Newsgroup: it.comp.sicurezza.varie
Titolo: 195.210.87.131: HELP ME!

Uso WindowsXP Pro. Questo indirizzo, 195.210.87.131 e' fonte di
preoccupazione dall'anno scorso!
Ho reinstallato Windows piu' volte senza successo.
Ho inviato le segnalazioni alla MS perche' credo che bloccando
l'indirizzo sopra indicato sia fonte di malfuzionamenti ma nonostante
cio', nulla, gli aggiornamenti fino ad oggi non sono serviti. Il
problema permane. Ho chiesto su forum MS senza successo, piu' volte.
Ho contattato anche il mio provider che non sa o non vuole sapere.
Scansioni antivir tutte negative, non trovo alcunche'.
Onestamente sono profondamente seccato e deluso di non riuscire a
capire cosa succede e come porvi rimedio. Qualcuno riesce a darmi una
risposta in merito? Cosa fare? 
Link hai messaggi di errore:
http://img200.imageshack.us/my.php?image=senzatitolo2c.jpg
 

preoccupazione dall'anno scorso!
Apparentemente sei tu che ti colleghi ad un indirizzo di IOL.
O hai una bestia a bordo oppure e' una roba normale (benche' mal
configurata, sembra tu gli stia facendo un portscan...) tipo che
so, il DNS di IOL o roba del genere (non ho controllato).
Leonardo
-- 
Linten addie toorin addie,
Linten addie toorin ee,
Linten lowrin lowrin lowrin,
The barnyards of Delgaty

 
http://img200.imageshack.us/my.php?image=senzatitolo2c.jpg
 
Se ti parlo di "
gencogroup.info
" ti viene in mente niente?
No, a me no, ma dicono che su quell'IP ci sia "hostato" gencogroup,
chiunque siano.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

so, il DNS di IOL o roba del genere (non ho controllato).
Non faccio portscan, non so cos'e'....ma dal nome credo che se lo
facessi non lo verrei a dire qui... non ti pare?

chiunque siano.
Non lo so e sinceramente non lo vorrei neanche sapere.... purtroppo...
Suggerimenti per risolvere il problema...? HELP ME!


Sei sicuro di non utilizzare DNS che in caso di query per domini non 
risolti ti reindirizza su un webserver con una pagina di ricerca?
IMHO proverei a cambiare i server DNS, puoi fare la prova con gli 
OpenDNS (208.67.222.222 e 208.67.220.220)
Ciao
-- 
Simone Ciamberlini

Esiste un metodo per poter scovare il processo "maligno"?
Ch� no? Da Start > Esegui > CMD.EXE, nella finestrina nera dai il comando:
	netstat -on   (invio)
e l'ultima colonna sara' un PID. Guardi chi � che si connette a 195.spicci
e ti segni il PID. Per esempio se lo faccio io sul mio:
C:\Documents and Settings\Leonardo Serni>netstat -on
Connessioni attive
Proto  Indirizzo locale    Indirizzo esterno      Stato       PID
...
TCP    
192.168.7.22:3174
 
130.133.1.4:119
        ESTABLISHED 9020
Vai su Task Manager, Visualizza > Colonne > PID > [x]
e ordini per PID crescente. O meglio ancora usi "Process Explorer" di Mark
Russinovich (pace e benedizioni scendano su di lui), che oltre a dirti PID
e vita e morte e miracoli di ogni processo, te lo cerca pure su Google.
Nel caso mio vedo che chi s'e' connesso a 
news.individual.net
 (130.*) e' -
come mi aspettavo - il newsreader con cui ti sto rispondendo.


 Certo non lo vado cercando "io" ma qualcosa dal mio PC....
beh, a questo punto, prova ad usare questo
http://technet.microsoft.com/en-us/sysinternals/bb897437.aspx
per capire "cosa" stia generando quel traffico verso l'IP in
questione, a questo punto, sapendo di quale processo si
tratti, potresti usare questo
http://technet.microsoft.com/en-us/sysinternals/bb896653.aspx
per ricavare maggiori informazioni sul processo e cercare
di capire di cosa si tratti (ed eventualmente come eliminarlo)
Giusto per capire meglio, hai scritto di aver "reinstallato windows"
ma lo hai fatto avviando da CD, eliminando e ricreando le partizioni,
riformattando ed installando da ZERO oppure si � trattato soltanto
di una installazione "di ripristino" che non ha eliminato tutto ci� che
esisteva sul disco (sui dischi se pi� di uno) ??
Nel primo caso, il problema potrebbe essere relativo a qualche s/w
che hai reinstallato ... ad ogni reinstallazione di windows, nel secondo
potrebbe essere una qualche "bestiaccia" che continua a fare il suo
lavoro :)
ciao

