Newsgroup: it.comp.sicurezza.varie
Titolo: Back Orifice: funzionamento e sua distruzione

Scusami Roberto ...  ti posso dire solamente che se tra i 2 connessi, "
entrambi non hanno BO win32 GUIclient " ... il carissimo e potente BO non
funziona  ( ATT. non vorrei sbagliarmi ma dovrebbe essere così )
No non è così: se io ho installato il client di BO e faccio un send per le
system info o per qualsiasi altra cosa senza averti fatto un ping del
client, anche se tu hai il client di BO io non ricevo niente: prima devo
fare il ping, cioè inviarti il server, solo a quel punto posso fare di te
quello che voglio. E stiano attenti anche i sistemi unix, perchè è uscita la
versione che entra nei sistemi UNIX, il fatto che anche w95 e multiutente,
basta impostarlo, ma BO se ne frega, perchè è in grado di leggere passwords
e userid e attivare mano mano i profili di tutti gli utenti fino a che non
trova quello che ha accesso al system file. In più mentre per w95 è uscito
un programma che distrugge e blocca la successiva reinstallazione del server
di BO, per Uniz non c'è ancora niente,e per almeno una quindicina di giorni
prevedo macelli anche su server unix. Il programma in questione si chiama
Antigen: rilevae disinstalla il server e ne blocca anche la successiva
reinstallazione, in pratica chi usa BO non può attaccare un sistema protetto
da Antigen: le mie affermazione si basano su prove condotte da me e amici in
rete quindi sono cose reali e non teoriche: invito pertanto tutti i
possessori di sistemi w95 a scaricarsi il programma
Roberto

Orl...@iol.it
 wrote:
 >quello che voglio. E stiano attenti anche i sistemi unix, perchè è uscita la
 >versione che entra nei sistemi UNIX, il fatto che anche w95 e multiutente,
Fonte? BUGTRAQ e le altre liste sulla sicurezza non riportano nessuna
informazione in proposito.
Un sistema operativo e` multiutente quando permette di imporre
restrizioni sull'accesso alle risorse a seconda dell'utente, non quando
ti permette di cambiare i colori del desktop a seconda del nome che gli
dici dopo il boot.
Comunque chi usa unix non ha nulla da temere se il suo sistema e`
aggiornato.
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco | * The Internet is full. Go away.  -- Joel Furr *

   Fatta la legge gabbato lo santo.

Roberto
Vuoi dire che Dany non solo ha accettato di ricevere un file da uno
sconosciuto, ma l'ha pure eseguito nonostante quel file avesse un nome
poco rassicurante (boserve), in proprieta'/ versione tutti i campi
fossero vuoti e non avesse neppure un'icona identificativa?
Io pensavo che non fosse possibile trovare persone tanto sprovvedute e
che per installare il server di bo occorresse un accesso fisico al pc.
Ciao, Franco.
Key fingerprint: A6 A1 62 22 5F FB F6 04  64 4E 33 E8 C8 6F CB 9A

No Dany non è sprovveduto, il fatto che quando invii il sever di back
orifice entra subito in esecuzione e tu non te ne accorgi e diventa
invisibile ai normali metodi d'ingagine. Con Back orifice invii il server e
non il client che rimane remoto (in uso all'hacker) e il server agisce da
trojan. Il malcapitato non deve fare niente e non si accorge di niente e i
normali rilevatori di attivita delle porte non rilevano niente, ecco perchè
Back orifice è molto pericoloso


versione che entra nei sistemi UNIX,
Ma naturalmente. Si chiama hack-telnetd, esiste dal 1980 circa. C'e', pero',
il piccolo problema che va *installata* sul computer vittima, e per farlo e'
necessario un piccolo miracolo o un amministratore cretino.
Nel secondo caso, c'e' da preoccuparsi anche se non ci fosse hack-telnetd, e
nel primo... be'...
Leonardo
".signature": bad command or file name

Antigen
indirizzo da cui scaricarlo?
Grazie
Buttha
-> ex Luther Blissett (@
psynet.net
)
-----------------------------------------------------------------------
* Per rispondere rimuovere niente
* PGP Key available with fingerprint:
  7772 5C72 7392 538B  34B8 A189 13BC 867A
* se non riuscite a leggere questa scritta
  e ora di pulire il monitor

