Newsgroup: it.comp.sicurezza.varie
Titolo: Traffico con tcp window 55808

Il mio host bersaglio di questo traffico ha ancora lo stesso ip di sempre.
La settimana scorsa ho fatto nuovi test, uno dei quali era fare uscire via
SOCKS, una ad una, alcune applicazioni. Da un giorno con l'altro, tutto il 
traffico in entrata con DPT=41240 e WINDOW=55808 ha cambiato target: ora e' 
l'ip del proxy socks. Direi che la possibilita' che una di queste appz sia
un bel trojano rasenta il 100%.
HappyCactus se leggi: il tuo ProcessWalker mi esce con EAccessViolation su
quel win2k. Quale puo' essere il problema? C'e' qualche alternativa?
Fabio

 qualche alternativa?
boh. L'ho sviluppato su winme, in pochi giorni, poi non l'ho piu'
curato. Probabilmente non e' adatto ad essere usato su NT (mi
interessava solo studiare alcune cagatine su 9x/me...)
Non saprei, in tutta sincerita'. Se hai voglia, posso passarti i
sorgenti (anche se forse nel sito dovrebbero gia' essere scaricabili...)
-- 
HappyCactus - Linux User #209744 - 
http://pngstego.sourceforge.net
 
 
www.google.com
 - 
groups.google.com
/* Ci sono 10 categorie di persone al mondo: quelle che capiscono */
/* il sistema binario e quelle che non lo capiscono.              */


ma non mi è chiara una cosa, scusatemi, tu hai la macchina compromessa che
cerca verso l'esterno, oppure ti arriva dall'esterno verso un ip determinato
con ip_source spoofato??
scusami fabio ma non ho seguito molto il tuo thread.
LaPin

 un bel trojano rasenta il 100%.
Apparsa notizia qualche giorno fa su theregister:
Meet Stumbler: Next Gen port scanning malware
http://www.theregister.co.uk/content/55/31341.html
Fantasiosi i ragazzi, eh ?

 of its Windows size, or Stumbler"
Di queste notizie ne sono apparse un po'. Se ne era parlato 
qualche giorno fa anche con ObiWan. Secondo me quel malware
non e' la causa di questo traffico per diversi motivi, di 
cui alcuni li avevo citati nel vecchio thread qui su icsv. 
Quei pochi dettagli sui file apparentemente coinvolti e 
sulla loro posizione nel disco non paiono corrispondere a 
niente di presente sulla mia macchina. Anche perche' sono
per linux :-P
Fabio

 LaPin
Come coniglio? O come pino, ma femmina? O maschio ma con un vezzo nell'uso
del pronome? E il pino dov'e', alla fine?

 sorgenti (anche se forse nel sito dovrebbero gia' essere scaricabili...)
Ok, grazie, ma l'utilizzo piu' proficuo che _io_ possa fare dei sogenti
e' stamparli sulla carta piu' morbida che trovo, tagliarli a stricioline
e metterli sul mobiletto che si trova dietro la seconda porta a destra,
quella con gli omini blu disegnati sopra. Come faccio a fare il dump della
immagine in memoria di un programma sotto win2k? 
Fabio

 a fare il dump della immagine in memoria di un programma sotto win2k? 
Ninzo'.
Quel che mi viene in mente e' che potresti installare quelle
applicazioni sospette su una win9x e fare il dump da li'.
Appro', che applicazioni sono? 


 Appro', che applicazioni sono? 
...ahem... non mi sembrava carino postare i nomi su un gruppo 
_pubblico_, specie perche' per i motivi gia' detti potrebbe 
esserci stata qualche svista nella conf da parte mia e potrei 
avere preso un abbaglio.
Fabio

 del pronome? E il pino dov'e', alla fine?
Coma una LaPina col Pino tutto silvestre...ma niente cavalli badedas

 con ip spoofato, in apparenza.
Fabio, potrei sempre dire una stronzata,
ma perchè mi viene in mente una tecnica di fingerprinting tramite i ttl e
hping2??
che poi ti arrivano da linux only, mi convince sempre più (della mia
stronzata)
gli id sempre uguali, sincroni da ip diversi, con ttl da 6 a 8 in
meno.....un tecnica di stealth scan da shell multiple.
ma che ne sò, ti avviso che non ho le idee chiare , e mi viene piu
difficile, dall'esterno...
ma magari già l'avevi pensato.....
ho letto su 
insecure.org
 il tuo incidents, ma dove dici:
myip is a win2kpro....
quindi ripeto non so se lo conosci, fport della foundstone e hijackthis.exe
potrebbero aiutare il riconoscimento di cosa strane su un win2k.....a
livello stack e a livello explorer.
LaPina della foresta forense....