OpenDNS (208.67.222.222 e 208.67.220.220)
Fatto risultato:
http://img168.imageshack.us/my.php?image=immagineu.png
In pratica non e' cambiato nulla.... Cosa puo' essere?
Un'errore di configurazione? Un virus? O non saprei proprio...

e vita e morte e miracoli di ogni processo, te lo cerca pure su Google.
In pratica sono system e svchost che tentano le connessioni.
allego immagine blocchi e netstat:
http://img339.imageshack.us/my.php?image=immagineneststa.png
http://img168.imageshack.us/my.php?image=immagineu.png
altri suggerimenti?


http://img339.imageshack.us/my.php?image=immagineneststa.png
Eh... hai ritagliato via proprio le righe relative a 195.spiccioli.
Quelle connessioni che hai li' sono connessioni a OpenDNS, per cui si
potrebbe pensare che tu abbia qualcosa che risolve nomi "vecchi", e -
di conseguenza - atterra fisso su OpenDNS.
Prova con Process Explorer a vedere quale dei svchost e' implicato, e
passaci sopra col mouse - dovrebbe darti i dettagli su cosa fa "quel"
particolare svchost.
Il SVCHOST che fa piu' lavoro ha un PID piu' basso di quel tuo 1508 -
io ce l'ho su 776 - e gli altri sono tutti servizi singoli.
Potrebbe essere il WebDAV Client, chissa'.


Potrebbe essere il WebDAV Client, chissa'.
Cos'e' il WebDAV?

lavoro :)
Da zero: prg installati: Sunbelt Personal Firewall, Antivi, Total
Commander sono quelli comuni a tutte le installazioni....
Tutti gli aggiornamenti di WinXP. Possibile, sono tutti file scaricati
dai siti ufficiali?
Altro c'e' ma non e' comune alle installazioni dei vari Windows.
Non faccio Peer To Peer e non vado su siti "strani".
Consulto l'email Web (possibile veicolo) ma il sito e' protetto o
almeno dovrebbe esserlo dai virus. Uso router con firewall.
Altro non saprei. Anche qui altri suggerimenti?

> Da zero: prg installati: Sunbelt Personal Firewall, Antivi, Total
[...]
Si ok... hai provato i programmi di cui sopra ? Hai trovato chi �
responsabile delle connessioni ? Hai visto quali processi o DLL
vengono avviati dal processo responsabile ?
No ? Peccato, non posso aiutarti, la sfera di cristallo al momento
� in riparazione :D !

Ergo e' sintomo di un probabile "difetto"? Se si quale?
No no, intendevo dire che con ogni probabilita' il SVCHOST che ti da'
problemi e' "animatore" di un servizio singolo, e quindi te lo potrai
togliere di torno con relativa sicurezza.
Se fosse uno dei due SVCHOST a PID basso, che tirano su anche l'anima
de li mortacci loro, quelli *non* li potevi fermare perche' ti andava
in bambola tutto il sistema operativo... Ma non sembra che sia questo
il caso, ecco tutto. Meglio per te.


il caso, ecco tutto. Meglio per te.
Come fare per individuarli e bloccarli?

� in riparazione :D !
Al limite ti faccio conoscere il mio carrozziere, e' bravissimo! :) 

 preoccupazione dall'anno scorso!
http://blognew.aruba.it/blog.malwarelist.org/Trojan_Win32_Agent_CHJ_12701.shtml
 



Azz ma nessun antivir me lo scova! :(
Ho cercato il file e la chiave ma niente sembrano ok.
Ci stiamo avvicinando.....! Bene!
Altri suggerimenti? Come sistemare il S.O. per evitare il pestifero?


http://normanasa.vo.llnwd.net/o29/public/Norman_Malware_Cleaner.exe
http://www.malwarebytes.org/mbam/program/mbam-setup.exe
http://www.superantispyware.com/downloads/SUPERAntiSpyware.exe
Prova questi... IMHO � una bestia che hai beccato
-- 
Simone Ciamberlini




Installi Process Explorer e TCPView; con il secondo ti fai dire quale
e' il PID del processo che sta facendo casino; col primo vai a vedere
quale processo ha quel PID. Prima di ammazzarlo, cliccaci sopra - con
il tasto destro - e guarda cos'ha in "command line", che m'interessa.
Scommetto qualcosina su "-k LocalService".