Roberto
Io ho una conoscenza teorica di Bo - l'ho scaricato appena uscito ma non
ho trovato nessuno che volesse fare da cavia :( (anche perche', prima
che uscisse antigen, sembrava che il server fosse inestirpabile senza il
deltree win) - pero' da quello che ho letto sul bo.txt, il file
Boserve.exe deve essere eseguito sul sistema vittima e solo *in seguito*
diventa invisibile.
Infatti consigliano di copiarlo in "esecuzione automatica", dopo averlo
configurato con il boconfig, in modo che dopo il primo riavvio installi
il server in windows/system, crei una chiave nel registro e quindi si
autocancelli automaticamente (naturalmente il boserve.exe).
Quindi, se chi ha il client non ha un accesso fisico al pc che vuole
utilizzare come server, questo file oltre che accettato deve essere pure
eseguito dalla vittima.
Nella pratica non e' cosi'?


>normali rilevatori di attivita delle porte non rilevano niente, ecco
Boserve.exe deve essere eseguito sul sistema vittima e solo *in
seguito*diventa invisibile.


scusate il sito di antigen
http://www.warforge.com
Roberto

Nella pratica non e' cosi'?
si, ma il boserver, con un *simpatico* plug-in, può essere messo
insieme a qualsiasi programma: uno lancia il programma apparentemente
innocuo e... si ritrova il server installato (e non se ne accorge
perchè il programma ospitante funziona regolarmente).
Immaginiamo uno scenario non troppo improbabile:
uno si collega ad un sito per fare un download, il sito può rilevare
il suo IP, l'utente ignaro si scarica il suo programmino e...
il possessore del sito ha un server in più da poter gestire.


Vediamo di chiarire la cosa:
Non sono sicuro del fatto che per instaurare la connessione
server-client serva prima un ping...
Per installare il Boserve.exe sul proprio PC (che è senza icona...quindi
un "coso" bianco con un nome sotto) bisogna clikkarlo una volta...questo
provvederà a creare la chiave nel registro e si autocancellerà
immediatamente come programma per continuare ad esistere come chiave (e
alcuni dicono come dll).
Quindi per installarlo su un computer vittima c'è bisogno dell'accesso
fisico o della sprovvedutezza di un utente che abbia voglia di clikkare
un icona nulla di un programma che si chiama (se non rinominato)
Boserve.exe e che una volta lanciato sparisce dalla propria vista....
Certo è che vedendo l'esempio dei Dmsetup.exe di Mirc.....
Ne esiste un server per Win95 e tre client,per Dos,Windows e Unix.
			Giulio

Buttha
Antigen lo trovi a questo url: 
http://www.arez.com/fs/antigen/index.html
C'e' anche un altro "pulitore" di bo che si chiama Bodetect e lo puoi
scaricare da: 
http://www.freetips.com/boremove.html


 serva prima un ping...
cosa vuol dire fare ping?


Ragazzi... ma se non sapete manco cos'e' un ping invece di preoccuparvi
della sicurezza dovreste preoccuparvi di studiare le basi di internet.
 Posso capire vi restino ostiche le backdoor ma almeno i tools che avete
dentro winzozz
 dovrete conoscerli!


scrisse:

Grazie, ora ne so di più!


frm...@tin.it
 wrote:
 >Io pensavo che non fosse possibile trovare persone tanto sprovvedute e
 >che per installare il server di bo occorresse un accesso fisico al pc.
Fidati, c'e` pieno.
Dove non arriva l'hacking arriva il social engineering... :-)


Ciao a TUTTI !!!!
Ma se prendiamo un plisten a caso ... e lo settiamo sulla 31337 dovrebbe o
non dovtrebbe rilevare qualcosa ?
visto che" boserver" e gui  di default lavorano su questa porta ( o forse mi
sbaglio ? )
Scusatemi un attimo ma questa .... cosa significa ? . using no password for
encryption ?
 If the server is not configured, it defaults to listening
on port 31337, """"""" using no password for encryption """""""" (packets
are still encrypted),
and installing itself as " .exe" (space dot exe).
".exe" lo già trovato e rimosso in windows\system ... ma come si risolve "no
password for encryption" ?
E meglio che passi subito da  
www.warforge.com
  e mi scarichi ANTIGEN !!!!

