Newsgroup: it.comp.sicurezza.varie
Titolo: alice??

salve, ho un abbonamento gia' da un anno ad aice adsl telecom, oggi
improvvisamente ho aperto il mio browser e anziche' andare alla pagina
iniziale, e' andato qui 
www.aliceposta.it
 , e li c'era il sito che mi
chiedeva di identificarmi, ho provato ad andare su yahoo ma nulla da fare,
anzi mi apriva un'altra pagina di alice dove c'erano gia' belli scritti il
mio user e password dell'adsl, per usufruire dei servizi del sito;
sempre nel sito c'era un link dove c'era scritto "navigare" cliccandolo mi
fa scaricare un eseguibile (tipo programmini dialer) della telecom italia!
io naturalmente non ho scaricato nulla, e ora mi appresto a scaricare the
cleaner per vedere se ho qualche back door o trojan, ma domando se qualcuno
sa di cosa si tratta, grazie!

scusate sono ancora io, il mio the cleaner ha spirato i suoi 30 giorni di
valutazione , qualcuno sa consigliarmi un antitorjan gratuito? grazie

 valutazione , qualcuno sa consigliarmi un antitorjan gratuito? grazie
* Antivirus/AntiDialer
http://www.free-av.com/
* Trojan/Worm cleaner
http://security.kolla.de/
* SpyWare/AdWare cleaner
http://www.lavasoftusa.com/
* Personal Firewall
http://soho.sygate.com/products/spf_standard.htm
* Hosts blocking list
http://pgl.yoyo.org/adservers/index.php
* Filtro anti-spam per mail client
http://www.keir.net/k9.html
* WEB Proxy anti popup/altro
http://www.privoxy.org
* Filtro anti-tutto
(sta in mezzo alle orecchie)
serve altro ... che so .. un caffè .. ;-) ?
-- 
* ObiWan
DNS "fail-safe" for Windows 2000 and 9X clients.
http://ntcanuck.com
408 XP/2000 tweaks and tips
http://ntcanuck.com/tq/Tip_Quarry.htm

 del sito;
happycactus@wiseowl:ixl$ whois 
aliceposta.it
domain:      
aliceposta.it
x400-domain: c=it; admd=0; prmd=aliceposta;
org:         Telecom Italia Spa
<...>
il sito 
www.aliceposta.it
 risolve in 217.169.121.198, il quale pero' non
ha rDNS (grave mancanza), che e'
happycactus@wiseowl:ixl$ whois  217.169.121.198
inetnum:      217.169.121.192 - 217.169.121.255
netname:      wbs-ti-cw
descr:        Telecom Italia Server Farm Web Servers
<...>
Quindi da qui par essere genuino; controlla che date risolva allo stesso
modo (esempio, ping 
www.aliceposta.it
 dovrebbe darti l'ip di cui sopra).
hai configurato IE con server proxy? probabilmente si'...
Tutto quanto sopra mi farebbe pensare che si tratti di un server
"genuino", nessun tipo di attacco MiM o tentativo di hijaking... certo
potresti contattare il loro help desk e farti dissipare ogni dubbio...
-- 
HappyCactus - Linux User #209744 - 
http://pngstego.sourceforge.net
 
 
www.google.com
 - 
groups.google.com
- Per Berlusconi un'affascinante sfida quella dell'Europa   -
- Gli si apre tutto un altro mondo da insultare (ellekappa) -

 ha scritto nel messaggio
news:bfot38$g7oiu$1...@ID-180886.news.uni-berlin.de...

Scusa ObiWan ma tu tutti sti link come ce li hai organizzati ? io
solitamente non trovo mai il bookmark che cerco...
dicci come fai suvvia  :-)
NB. se usi il filtro anti tutto non ci umiliare.
ha, e mentre fai il caffe' non e' che hai un link per un prg che mi faccia
generare delle trame eth con il controllo delle opzioni ? che non centra
niente col tread ma lo sto' cercando da qualche giorno inutilmente
grazie ne!

 trame eth con il controllo delle opzioni ?
Sorry, sono in pausa caffè :-) !
PS: per iniziare a beccare qualche link puoi
anche fare un salto su 
http://lists.gpick.com
scorrendo in basso, troverai un link relativo
al "bookmark file", salva il file ed importalo
nei preferiti del browser poi divertiti a vedere
come è organizzato. In ogni caso questo non
esclude il sito di cui sopra .. RTFM :-) !!