http://www.microsoft.com/whdc/ddk/debugging/default.mspx
WinDbg can view source code, set breakpoints, view variables (including C++
objects), stack traces, and memory.
LaPina Forense

 objects), stack traces, and memory.
Oppure 
http://home.t-online.de/home/Ollydbg/
  ;-9 !!!
Ciao
-- 
* ObiWan
DNS "fail-safe" for Windows 2000 and 9X clients.
http://ntcanuck.com
408 XP/2000 tweaks and tips
http://ntcanuck.com/tq/Tip_Quarry.htm

> LaPina Forense
A propo ... 
http://www.foundstone.com/resources/forensics.htm
già che ci siamo male non fa ... in ogni caso mettere il sistema
in quarantena e farlo "girare" in modalità controllata (sniffers,
traccia di files/connessioni ed altro) non sarebbe male ...

 Oppure 
http://home.t-online.de/home/Ollydbg/
  ;-9 !!!
Il debbuging environment di microsoft ce l'ho, anche se in 
versione 4.0.0018.0. Pero' non so come fare a fare un dump
su file della memoria e del codice disassemblato. Se avete
un suggerimento (non lo uso spesso e non sono pratico). Mo
miscarico l'ultima versione, magari ha qualche feature in
piu'.
Adesso provo anche Ollydbg.
Fabio

 hijackthis.exe
Quella macchina l'ho gia' abbastanza squartata da cima a fondo e non 
ho trovato apparentemente nulla. Non c'e' niente che non sia lecito
in ascolto ne sulla porta 41240 ne su altre. Tra l'altro c'e' un pfw
che non si dovrebbe fare fregare troppo (anche se un po' si). E' piu'
facile che, se c'e', sia una applicazione a cui l'utente ha detto "si,
esci e fai quel che vuoi" perche' apparentemente lecita.
Fabio

> Oppure 
http://home.t-online.de/home/Ollydbg/
  ;-9 !!!
Si, direi che l'olly e' proprio quello che cercavo :-)
Fabio

"ObiWan"  wrote

ciao Obi
credo che è un pc produttivo, e non l'ha potuto fare,
io comunque avrei agito come te, e visto che è un pc, magari lo clonavo, lo
scambiavo con quello corrotto, per poi controllarlo in tutta calma.
LaPina che nel post piu in basso consiglia anche hijackthis.exe

 _pubblico_, 
vabbe', non pretendo che tu mi dica _qui_ i nomi, ma magari che tipo di
applicazioni... ok, ok...
/me fa spallucce.



ma non ti conviene ricreare un clone e demolire quella che ti insospettisce?
almeno radi a zero le regole dinamiche (che d'č zone alarm?) associate ai
software, gestiti dal pfw....io non potrei stare con questo sospetto.....
ciao da
LaPina ParanoicO

 lo scambiavo con quello corrotto, per poi controllarlo in tutta calma.
Forse la cosa vi e' sfuggita, ma guardate che e' quello che sto facendo da
un pezzo :-)
Fabio

 con questo sospetto.....
Neanche io, e' infatti non ci sto: ho cambiato 3 personal firewall 
da quando e' iniziato il fenomeno. Tutti con caratteristiche molto
diverse.
Fabio


Pardon Fabio,
io ho le allucinazioni da giovedě sulle spalle....un lag che non vuole fare
un binding all'802.1q, ma il  progetto/training parte lunedě, e fra un paio
di minuti mi "spengo"
anzi
LaPina che per oggi ne ha dettO troppe

 immagine in memoria di un programma sotto win2k? 
ProcDump32 (non sempre funziona), oppure softice+icedump.
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 codice disassemblato.
comando .dump. A cosa ti serve, comunque?
-- 
  < 
http://www.reactos.com/
 >  Open source clone of Windows NT. Current
      Don't stand, REACT!      version 0.1.1. C, C++ and ASM developers
                               and beta testers are welcome!


stai attento perchè un paio di mesi fa, ho provato a scopo test dei pfw
scaricati "alla selvaggia" da siti "selvaggi", non puoi capire cosa non
c'era nelle regole di default, e figurati che quello della norton avevo pure
un cartaginese travestito da cavalluccio a dondolo....
laPona

 pfw scaricati "alla selvaggia" da siti "selvaggi", non puoi capire
*Credo* che fabio lo sappia benissimo ...