Orl...@iol.it
 wrote:
 >No Dany non è sprovveduto, il fatto che quando invii il sever di back
 >orifice entra subito in esecuzione e tu non te ne accorgi e diventa
In un sistema operativo decente con dei client decenti un programma
non si esegue da solo, qualcuno deve farlo.


Roberto
Ho fatto pratica ;), e confermo quanto detto nel mio precedente msg.
Se il bo server non e' installato sul sistema vittima, con il comando
ping host non gli invii un tubo e infatti ricevi il msg  "Unable to open
.........." anziche' il msg "Packet received from host......." che
confermerebbe l'avvenuto collegamento con il bo server.
Quindi sto benedetto boserve.exe (che installa l'invisibile bo server,
se ben configurato con boconfig.exe, e quindi si autocancella) va
eseguito *preventivamente* sul sistema vittima mentre il ping host serve
*esclusivamente* a verificare l'avvenuto collegamento con il bo server.
D'altra parte il bo.txt e' esplicito su questo aspetto: "To install the
server the server simply needs to be executed.  When the server
executable is run, it installs itself and then deletes itself.  This is
useful for network enviroments where the server can be installed on a
machine simply by copying the server executable into the Startup
directory, where it will be installed, then removed.  Once the server is
installed on a machine, it will be started every time the machine
boots."


Grazie, ora ne so di piů!


Denghiu


perchè il programma ospitante funziona regolarmente).
Si', SE uno esegue un programma arrivatogli per vie traverse, o un
crack tirato giu' dal primo sito che capita, senza precauzioni, e'
probabile che succeda esattamente quello che dici tu.


probabile che succeda esattamente quello che dici tu.
e quali possono essere le precauzioni?
Esiste qualche sito di crack e serial "affidabile"? Quale?
Un utente comune, quale io sono, piu' di fare un controllo con un
antivirus, cos'altro puo' fare?
Mi sento "con le braghe calate" di fronte ad un trojan.
Le poche cose che faccio sono
a) disabilitare i cookies
b) disabilitare java
c) antivirus
Quali altre cose posso fare, se proprio voglio utilizzare qualche
utility tirata giù da un sito poco ortodosso? (a parte evitare il
download...)
TIA e bye!


 (Buttha)> writes:
    BUTTHA> Quali altre cose posso fare, se proprio voglio utilizzare
    BUTTHA> qualche utility tirata giů da un sito poco ortodosso? (a
    BUTTHA> parte evitare il download...)
Poco. Impara l'assembly e  con un debugger  disassembla i programmi  e
controllali   (non  e' ironico, e'   veramente   l'unica cosa che puoi
fare). A parte, ovviamente, utilizzare programmi di cui hai i sorgenti
- ma sotto Windows questa č utopia.
    BUTTHA> TIA e bye!
Ciao,
Andrea Glorioso
-- 
Villaggio globale: ci si mette tutti d'accordo per fare il culo a
		   quello che rimane (Simone Nalato)

Io uso BO da quasi un mese è devo dire che il client è veramente potente,
ovviamente il primo esperimento l'ho fatto sul mio PC è sono riuscito a
disinstallare il server, dopo pochi minuti, con un semplice delete file.
E' uno strumento molto pericoloso soprattutto nelle mani di
malintenzionati - come me :-))))) - (sono riuscito a risalire al numero
telefonico di diversi utenti anonimi di NetMeeting), è di Boserver
installati, ignaramente,  c'è ne sono una marea, ho creato una lista di
65.025 IP è ne ho trovati a bizzeffe.
Ciao

...


...


fare)
ok, se uno ha tali conoscenze, tanto vale che se li scriva da solo i
programmi.
Un approccio più soft?
Esiste, per es., qualche sito con una completa raccolta di "antidoti"
per i vari trojan esistenti?
Ciao


E meglio che passi subito da  
www.warforge.com
  e mi scarichi ANTIGEN !!!!
Si, si!!! è la cosa migliore!!!
ciao
x

 writes:
       BUTTHA> Quali altre cose posso fare, se proprio voglio utilizzare
       BUTTHA> qualche utility tirata giů da un sito poco ortodosso? (a
       BUTTHA> parte evitare il download...)
 
