Newsgroup: it.comp.sicurezza.varie
Titolo: Come fa la gente a beccarsi BO ?

Alcuni di voi hanno detto (e ho anche letto) che vi sono 100aia di
1000aia di macchine che hanno BO piantato dentro.
Poco sopra si dice come scovarlo.
E poi come rimuoverlo.
Ma come diavolo lo si prende ?
La persona ignara di averlo, come se l'e' installato ?
1 - L'amico che di nascosto gli ha messo un floppy nel drive ?
2 - Un' applet Java particolarmente intrigante ?
3 - Un .exe scaricato da rete con attaccato un altro invisibile
"bo.exe" ?
4 - ?
Grazzzie !
Saluti
    Delivery
"Il peggiore dei miei errori e' la consapevolezza di continuare a farli"

basta essere abbastanza cretini da accettare un file exe da chi non si
conosce. Ancora di più se il file si chiama PamAnderson.exe.
Da quel momento, se non sai come rimuovere BO, il tuo computer, finchè sei
in rete, è nelle mani di due utenti, tu e chi ti ha infettato, e l'altro può
fare molte cose interessanti quali: leggerti le password di win95 (comprese
quelle del provider), leggere o cancellare qualsiasi file dal disco, fare il
reset del sistema, ricevere un'immagine dello schermo, loggare la tastiera,
e molto altro. L'unica cosa consolante, è che Bo non è affatto difficile da
rimuovere.  A mano, con dei file anti-BO che si trovano in rete, e con un
buon antivirus (L'aggiornamento di NAV ad esempio).
Occhio che non si è controllati solo durante la sessione in cui è avvenuta
l'infezione. Anche se si cambia Ip, il BO puo fare lo scan di tutto il
dominio quindi prima o poi si viene ribeccati.
BauD
____________________________________________
http://www.freeweb.org/free/Baud

conosce. Ancora di piů se il file si chiama PamAnderson.exe.


Sicuramente sarai stato bravo a fare il Multi NBT (mandamelo :D ) pero' in
giro ce ne sono un bel po' di programmi come il tuo ... e poi lo so: ogni
scarrafone è bello a mamma sua! eh eh :-p
ciao
x
P.S.: non ti scordare di mandarmelo in mail, per favore .... mi ha
incuriosito non poco!

 scarrafone è bello a mamma sua! eh eh :-p
Con la verifica in automatico delle condivisioni e l'aggiornamento del file
lmhosts???!!!!

4 - ?
2, 3 e 5
5 - hai "Condivisione di File e Stampanti" in binding sul TCP/IP di "Scheda
    di accesso remoto".
    Usando un programma fornito con Windows, NBTSTAT.EXE, e con poca fatica
    extra, si puo' collegare il tuo PC a un altro. L'altro puo' leggere, e,
    se non hai passwords di protezione sulle share (o hai password facili),
    scrivere sul tuo disco.
    A questo punto basta che ti scriva i dati opportuni nel registry e dopo
    ti copi BO in C:\WINDOWS\SYSTEM (che se hai una stampante condivisa, e'
    raggiungibile come share nascosta \\TUOPC\PRINTER$).
Volendo e' banale scrivere un batch o un modulo Unix che 'scansioni' con il
NBTSTAT una intera sottorete: statisticamente, prima o poi trovi un PC che,
chissa' come chissa' perche', e' nelle condizioni del punto 5.
Ho detto "unix" perche' NBTSTAT c'e' anche sui sistemi Unix: fa parte di un
pacchetto di emulazione SMB, 'samba'.
La versione di Windows ha una serie di 'buchi' di sicurezza... parzialmente
rimediabili con le seguenti patch su 
www.microsoft.com
:
09/05/97        MSPWLUPD.EXE    Enhanced Encryption for Windows 95 
07/16/97+       NWREDUP4.EXE    Windows 95 Update to Enhance Password Security
07/16/97+       SECUPD.EXE      Windows 95 Update to Enhance Password Security
07/16/97+       SECUPD2.EXE     Windows 95 Update to Enhance Password Security
09/23/97        VRDRUPD.EXE     Windows 95 Update to Prevent Sending Clear-Text
				Password Over Network
07/16/97+       VREDRUPD.EXE    Updated Vredir.vxd File
un paio sono rimaste; in particolare e' possibile crashare NBTSTAT inviando
in risposta un pacchetto confezionato in maniera particolarmente maligna.
L'exploit funziona anche contro il NBTSTAT del Samba, ma e' stato eliminato
dalla versione 1.19pl2, se ricordo bene. L'advisory relativo conteneva pure
le informazioni necessarie a capire come inmalignire il proprio 'Samba'.
Leonardo
".signature": bad command or file name

lmhosts???!!!!
Verifica delle condivisioni, si ed anche ben ordinate :-p e "connettibili"
con un semplice tasto, mentre l'aggiornamento del file lmhosts no ... se hai
il winsock 2.2 non è necessario, si accontenta direttamente dell'IP. Cmq
complimenti ancora!!! sul serio. ottimo lavoro. Tieni presente che io sto
ancora aspettando!!! :D
ciaociao
x
P.S.: fatti vedere ogni tanto in ICQ ... sei sempre tra gli offline!!! o 6
invisibile??? eh eh eh
P.P.S.: ma non hai capito di quale prog sto parlando?

09/23/97        VRDRUPD.EXE     Windows 95 Update to Prevent Sending
Clear-Text
[Password]
mi dici brevemente a ke serve qyesta patch? in ke consiste il problema?
(alla traduzione ci arrivo, ma è un po' sibillina!)
tnx :D
x