 esclude il sito di cui sopra .. RTFM :-) !!
Interessante, grazie

 Interessante, grazie
Beh.. credo che l'altro sito sia *MOLTO* piů
interessante 
http://www.searchlore.org/
 se
ci dai un'occhiata a fondo scoprirai che č
molto di piů di quello che sembra ;-) !!!!
Ciao


 e non c'e` dunque pericolo.
si anchio ho fatto la stessa cosa, e questo mi ha fatto vedere una cosa, e
cioe' che non c'e' miglior hacker del tuo provider, quindi inutile stare li
a menarsela con proxy e cose varie, scassinate gli uffici del provider o del
nodo internazionale a cui fa riferimento il server che volete colpire e
tutto sara' un gioco da ragazzi... :))))

 tutto sara' un gioco da ragazzi... :))))
Mi viene un dubbio... Alice l'avete configurata a manina, o con la
loro installazione automatica?
Ho Alice anch'io, ma non mi è successo assolutamente niente.
-- 
Bye by V.

 fare con il cambiamento. O mi sto sbagliando?
Beh, magari la tua configurazione usa il proxy di alice, mentre
quella di vipera no...


 quella di vipera no...
non e' cosi, e penso capitera a molti altri come gia sta succedendo, quando
effettuate il login della connessione adsl, vi porta ad alice con i problemi
che vi accorgerete, quegli idioti della telecom operano dalla centrale per
farvi obbligatoriamente schedare dal server di alice e farvi scaricare il
programmino per fare acquisti..., nessun proxy configurato, te lo fanno loro
dalla centrale ecco perche' la cosa viola la privacy, il contratto, e il
proprio domicilio informatico;
cmq al 187 mi hanno detto che stanno provvedendo..ma...

 farvi obbligatoriamente schedare dal server di alice 
oddio, e mo'?
HappyCactus che se non lo sapevi, sottoscrivendo il contratto ti hanno
_gia'_ schedato...


 oddio, e mo'?
In realtà sembra che alice abbia scelto la stessa politica di wind: redirect
automatico e forzato per qualsiasi prima connessione alla pagina che
vogliono loro. C'è l'articolo su punto-informatico di oggi.
Ciao
Duck

 quella di vipera no...
mi inserisco con il commento di un utOnto
e se sparo delle castronerie ... perdonatemi :o!
è possibile avere una connessione diretta alla rete andando a giocare in
"amministrazione utenti" di aliceposta.
si elimina il passaggio dalla casadialice e via di ..... google diretto!
ps: utilizzando netscape/opera con server proxy   la navigazione è senza
problemi e senza 
aliceposta.it
 ;o)
la palla ora agli esperti
saluti
gia'

 per usenet...
Beh, io l'ho saputo da lě, visto che fortunatamente tiscali non fa ancora
nulla (anche se non so per quanto). Poi su come funzioni la cosa, mi
piacerebbe saperne di piů.
Ciao
Duck

piacerebbe saperne di più.
Da quello che ho potuto capire, funziona cosi`: la prima connessione
HTTP che viene intercettata viene hijackata, non a layer 7 ma a layer 4
(TCP), in sostanza si ricevono dei pacchetti TCP spoofati contenenti
HTTP, ed i dati non sono altro che un header Location:
http://server.di.alice/etc/
.
Sto discutendo anche con svariate persone della legalita` di tutto
questo, soprattutto per quanto riguarda l'hijacking e lo spoofing.
Sarebbe bello anche un parere dal ng.
Ciao.
-- 
Once upon a time, men where men, and they fucked. Today
they're nerds, and they write their own device drivers.

 Sarebbe bello anche un parere dal ng.
SE fosse vero, sarebbe illegale (intercettazione illecita di
comunicazioni), probabilmente. 
Ma vero non e'.
Quel che ti concedo, e' che il provider forzi la connessione attraverso
un proprio proxy, magari trasparente. questo si' e' possibile; Per la
verifica consiglio il confronto tra un traceroute standard, uno icmp,
uno tcp su http e uno su una porta non http.


 senza problemi e senza 
aliceposta.it
 ;o)
c.v.d.


uno tcp su http e uno su una porta non http.
Il mio mpd e` su da prima che iniziasse questa storia, non lo stacco di
certo adesso .. ;).


c.v.d.
"Rileva automaticamente impostazioni del browser"?
Sarebbe un'altra via interessante :).


La cosa che mi lascia perplesso e' comunque l'utilitita' di tale giro.
Lo hai detto tu stesso .. serve per poter "fregare" qualsiasi stack
tcp/ip. Pero` se dalla regia dicono che con Opera il giochetto non
funziona vuol dire che almeno telecom usa porcherie di IE per poter fare
i suoi comodi.
Di wind invece ne sono venuto a conoscenza da un paio di amici, i quali
non usano IE e windows in generale. Ergo doveva trattarsi per forza di
qualcosa piu` a basso livello :).


 forza di qualcosa piu` a basso livello :).
No: e' sufficiente che tutto il traffico http sia
obbligatoriamente routato attraverso il loro proxy. Senza bisogno di
spuffare alcunche'.