   Poco. Impara l'assembly e  con un debugger  disassembla i programmi  e
   controllali
!!!
Tu  hai mai  provato a  fare cose  del genere?   Se si`,  dubito  che le
consiglieresti seriamente!  Per  avere anche solo una vaga  idea di cosa
potrebbe  fare   un  programma  guardando   il  disassemblato  occorrono
conoscenze  estremamente approfondite dell'architettura  della macchina,
del  tipo di  codice  generato  dai compilatori  piu`  diffusi, e  delle
tecniche comuni  di codifica  delle schifezze da  cui ti  vuoi guardare.
Roba da hacker di alto livello.

 (Buttha)> writes:
    BUTTHA> ok, se uno ha tali conoscenze, tanto vale che se li scriva
    BUTTHA> da solo i programmi.  Un approccio più soft?  Esiste, per
    BUTTHA> es., qualche sito con una completa raccolta di "antidoti"
    BUTTHA> per i vari trojan esistenti?
Una raccolta sistematica credo non esista, se segui liste come BugTraq
o    newsgroups    come  alt.2600.*, canali    irc,     siti  web come
www.rootshell.com
 e  simili,   hai   qualche possibilità  di    essere
informato per tempo. 


 writes:
    Francesco> Tu hai mai provato a fare cose del genere?  Se si`,
    Francesco> dubito che le consiglieresti seriamente!  Per avere
    Francesco> anche solo una vaga idea di cosa potrebbe fare un
    Francesco> programma guardando il disassemblato occorrono
    Francesco> conoscenze estremamente approfondite dell'architettura
    Francesco> della macchina, del tipo di codice generato dai
    Francesco> compilatori piu` diffusi, e delle tecniche comuni di
    Francesco> codifica delle schifezze da cui ti vuoi guardare.  Roba
    Francesco> da hacker di alto livello.
D'accordissimo,   e  allora  non  installarti programmi  "pericolosi",
oppure se te li installi non lamentarti se ti trovi una bella backdoor
sul computer. 
Tu  ti opereresti di  appendicite da solo  (presumo che  tu non sia un
medico, ovviamente :) )? 
Saluti,


liste come BugTraq
e' da un po che vedo circolare questo nome: BugTraq...
se è una ML mi interesserebbe iscrivermi...
indirizzo, subject e body per farlo?
Molte molte grazie da uno che vuole imparare


indirizzo, subject e body per farlo?
domanda ritirata. Già fatto.


 writes:
   D'accordissimo,   e  allora  non  installarti programmi  "pericolosi",
   oppure se te li installi non lamentarti se ti trovi una bella backdoor
   sul computer. 
Ma, veramente, io  non li installo :-) Dicevo solo  che il tuo consiglio
era fuori dal mondo!
 
   Tu  ti opereresti di  appendicite da solo  (presumo che  tu non sia un
   medico, ovviamente :) )? 
 
Perche`, hai  mai sentito di  un medico che  si opera di  appendicite da
solo? :-) Comunque  io arrivo a farmi  le punture da solo, a  destra e a
sinistra, e senza specchio!

sinistra, e senza specchio!
Lo faceva anche un mio amico. E' morto di overdose....
--
Ciao
/\/\arco /\/\ex

Anch'io ho provato a farmi le pere nel braccio .... ma non mi passavano i
semini.
  ;-P

 writes:
    Francesco> Ma, veramente, io non li installo :-) Dicevo solo che
    Francesco> il tuo consiglio era fuori dal mondo!
Il "ti" era impersonale, non volevo sottintendere che tu personalmente
li installassi. Per   quanto riguarda l'estraneità  dal mondo  del mio
suggerimento,  dipende in  primo  luogo dal mondo   in cui si vive; in
secondo luogo, come  noto, se vuoi essere  veramente  sicuro di quello
che fa  un programma devi guardare  come e' fatto. Mancando i sorgenti
(alcuni dei quali  sono  cmq in  assembly)  devi ricorrere  al  codice
macchina. 
Nota che non ho detto che questa sia una soluzione pratica, ma non era
la domanda posta. Concordo anche io che è molto difficile sapere TUTTO
di TUTTI  i programmi  che girano  sul proprio  sistema, ed  è proprio
questo che quando  installo un programma cerco di  averlo da una fonte
nota, e magari con un MD5 o una firma PGP di verifica.
 