Prova questi... IMHO � una bestia che hai beccato
Si e' proprio una bella bestia! :(
Nessuno dei tre rileva alcunche'.... :(
Giusto qualche cookie tracciante ma anche per questi software e' tutto
ok. Altri suggerimenti? Ciao!

� in riparazione :D !
Vedi se queste foto possono aiutare:
http://img149.imageshack.us/my.php?image=immaginetby.png
http://img220.imageshack.us/img220/6038/schermata1l.th.png
Ciao!

Scommetto qualcosina su "-k LocalService".
Foto:
http://img220.imageshack.us/img220/6038/schermata1l.th.png
http://img149.imageshack.us/my.php?image=immaginetby.png
Eliminando tutti i scvhost si riavvia il sistema. Parzialmente, non ho
riscontrato miglioramenti...ma non e' che posso fare sto' casino ad
ogni avvio. Il problema andrebbe eliminato alla radice... :(
Altri suggerimenti?
Ciao!

> Eliminando tutti i scvhost si riavvia il sistema.
ah beh, la cosa NON mi stupisce :P per� mi sembra che Leo ti avesse
suggerito un ALTRO approccio (che poi era quello che ti avevo anche
suggerito io) ossia usare tcpview per trovare il processo che avvia
quella connessione, quindi con process explorer localizzare il processo
e controllare quale sia la cmdline con cui viene lanciato e magari anche
quali DLL carichi; killare processi a caso e fare quello che hai fatto
fino
ad ora non serve a niente se non a perdere tempo, se vuoi risolvere
segui quanto ti si dice, in caso contrario inutile star qui a perdere
tempo

 cos'ha in "command line", che m'interessa.
Non serve, che tu ammazzi dei SVCHOST con un PID diverso da quello preso
dal programma che si connette fuori. Non sono loro. E anche ammazzare il
SVCHOST giusto e' solo un passo della procedura: poi va visto qual e', e
che fa, e come non farglielo piu' fare.


 
http://img220.imageshack.us/img220/6038/schermata1l.th.png
Ah, s�, da l� parrebbe l'aggiornamento automatico di SuperAntiSpyware...
ma senti, come mai l'hai fatto da Linux, quello screenshot ?
Un Paperino che... 

 
http://img220.imageshack.us/img220/6038/schermata1l.th.png
come no, bello virtualbox eh ?

Un Paperino che... 
Non riesco a risolvere in nessun modo. Il problema si ripresenta
sempre. Suggerimenti?

che fa, e come non farglielo piu' fare.
Il meccanismo non lo riesco a capire....sorry. Sicuramente e' molto
piu' semplice a farsi che a spiegarsi....sorry....

tempo
Scusa ma non capisco perche' siete cosi' nervosi.
E' evidente che non ho capito il meccanismo per eliminare il problema
alla radice.... non ti pare?! E poi non era un rimprovero ma un forte
senso di prostrazione... ti assicuro.
Sono mesi che ho questo problema. Il problema e' sulla macchina
principale sia su quelle virtuali. Non riesco a risolvere!!!
Poi se non vi va che siete troppo offesi lasciate stare.... :(
Ciao!

 sempre. Suggerimenti?
direi che nel tuo rutter c'è qualcosa del genere.
crypto key pubkey-chain rsa
 named-key realm-cisco.pub signature
  address 195.210.87.131
  key-string 
.....

.....
Dove devo controllare? Nel rutter e i relativi menu' non trovo
nulla... In realta' e' il secondo che cambio avendo pensato ad una
situazione del genere.... :(

Ci stiamo avvicinando.....! Bene!
Dici di avere reinstallato.
Cerca di fare mente locale sulla procedura che hai usato per
reinstallare, forse c'� qualcosa di infetto tra i files di
installazione.
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

installazione.
Dischetti originali.... files prelevati dai siti di origine, per i
programmi scaricati dalla rete... altro non saprei....
Qualche mail maligna?

 preoccupazione dall'anno scorso!
E lo � anche per chi usa Fedora:
http://www.fedoraonline.it/modules/newbb/viewtopic.php?topic_id=7831&forum=
3&post_id=59017
Sandrox:
http://forums.xandros.com/viewtopic.php?t=34403
ecc ecc:
http://forum.html.it/forum/showthread/t-1327300.html
Robaccia di Infostrada superpartes, vivi tranquillo e fregatene

 risposta in merito? Cosa fare? 
Formatta e install linux ubuntu potente e facile per chi inizia e sarai
padrone del tuo pc e dei soldi che hai speso ;-)
Gab