:1029
 (50 data 
bytes)
Sep 30 14:42:10 UDP: dgram to netbios-ns from 
61.171.21.109:1025
 (50 data 
bytes)
Sep 30 14:43:32 UDP: dgram to netbios-ns from 
host241-237.pool80116.interbusiness.it
 (80.116.237.241):3603 (50 data 
bytes)
Sep 30 14:43:38 UDP: dgram to netbios-ns from 
213.82.217.156:1033
 (50 data 
bytes)
Sep 30 14:44:42 UDP: dgram to netbios-ns from 
r-bo060-2b38.tin.it
 
(62.211.33.38):1025 (50 data bytes)
Sep 30 14:45:06 UDP: dgram to netbios-ns from 
r-bo060-4a124.tin.it
 
(62.211.34.124):1025 (50 data bytes)
Sep 30 14:53:36 UDP: dgram to netbios-ns from 
r-bo043-7b241.tin.it
 
(62.211.35.241):1026 (50 data bytes)
Sep 30 14:53:43 UDP: dgram to netbios-ns from 
61-224-227-2.HINET-IP.hinet.net
 (61.224.227.2):1111 (50 data bytes)
Sep 30 14:57:04 UDP: dgram to netbios-ns from 
r-bo060-2-336.tin.it
 
(62.211.33.80):1026 (50 data bytes)
Sep 30 14:58:53 UDP: dgram to netbios-ns from 
61.63.203.55:1026
 (50 data 
bytes)
Sep 30 15:00:10 UDP: dgram to netbios-ns from 
dup-200-64-104-162.prodigy.net.mx
 (200.64.104.162):1025 (50 data bytes)
-----------------------------------------------------------------------------------------------------------
i pacchetti sono tutti di 50 bytes 
ho provato a fare qualche risoluzione inversa e ho notato che tutti questi 
host hanno il server installato e la porta 139 aperta...
es:
IP address       NetBIOS Name     Server    User             
----------------------------------------------------------------
65.94.246.104    PORTABLE         <server>  PORTABLE         
boh!
nuovo worm per M$?!

 nuovo worm per M$?!
Non sono in grado di fare altri controlli ma confermo l'aumento
di quel tipo di segnalazione, ed anche nel mio caso la porta di
provenienza era principalmente la 1025, casualmente 1026/1028.
Anche a me era venuto il dubbio, di avere io qualcosa in uscita
che non vedevo, e di vedere solo le risposte :-( ma non ne sono
ancora venuta a capo.
-- 
Bye by V.
http://utenti.lycos.it/virusbusters/

io e' da domenica mattina che noto questo tipo di "attacco"?
questo e' cio' che mi e' accaduto stasera
ore 23.27 dopo neanche 15 secondi dal collegamento
The firewall has blocked Internet access to your computer (NetBIOS Name)
from 165.246.139.43 (UDP Port 1025). da Seul
Time: 30/09/02 23.27.14
poi
The firewall has blocked Internet access to your computer (NetBIOS Name)
from 200.65.36.237 (UDP Port 1026). da kalsruhe
Time: 30/09/02 23.27.18
poi
The firewall has blocked Internet access to your computer (NetBIOS Name)
from 200.56.72.189 (UDP Port 1026).
Time: 30/09/02 23.28.58
e poi
The firewall has blocked Internet access to your computer (NetBIOS Name)
from 200.161.5.43 (UDP Port 1026). da Dallas
Time: 30/09/02 23.32.24
Non sara' mica bin Laden??? hehehe

 e da indirizzi diversi!
Confermo anche io, da circa 10 -15 gg a questa parte sono aumentati in 
maniera impressionante, IP di tutto il mondo con prevalenza Korea e 
Sudamerica.
Non uso file sharing pc formattato fresco e nessun prg strano
Stavo per postare per chiedere se capitava solo a me...

 aumentati.
<cut>
Questo worm negli ultimi giorni risulta particolarmente attivo...
http://vil.nai.com/vil/content/v_99728.htm
AMS67

 ancora venuta a capo.
E' quasi sicuramente un worm, a mio parere. Non capisco bene perche'
debba fare delle node status request: mi sembra una perdita di tempo
consideranto che, quando ha anche ben rilevato il <20>, deve in ogni
caso connettersi alla 139 e vedere se ci sono condivisioni che siano
accessibili. Potrebbe scansire la rete direttamente sulla 139. Forse
un motivo potrebbe essere questo: il meccanismo di funzionamento non
gli permette di impestare le macchine windows 95 e in questo modo il
wormetto fa gia' una prima scrematura (le macchine win 95 rispondono
con port unreachable se la porta sorgente delle query su 137/udp non
e' la 137/udp). Un'alternativa potrebbe essere che gli serva il nome
netbios del server, ma le macchine che ne necessitano per aprire una
sessione smb sono anche quelle che non rispondono alle query con una
porta sorgente <> 137 e quindi questa ipotesi non regge. Ancora: gli
serve non soltanto la condivisione file ma anche un altro servizio e
quindi prima ne verifica la presenza (messenger? ras?).
Il rate delle richieste e' diminuito, questa notte, ma forse la cosa
e' da imputarsi piu' che altro a problemi di disponibilita' di linea
(la mia) che non ad una diminuzione d'attivita' del (sospetto) worm.
Fabio