 Ma vero non e'.
Illegale ?!? Hah ... 
http://www.rsf.org/rubrique.php3?id_rubrique=378
scarica il PDF e prenditi un'attimo di tempo per leggerlo, poi mi
saprai dire cosa/come è illegale o no .. e se esiste la privacy !


 saprai dire cosa/come è illegale o no
Mi pare che in Italia un PM passi dei guai se non opera secondo la legge
(abuso d'ufficio, tema quanto mai d'attualita').
O tu sei uno di quelli che credono nei complotti
catto-comunisti-clerico-fascisti, agli elicotteri neri e a tutto il
resto?


 resto?
Naah - lascia perdere quel thread su "abuse" ... :-)
in ogni caso, considera che una cosa è "dirle" certe
cose ed un'altra "metterle in pratica", dai retta, se hai
qualche minuto, dai una scorsa a quel PDF ...

 elicotteri neri e a tutto il resto?
 
Se vuoi ti passo l'email di un mio """"amico""""" che giura di essere
stato inseguito dai MIB
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	Il paese da dove veniva non era un paese di geni.
	Loro lo chiamavano computer umano perchè sapeva contare fino a 20.
	Nudo fino a 21

> Non sequitur.
De gustibus ... :-)

> qualche minuto, dai una scorsa a quel PDF ...
<quote - dal PDF - "Italy">
After the 11 September attacks, government efforts to reform the country’s
intelligence services and fight cybercrime led to a substantial increase in
monitoring of the Internet.
The government pushed through parliament at the end of 2001 a reform of the
national intelligence services, which allowed the civil (SISDE) and military
(SISMI) secret services, as well as the carabinieri and the regular police,
to install
phone and electronic taps simply with permission from the state prosecutor.
The inherent secrecy of these special services hides the exact nature of the
surveillance,
but privacy and confidentiality protection organisations have strongly
criticised the measure.
Italy, which held the presidency of the informal G8 group of countries at
the time of
the 11 September attacks, also laid the first stone, in a government
statement on 19
September 2001, of a policy of “fighting Internet and high tech crimes.”
This led to
strengthening the powers, resources and activities of the G8 group.
Experts at the June 2002 G8 meeting in Canada of eight heads of government
said
the G8 network of originally 16 (now 26) countries enables speedy
cooperation
between international police forces when urgent response is required to high
tech
crimes, including e-mail messages between terrorists and other criminals.
The G8 meeting noted that legal experts and police had developed ways to
detect the
origin, destination and routing of terrorist and criminal messages on the
Internet,
ways to get electronic proof of it and to ensure retention of such evidence
so that it
was not deleted or altered.
Internet freedom organisations have especially protested about the
controversial
amendment of the European Directive on Protection of Telecommunications Data
and
Information (see section on the European institutions) approved on 30 May
2002 and
authorising member-states to retain phone and Internet connection records
(traffic logs).
</quote>
Ciao

 uno tcp su http e uno su una porta non http.
Secondo me e' cosi': perche' complicarsi la vita con lo spoofing se
basta redirigere? Tutto quel che passa per l'80/tcp viene rediretto
a un proxy trasparente che in qualche modo verifica che l'utente (a
fronte del CALLER-ID?) abbia gia' compilato i form di iscrizione, e
se non lo ha fatto redirige tutte le richieste ad un server locale,
trascurando o riscrivendo il campo Host del'header HTTP. 
Un'altra possibilita' e' che sfruttino i sistemi di autorilevazione
del proxy di internet explorer. Questo giustificherebbe i casi come
quello in cui con altri browser il giochetto non funziona.
Con i test che sugegrisci dovrebbe essere quetsione di pochi minuti
scoprire come funziona la cosa.
Fabio
[1] E' cosi' che funziona all'occhio dell'utente, giusto?

 i suoi comodi.
Ma non funzionava anche su mozilla?
Duck
** Articolo inviato tramite i servizi gratuiti di 
www.x-privat.org
 **

 fronte del CALLER-ID?)
Propenderei per questa ipotesi.
Ancora pero' non ne capisco l'utilita' (l'autenticazione per il
collegamento e' gia' effettuata, il caller id lo hanno... cui prodest?)