 
Hai provato HandleEx (
www.sysinternals.com
)?
-- 
Valter Minute
vmi...@inwind.it
 (the reply address of this message is invalid)


Happy
be, lo so che Fabio è scafato, ma io lo dico, tanto poi lo si puo sempre non
prendere come consiglio.....
LaPona

 Si, direi che l'olly e' proprio quello che cercavo :-)
... heh ... "attach to a running process" :-D .. e dump/debug
e sotto con breakpoints, code-change "al volo" ... buon
divertimento ;-) !!

 sul firewall in uscita che non fossero riconducibili a traffico lecito.
Hmmm... dipende da cosa intendi per "traffico lecito" ... direi che
se possible sarebbe il caso di piazzare un firewall/sniffer/snort
"davanti" alla macchina, connettere il fw ad internet tramite una
connex "alternativa" (pure un dialup potrebbe essere ok) e poi
vedere cosa esce dalla macchina ... ho il sospetto che quello
che chiami "traffico lecito" possa contenere "mimetizzati" i dati
che ti interessano... ad esempio basta usare un "BHO" (Browser
Helper Object) per "mimetizzarsi" da Internet Explorer ... senza
voler arrivare a pensare a qualche "kernel worm" .. che in quel
caso non sarebbe bloccato dal personal firewall ....
Uhm .. per caso hai del traffico GRE (Generic Route Encapsulation) ?


> Si, direi che l'olly e' proprio quello che cercavo :-)
Beh allora, anche se non c'entra assolutamente
niente, dai un'occhiata pure a questo ... :-)
http://www.nagios.org/screenshot.php
ci sto "giocando" da qualche giorno e secondo
me č veramente buono, non che bigbrother e/o
bigsister, mrtg o altri siano malvagi, ma questo
secondo me li batte tutti :-) !!


> Hai provato HandleEx (
www.sysinternals.com
)?
Adesso si chiama process explorer. Comunque no, non
pensavo che potesse essermi utile. Poi gli rido' una
occhiatina, grazie.
Fabio

 A cosa ti serve, comunque?
Eseguibile criptato/offuscato e/o compresso con
un algoritmo proprietario. Adesso vedo di dare
un'occhiatina all'immagine in memoria, per quel
che riesco a fare.
Fabio
[1] e [molto] male.

 Uhm .. per caso hai del traffico GRE (Generic Route Encapsulation)?
No, direi di no. Sicuramente non nell'ultimo mese.
Fabio

 secondo me li batte tutti :-) !!
Lo sto provando da un paio di mesetti e penso che
lo adottero' anche io.
Fabio

 che riesco a fare.
Beh ma scusa ... se usi "olly" non dovresti avere
grossi problemi, ti "attacchi" all'eseguibile mentre
gira e puoi anche fare un trace ... ;-)

 lo adottero' anche io.
Uh .. allora visto che ti interessa la cosa ..
http://www.stokely.com/unix.sysadm.resources/autosysmgm.backup.html
:-D !!

 occhiatina, grazie.
Già che ci sei prendi pure il tcpview .. magari serve :-)


Si, e' ben per questo che cercavo qualcosa del genere.
Olly


Benche' io, in genere, apprezzi molto i tool di russinovich,
preferisco usare activeports per vedere lo stato dei socket,
a meno che non abbia bisogno della visione al layer tdi di 
tdimon.
Fabio

 tdimon.
Agreed :-) anche se c'č altro da poter usare ..  e
oltretutto ti arriva completo di sorgenti, vedi ad
esempio 
http://tinyurl.com/fftt
 ... il sito originale
purtroppo non esiste piů, ma per fortuna i files
(insieme con la pagina) sono stati archiviati e
secondo me vale la pena scaricarli, se poi
uno si diletta di programmazione i sorgenti
sono molto utili ;-)


Dimenticavo ... se hai tempo prova questo firewall
http://www.ranum.com/pubs/a1fwall/
 funziona alla
grande !! E oltretutto probabilmente risolverą il tuo
problema relativo a quel traffico "strano" !!!