 E' quasi sicuramente un worm, a mio parere. 
Non potrebbe essere un DDoS su piccola scala?
A.
icq# 18752702
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 Questo worm negli ultimi giorni risulta particolarmente attivo...
Hai esperienza che sia proprio lui, a bussare alla 137?
Dalla descrizione non ne avrebbe bisogno, ma non si sa mai cosa passa
per la testa dei virus-writer.
-- 
          |Save our planet!
   Ciao   |Save wildlife!
  roberto |For your E-MAIL use ONLY recycled Bytes  !!
          |roberto poggi   
rpo...@softhome.net


"Open Share Worm"
http://www.sarc.com/avcenter/venc/data/w32.opaserv.worm.html
http://www.sophos.com/virusinfo/analyses/w32opaserva.html
http://vil.nai.com/vil/content/v_99729.htm
http://www.trendmicro.com/vinfo/virusencyclo/default5.asp
?
VName=WORM_OPASOFT.A


 per la testa dei virus-writer.
Non sono sicuro al 100% comunque ho avuto ulteriori informazioni che ora
riporto:
"...The infection process begins with a nbstat request frame that is
indistinguishable from the frames described in this document (above). When
the nbstat is answered the worm will follow it with a TCP session on port
139 which will attempt to mount to a share which is named "C" and has no
password. If successful the worm will then load itself and other payload
files onto various subdirectories of the victim including the startup
directory. In most cases this worm is minimaly damaging as it's primary
purpose has been to replicate itself. Some of the variants have been known
to have other payload files, which may not be as innocent.
An interesting side effect of this worm has been a rather strange pattern
that periodically shows up in the scans for port 137. This pattern shows
simultanious scanning from two addresses, one a legitimate address and one a
private (RFC1918) address. It is my speculation that this is caused by
systems that are providing proxy services on cable modems in order to share
a single IP address on a cable modem. The internal (private) address is
leaking out onto the network, most likely due to sharing a single ethernet
hub for both internal and external interfaces.
Sep 29 02:17:29 myhost snort: SMB Name Wildcard: 
192.168.0.1:137
 ->
my.ip.addr:137
Sep 29 02:17:29 myhost snort: SMB Name Wildcard: 
24.28.135.131:137
 ->
my.ip.addr:137
Sep 29 02:17:31 myhost snort: SMB Name Wildcard: 
24.28.135.131:137
 ->
my.ip.addr:137
Sep 29 02:17:31 myhost snort: SMB Name Wildcard: 
192.168.0.1:137
 ->
my.ip.addr:137         Examination of the packets show identical ttl values
and ID fields are close in value indicating a very high likelihood of
originating from the same host. This is further evidence of a script driving
the scanning...."
AMS67

 "...The infection process begins with a nbstat request frame that is
Fonte?
Sarei interessato piu' che altro per inserire una nuova regola per snort. 
Ho letto che il worm cerca di accedere al server 
www.opasoft.com
, dominio 
che peraltro e' stato a quanto pare eliminato. Qualcuno ha piu' 
informazioni?
-- 
HappyCactus - Linux User #209744 - LFS User #6046 - >>> SMSPM950 <<<
 
Ci sono 10 categorie di persone al mondo: quelle che capiscono
il sistema binario e quelle che non lo capiscono.

 Scansionato tutte le settimane da NortonAV. 
E come mai prima non lo trovava ? non č che non avevi abilitato la 
scansione di tutti i files ?

 scansione di tutti i files ?
Anche a me lo stesso Js.WindowBomb trovato ieri notte , 
e c'e' la scansione di tutti i file da quando ho installato l'AV.
Tipo: File IZS
Posizione: C:\Programmi\Evrsoft\1st Page 2000\IScripts\Buttons
Dimensioni: 3.30 KB
dany
-- 
Anche sul trono piů elevato del mondo 
si é pur sempre seduti sul proprio sedere. (Montaigne)

 informazioni?
La fonte e' una e-mail ricevuta da un mio ex-collega (NAI) (dovrei chiedere
a lei dove ha ottenuto l'informazione)che lavora al virus lab dept.
Non mi risulta che il worm cerca di accedere  
www.opasoft.com
. Comunque,
stando alle informazioni ricevute, il worm ha diversi mutations per fregare
gli antivirus. Ovvero, se l'AV detects per esempio worm.a perche il virus
definition e' stato aggiornato con worm.a signature, potrebbe non
riconoscere worm.b anche usando heuristic scan. Probabilmente quello ai cui
ti riferisci e' un different mutation. Questo rende le cose ancora piu'
difficili se vuoi creare un role per Snort. Sembra che sia stato
architettato molto bene. Alcuni addetti ai lavori temono che questo e'
l'inizio di una nuova generazione di worms (un nuovo melissa). Forse
finalmente e' giunto il momento di cambiare l'obsoleta tecnologia usata nei
AV basata sul virus signatures...
AMS67

 AV basata sul virus signatures...
Uhm... non credo. 
Pur non conoscendo questo worm (ma se effettivamente fosse cosi' 
innovativo, mi piacerebbe metterci le mani) posso dire che fin'ora le 
firme sono la tecnica piu' sicura per fare il detecting. Altri mezzi 
(euristica) non sembrano dare buoni risultati, a parte l'hardening del 
sistema e la tecnica della sandbox. Ma qui andiamo sulla fantascienza (in 
particolare il primo aspetto)
Just My Opinion


 ha scritto nel messaggio
news:MPG.1802c2289...@News.CIS.DFN.DE...