 collegamento e' gia' effettuata, il caller id lo hanno... cui prodest?)
Io non ho mai visto in azione 'sta cosa, ma da quel poco che ho letto
a proposito (molto poco e con altrettanta poca attenzione) m'e' parso
di capire che sulla pagina incriminata ci sia 1) un form d'iscrizione
a qualche oscuro ed inutile servizio di alice (la casa di alice? boh)
e 2) banner pubblicitari, che traggono certo vantaggio dall'aumentato
numero degli hit. Mi pare d'aver capito che dopo un po' tutto torna a
essere normale, facendomi pensare che la redirezione sia condizionata
da qualcosa (per questo avevo supposto i CALLER-ID: se un utente c'e'
gia' stato allora non gli viene ripresentata la pagina). Ma, a questo
punto, la sfera di cristallo si sta pericolosamente surriscaldando ed
e' meglio che la smetta.
Rimane anche il dubbio legato al software che "bisogna" scaricare dal
sito: che cosa e'? Anche lo scaricamento del software potrebbe essere
uno dei motivi della redirezione forzata.
Fabio

 Fabio
ciao
-- 
boydon
________________________________________________________________________
I soldi non fanno la felicita', dicono.  Senza dubbio stanno parlando
dei soldi degli altri.
                -- Sacha Guitry
________________________________________________________________________

 e non ho questo problema (ho ADSL con 
tin.it
)
IDEM, ma se Telecom sniffa, dovrebbe vedere pure me e te che siamo on-line
con gli stessi DNS, o no?
Per intervenire anch'io a sproposito... a dire la veritŕ io stavo pensando
ad una specie di "supercookie" che magari viene installato se anziché dare
a mano la configurazione al router, si utilizza il "cd di installazione".
Sarebbe niente di strano, tipo il fatto che ogni tanto la Microsoft, senza
variare nulla, vai ad aprire IE e, toh... perchč se ne va su MSN?
Oppure tipo il fatto che, se si usano le installazioni customizzate (direi
sponsorizzate) di alcune riviste o provider IE ha sempre qualche "feature"
particolare, anche solo un'iconcina che gira diversa dalle altre oppure le
impostazioni diverse dal solito.
Oppure tipo le comunicazioni di Media Player con la mamma.
Io *ho* Alice, eppure non ho mai visto aprirsi pagine strane, perň io *non
ho* usato nessun cd di installazione, ho fatto l'abbonamento per telefono,
e ho inserito a mano i parametri.
E inoltre per individuare esattamente quale sia il target di sto giochino,
bisognerebbe sapere *esattamente*, quali siano i router utilizzati (di che
marca e modello, se di proprietŕ o in comodato, non dimentichiamo che se i
router sono in comodato č la Telecom a "gestirli"), quale sia il contratto
(256, 640, mega, flat, a consumo...), e a questo punto, secondo me ci sono
troppe variabili.
-- 
Bye by V.

 consumo...), e a questo punto, secondo me ci sono troppe variabili.
e soprattutto stiamo andando a intuito, se avessimo il problema anche
noi potremo provare a sniffarci il nostro traffico e capirci un po' di
più
ciao
-- 
boydon
________________________________________________________________________
Ogni quattro secondi una donna ha un bambino.  Il nostro problema e'
trovare questa donna e fermarla.
________________________________________________________________________

 se però provano a cambiare DNS usando quelli di un altro provider, il
host 
www.google.it
 212.216.112.112
e ti togli la curiosita'.
A me risolve correttamente. Se qualcuno con alicecasa potesse fare la
prova...
A rigore, dato che i dns di telecom sono, appunto, di telecom, non hanno
bisogno di sniffare, ma semplicemente di riconfigurarli.
Oh, giusto per la precisione.


 Oh, giusto per la precisione.
figurati
ciao
-- 
boydon
________________________________________________________________________
Se tutto sembra venirti incontro, probabilmente sei nella corsia
sbagliata.
________________________________________________________________________

 utonto, ma meno di altri, a quanto pare. ;)
qle onore , grazie :o)
me la metto in firma!
già
-- 
il mitico HappyCactus mi ha definito:


 (e infatti cambiando i DNS il giochino salta)
E cio' mi fa pensare che il meccanismo sia differente (perche' sniffare
solo le richieste all'ip telecom e non tutte quelle dirette alla
53/udp?)


 "utonto, ma meno di altri, a quanto pare. ;)"
ROFL. sii serio, dai


 alla 53/udp?)
forse sniffano solo quelle dei loro DNS (che sono roba loro), diverso
sarebbe sniffare traffico di DNS di altri ISP
ma allora secondo te come fanno?
non ho capito bene la storia del proxy di cui dicevi...
ciao
-- 
boydon
________________________________________________________________________
5° Corollario alla Legge di Murphy:
        Lasciate a se stesse, le cose tendono a andare di male in peggio
________________________________________________________________________