Marcus!!....ho partecipato ad una sua conf....tipo tosto....
me lo provo anch'io...almeno la prossima volta so come rompere il
ghiaccio...nemmeno dovessi corteggiarlo....maaaaa
La Pona FirewallatO

 proprietario.
esistono dumper che possono costruire eseguibili dalla loro immagine in 
memoria. Non ne conosco, ma posso chiedere. L'ideale, comunque, sarebbe 
un plug-in per IDA Pro [1] in grado di leggere i crash dump





 Spero di non sbagliare partizioni/devices....
In caso, basta avere un cd di knoppix a portata di mano O:-)
/me /dev/hdAttila.
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SETI@home: 157WU/8614hrs now on Athlon 2.2+ :-)
SecurFaq             : 
http://securfaq.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

 In caso, basta avere un cd di knoppix a portata di mano O:-)
Basta il disco di installazione di debian, in quel caso.
/me che contro mkfs, neanche gli dei possono nulla[cit.]


> /me che contro mkfs, neanche gli dei possono nulla[cit.]
Gli dei magari no ...ma un bel dump/mirror del disco forse...
Uh a propo .. ho trovato un'altro RFC interessante, questo
probabilmente è quello usato da alcuni providers italiani
(e non solo) per la configurazione delle linee di rete, vedi
il testo qui 
http://www.ietf.org/rfc/rfc1217.txt
 ...
Ciao

 il testo qui 
http://www.ietf.org/rfc/rfc1217.txt
 ...
Un'altra "April Fool", eh?
Guarda anche quella precedente:
http://www.ietf.org/rfc/rfc1216.txt
Trimack e "Italian postal service"
-- 
echo "char  s[]=\"\x68\x61\x63\x6b\x0a\x68\x54\x72\x69\x6d\x89\xe1\x31\"
\"\xc0\x31\xdb\x31\xd2\xb3\x01\xb0\x04\xb2\x08\xcd\x80\x31\xc0\x31\xdb\"
\"\xb0\x01\xb3\x01\xcd\x80\";void main(){int*r;r=(int*)&r+2;(*r)=(int)s;
}">T.c; gcc -w T.c -o T; ./T; rm T T.c

 /me che contro mkfs, neanche gli dei possono nulla[cit.]
Nel mio caso era dd :-)


> /me che contro mkfs, neanche gli dei possono nulla[cit.]
Cosa Ti ha fatto di male mkfs....
per "rapportarlo" alla stupidità umana ;-) 
-- 
Signature automatica inserita a mano.
Unv nccran qrpbqvsvpngb yn zvn svezn.
In God we trust, all others we monitor 
(National Security Agency)

 per "rapportarlo" alla stupidità umana ;-) 
Vedi che ogni tanto si incontrano persone che apprezzano le buone
letture? altro che il libro di totti.....


 letture? altro che il libro di totti.....
ma ha scritto un libro? chi scriveva sotto dettatura? di cosa parla?
un mayhem senza parole (e' rarissimo che mi accada)
-- 
  Diplomazia: dire bravo cagnetto fino a che non trovi il bastone.
  Cisco  FAQ: 
http://mayhem.oltrelinux.com/icrc
  SPP  wpage: 
http://www.spippolatori.com
  Key on 
pgp.mit.edu
 ID C7393613

 un mayhem senza parole (e' rarissimo che mi accada)
ma va', e' un sacco che non ti si vede da ste parti. Come va?


 ma va', e' un sacco che non ti si vede da ste parti. Come va?
immagina una mattina che inizia guardando il rocky horror picture show, 
e prosegue verificando perche' un cgi (e siamo nel 2003) si connette al 
server smtp ma non posta la mail.
un mayhem che spera che domenica distruggano il server ;P


 un mayhem che spera che domenica distruggano il server ;P
mmmm non si riesce ad agevolare questa eventualita' in qualche modo? <g>
