Newsgroup: it.comp.sicurezza.varie
Titolo: Lungo - Ma drammaticamente importante.

Ciao a tutti, mi succede una cosa strana e brutta. Vi racconto dall'inizio
così avete il
quadro completo.
Ho un server con win 2000 server acceso h 24, sul server c'e' un modem ISDN
e il servizio
di condivisione accesso a internet per altri pc della rete.
Da circa 3 mesi ho installato su tutti i pc un software che sarebbe il
client della UD agent
un programma di elaborazione distribuita che preleva da un server dei
pacchetti di dati
da analizzare li analizza e poi alla fine dell'elaborazione si collega
restituisce il
risultato al server e si prende un'altro pacchetto da elaborare. Si tratta
dell'analisi di
dati su delle proteine i cui risultati servono per la ricerca contro il
cancro. Solo per
tale nobile causa ho scelto di sfruttare i miei pc per questa attività. A
fronte di queste
elaborazioni vedevo pertanto il modem che si collegava, slampazzava per 5
minuti,
(che è il timeout che ho impostato per la disconnessione) e poi tutto
tornava normale.
Quando è arrivata l'ultima bolletta della Telecom l'importo era di Lire
860.000 contro le
abituali 200.000/300.000. Il primo pensiero è stato magari non morirò di
cancro ma con
queste bollette il rischio d'infarto sicuramente aumenta.
Da una serie di calcoli ho considerato che comunque l'importo era troppo
elevato e allora
ho cominciato controllare quando vedevo il collegamento attivo se qualcuno
dei computer
avesse terminato l'elaborazione (e nessuno di loro era in tale situazione)
allora, orologio
alla mano e occhio alle lucette ho visto che nemmeno rispettava il timeout e
cosa ancora
più drammatica che mandava una megata di roba a botta !!!
A questo punto preoccupato ho scaricato ZoneAlarm, l'ho montato, ho spento
tutti gli UD Agent.
Il porco si collega lo stesso e raggiunge un paio di strani indirizzi ip ai
quali trasferisce
sempre una certa quantità di byte che non c'e' verso di vedere che cosa
sia....sicuramente
è roba mia !!!. Di seguito vi riporto un pezzetto di log del ZoneAlarm Dal
RIPE ho scoperto
che uno dei due indirizzi appartiene a un gruppo di ip addirittura di un
sito/provider Israeliano
un punto .il e all'altro non corrisponde proprio niente. Il file che invoca
la connessione è il
svchost.exe del quale si aprono 2/3 istanze (lo vedo dal task manager). L'ho
già confrontato per
data ora e dimensioni con quello ordiginale e lui non sembra aver subito
variazioni. Ho paura che
si tratti di un fottutissimo trojan e che peggio ancora il mio server venga
usato come ponte per
qualche attività illegale fatta da chissà chi e chissà chi altro.
A prescindere dal fatto che domani mi recherò alla polizia postale per
sporgere regolare denuncia
per tale accaduto, volevo sapere da qualcuno se si è trovato nelle stesse
condizioni e se oltre
a riformattare il disco (che è la cosa migliore che si meriteritano tutti i
sistemi operativi
di merda che produce la Microsoft, che permetto no queste cose) c'e' un
sistema per intercettare
i file che causano questo ed eliminarli.
Ringraziando anticipatamente cordialmente vi saluto.
Ciao a presto
Stephen
Ecco il log del Zone Alarm il 5% della sbodolata continua che fa verso
questi indirizzi.
FWOUT,2001/07/12,21:01:00 +2:00 GMT,
151.15.118.57:1242
,
209.73.225.7:80
,TCP
(flags:S)
FWOUT,2001/07/12,21:01:12 +2:00 GMT,
151.15.118.57:1243
,
212.29.215.2:80
,TCP
(flags:S)
FWOUT,2001/07/12,21:01:20 +2:00 GMT,
151.15.118.57:1244
,
209.73.225.7:80
,TCP
(flags:S)
FWOUT,2001/07/12,21:01:41 +2:00 GMT,
151.15.118.57:1245
,
212.29.215.2:80
,TCP
(flags:S)
FWOUT,2001/07/12,21:01:50 +2:00 GMT,
151.15.118.57:1246
,
209.73.225.7:80
,TCP
(flags:S)
FWOUT,2001/07/12,21:02:11 +2:00 GMT,
151.15.118.57:1247
,
212.29.215.2:80
,TCP
(flags:S)
FWOUT,2001/07/12,21:02:20 +2:00 GMT,
151.15.118.57:1248
,
209.73.225.7:80
,TCP
(flags:S)
FWOUT,2001/07/12,21:02:41 +2:00 GMT,
151.15.118.57:1249
,
212.29.215.2:80
,TCP
(flags:S)
FWOUT,2001/07/12,21:02:49 +2:00 GMT,
151.15.118.57:1250
,
209.73.225.7:80
,TCP
(flags:S)
FWOUT,2001/07/12,21:03:10 +2:00 GMT,
151.15.118.57:1251
,
212.29.215.2:80
,TCP
(flags:S)
FWOUT,2001/07/12,21:03:19 +2:00 GMT,
151.15.118.57:1252
,
209.73.225.7:80
,TCP
(flags:S)
FWOUT,2001/07/12,21:03:40 +2:00 GMT,
151.15.118.57:1253
,
212.29.215.2:80
,TCP
(flags:S)
FWOUT,2001/07/12,21:03:48 +2:00 GMT,
151.15.118.57:1254
,
209.73.225.7:80
,TCP
(flags:S)
FWOUT,2001/07/12,21:04:09 +2:00 GMT,
151.15.118.57:1255
,
212.29.215.2:80
,TCP
(flags:S)
FWOUT,2001/07/12,21:04:17 +2:00 GMT,
151.15.118.57:1256
,
209.73.225.7:80
,TCP
(flags:S)
FWOUT,2001/07/12,21:04:38 +2:00 GMT,
151.15.118.57:1257
,
212.29.215.2:80
,TCP
(flags:S)
FWOUT,2001/07/12,21:04:46 +2:00 GMT,
151.15.118.57:1258
,
209.73.225.7:80
,TCP
(flags:S)
FWOUT,2001/07/12,21:05:07 +2:00 GMT,
151.15.118.57:1259
,
212.29.215.2:80
,TCP
(flags:S)
FWOUT,2001/07/12,21:05:16 +2:00 GMT,
151.15.118.57:1260
,
209.73.225.7:80
,TCP
(flags:S)
FWOUT,2001/07/12,21:05:37 +2:00 GMT,
151.15.118.57:1261
,
212.29.215.2:80
,TCP
(flags:S)
FWOUT,2001/07/12,21:05:46 +2:00 GMT,
151.15.118.57:1262
,
209.73.225.7:80
,TCP
(flags:S)