    Francesco> Perche`, hai mai sentito di un medico che si opera di
    Francesco> appendicite da solo? :-) [SNIP]
Si' (e non in    un libro di  Pennac,   anche perche' quella  era  una
giornalista). 
Ultima nota: non sto dicendo  che TUTTI devono sapere disassemblare un
programma (a  parte   che il processo  di   disassemblamento in sé   è
praticamente automatico) solo   che  non ci  si può   lamentare se  si
installano  programmi da fonti,  per usare un eufemismo, "insicure", e
poi salta tutto per aria. Se poi il discorso è  che si vuole imparare,
ben vengano  le   domande (tanto  è vero   che,  prima che  Buttha  si
autorispondesse da solo,  gli stavo per mandare tutti  i  dati che gli
servivano su BugTraq). 
Ciao,


semini.
Compra un buon frullatore :-))
--
Ciao
/\/\arco /\/\ex
------------------------------------------------------------
1,2,3,4,5,6,7,8,9,10
ora che hai contato fino a 10 sei sicuro di voler rispondere
a questo messaggio??
------------------------------------------------------------
Home Page i.h.u. 
http://www.blissett.com/ihu/
   agg.20/08/98

...


  Devi eliminare anche le chiamate di registro!
Le "chiamate di registro" senza l'eseguibile (eliminato)...sono servono a
niente!!

...


nbtstat
Scusa, con "nbtstat" intendi il programma nbtstat.exe di Windows 95?
Oppure e' qualcos'altro che ha lo stesso nome?
Leonardo che forse sta finalmente cominciando a capire


Scusami ma non ti seguo!!???
Vuole dire che, se sul PC hai un ulteriore programma che sta in ascolto
ed effettua un download di BOSERVE in determinate circostanze, *allora*
lui te lo puo' reinstallare.
Il punto e': ce l'hai, questo programma? 8-D
Leonardo il quale, per esempio, no


già!
Scusa ma ti riferisci all'exploit  nbstat -A 195.250....., ma che senso
ha???????
Devi essere così sfigato da:
installare il Boserve, cancellarlo, avere l'HD condiviso senza password, non
cancellare le chiamate nel "run service" , trovare uno smanettone che, a
culo, ti becca con il nbstat e ti fa l'upload del Boserve ... noooo neanche
Fattozzi ha una sfiga così  :-)))
Ciao

possessori di sistemi w95 a scaricarsi il programma
Ho "beccato" BO su un PC; ho eliminato il riferimento nei registry e
cancellato l'eseguibile. Dopo tanto thread, non ho capito sxe ciň č
sufficiente o no; a me pare di sě... Se non ci sono richiami nei
registri e non c'č l'eseguibile non vedo come potrebbe ripartire, ma
non si sa mai. Tra l'altro ho anche cercato Antigen ma non lo trovato;
qualcuno mi sa dire dove trovarlo?
Grazie e ciao
Luca
--
Luca Bruschi - 
I.NET
 S.p.A.
lucky[@]
Eru.INET.it
Togliere le parentesi [] per rispondere.

qualcuno mi sa dire dove trovarlo?
Oooops... Antigen lo ho trovato
(
http://www.arez.com/fs/antigen/index.html
); rimane valida la prima
domanda ;)
Ciao


domanda ;)
Continuo a rispondere a me stesso... BackOrifice si installa nella
windows\system con un nome del cavolo, ed inoltre agigunge (sempre
nella \windows\system) il file WINDLL.DLL. In più modifica il registro
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersi
on\RunServices
inserendo una chiamata (di solito facilmente individuabile)
all'eseguibile della \windows\system. Cancellate le entries dai
registry, riavviata la macchina, cancellati i due files dalla
\windows\system backorifice è eliminato, e anche Antigen non rileva
più niente.
Tutto ciò forse tra le righe era già stato detto; io ho voluto
riassumere per aiutare chi pensa di formattare l'HDD :)))
In compenso, non è vero (come ho visto scritto in uno dei primi
messaggi di questo thread) che Antigen impedisca una eventuale
successiva reinstallazione di BO...