è roba mia !!!.
Non capisco, ma ZoneAlarm non ti segnala qual'e' l'applicazione che
invia/cerca di inviare quei pacchetti?
Personalmente dubito che c'entrino svchost.exe, ud agent e trojan
-- 
Lapalissiano
Icq 57269703

 Personalmente dubito che c'entrino svchost.exe, ud agent e trojan
OK allora hai qualche altra ipotesi  ?
Ciao a presto
Stephen

Ciao... non vorrei dire eresie...
Il software del quale tu parli non lo conosco... ma dubito che ci sia
relazione tra l'ip e l'aumento di bolletta.
Io proverei a controllare se non hai in task bar i programmini di
connessione che usano siti porno ecc...
Normalmente sono .exe......
Tentar non nuoce :)
byez
--
bismark
www.bismark.it
www.bismark.it/search
(Security Search Engine)

GMT,
151.15.118.57:1242
,
209.73.225.7:80
,TCP (flags:S)
Strano, chiunque sia cerca di collegarsi (flag S)  ad un server WEB (porta
80)... alcune delle porte usate sono di trojan (1243, 1245), okkio!!!
Cercati un buon antivirus aggiornato e fai uno scan approfondito del
sistema, poi magari monta uno sniffer per vedere cosa contengono i
pacchetti che escono.
Ciao


    Oltre a quanto riportato nelle risposte al tuo messaggio, io
posso solo aggiungere un fatto capitato ad un mio cliente:
Linea ISDN (provider TIN) e bolletta astronomica senza apparente
spiegazione.
Il fatto è che lui aveva impostato il PC per poter utilizzare tutte
e due le linee ISDN ed il PC accedeva al secondo canale
ritmicamente, cercando di utilizzarlo; fatto sta che ogni accesso
era uno scatto alla risposta, dai log in linea (monitor) si vedeva
che tentava di usare la seconda linea ISDN circa ogni 5 secondi,
cioè circa 720 volte all'ora, cioè 720 scatti alla risposta ogni
ora, fatti un po' i conti.

 cioč circa 720 volte all'ora, cioč 720 scatti alla risposta ogni
chiamare il commerciale telecom e farsi proporre un "accordo programmatico"
o come cavolo lo chiamano adesso!

 ha scritto nel messaggio
news:9im8eg$i3l$1...@news.panservice.it...


 ha scritto nel messaggio
news:9imhel$jl3gg$1...@ID-61981.news.dfncis.de...


 niente di strano solo IIS e dei siti di prova.
niente di strano? e IIS come lo chiami??? :-)
-- 
         Ste
***** 
http://spazioweb.inwind.it/zonazero
 *****
Linux User Registered #208536 at 
http://counter.li.org/
 
*** All works fine, under GPL! *** | °°° Kernel 2.4.6 °°°

 di strano solo IIS e dei siti di prova.
Ah beh, allora il server è aperto e disponibile come una passeggiatrice
notturna...
Saluti.

 c'e' un sistema per intercettare  i file che causano questo ed
eliminarli.
Si. Basta studiare e capire come funzionano le cose.
Basta sapere che anche su una "merda" come W2K esistono
tools come il network monitor e un firewall di tipo packet filter /
circuit level
Intanto per cominciare inizia a vedere a cosa server svchost.exe.
http://support.microsoft.com/support/kb/articles/Q250/3/20.ASP
Magari scopri il comando TLIST -S  che ti dice QUALI sono i files exe
dei processi che stanno
inviando quella roba.
Saluti.

 Ciao
Saluti
HappyCactus

 abituali 200.000/300.000.
??
http://libero.iol.it/accesso_internet/adsl/
http://bbb.187.it/
Ciao.
--
Davide DG.

 wrote in message
9im8eg$i3l$1...@news.panservice.it...


 ha scritto nel
messaggio news:j6p37.3251$Pv.1...@news.infostrada.it...
