Newsgroup: it.comp.sicurezza.varie
Titolo: I DNS saltano

In questi giorni si sta verificando uno strano fenomeno. All'avvio del
browser( qualsiasi) non si riesce a navigare e il risultato è una pagina
bianca con avviso di controllare se è tutto è a posto, se si usa un
proxy etc.
 
Ieri mattina è capitato anche a me. Avevo urgenza di aprire un sito dove
era stato pubblicato un mio lavoro e non riuscivo ad entrarci né dal
fisso né dal portatile.
Dopo una passata di vari antimalware(senza esito) mi è venuto in mente
di rifare tutta la configurazione del Router.
 
Prima di mettervi mano però mi sono ricordato di avere un programmino
che cambia i dns con un semplice clic e ne mette alcuni conosciuti come
assolutamente sicuri e antispam...
 
Essi vengono consigliati anche per la protezione del bambini da
navigazioni "particolari".. ed *escludono* il collegamento a siti
catalogati come pericolosi.
 
Non avendoli mai usati avevo qualche perplessità, specie dopo avere
controllato che i primi due sono della Symantec.... (certo che è stata
troppo vituperata nel tempo ma qualche cosa di buono l'ha fatta)..
 
Ebbene faccio il flushdns, carico questo programmino e clicco sul tasto
indicato... riavvio il PC e il router ed ecco che riparte tutto alla grande.
Al controllo con ipconfig vedo che i dns sono stati cambiati........con
un solo clic
 
Nel pomeriggio mi chiamano due miei amici con lo stesso problema e
risolvo tutto in un baleno.
Ma che sta succedendo? Escludo che si tratti del provider di servizi
perché io sono con Infostrada ma gli altri sono con Telecom.
 Se a qualcuno può interessare darò il link al programmino usato

Rispondo qui sotto a effegi

Mah....può anche essere questo (primo link che ho trovato)
 
http://danielezecca.com/porta-tcp-32764-vulnerabilita-di-connessione-remota-attivita-in-gran-silenzio-suoi-router/
 
 
In pratica molti router che utilizzano tecnologia SerComm hanno una 
backdoor sulla porta 32764: chiunque bussi su quella porta ottiene 
l'accesso al router con diritti di amministratore senza che gli venga 
chiesto alcuna password e tramite questo mezzo cambiare i DNS senza che 
tu te ne accorga, mettendo DNS criminali al loro posto.
 
Netgear ha fatto la cosa più stupida, cioè ha fatto per pochi modelli 
una patch che simula una correzione e invece non fa una beata fava.
Altri non hanno fatto proprio nulla.
Pochi hanno corretto.
 
Io ho fatto un port forwarding della porta 32764 verso un IP della LAN 
che non uso, ma credo che non serva di fatto a nulla...
 
Penso che l'unica sia un router che accetti il DD-Wrt...sempre che 
qualcuno abbia guardato dentro ai sorgenti e possa dire che va tutto 
bene...
 
http://www.dd-wrt.com/site/index
 
 
 

 tu te ne accorga, mettendo DNS criminali al loro posto.
 
Problema facilmente eliminabile + aggiunta di un tocco di sicurezze in piú,
grazie al bellissimo lavoro di Eloi Vanderbeken.
Vedi per cominciare:  
http://www.zeusnews.it/n.php?c=20340
 
Io conoscevo la backdoor da diversi anni, e pure il supporto linksys, visto che
lo scopo di quella porta aperta era stato chiesto, senza aver risposta, al
supporto clienti parecchi anni fa, ma non ero mai riuscito a capire come
sfruttarla.
Eloi Vanderbeken ne é uscito con una ricerca veramente ottima, e con un
programmillo in python[1], che utilizzato in locale, permette tramite una
specie di telnet di fare delle cosine simpatiche, sopratutto il togliere dalle
palle in modo definitivo la backdoor (almeno fino al prossimo riavvio del
router).
 
[1] Roba per pinguini.
 
-- 
+-------------------------------------------------------------------------+
|          "Qualunque cosa tu stia cercando su internet,                  |
|          ci sara' almeno un sito porno che rispondera'                  |
|          ai tuoi criteri."                                              |
+-----#46--------------------Diamanti di saggezza.------------------------+

 backdoor sulla porta 32764: 
 
Ma io uso quel Router da 11 anni circa e non ha mai dato alcun fastidio.
Perché dovrebbe cominciare solo ora e come e dove può essere stato
infettato?
 
Infine se io cambio i DNS con quelli  che scartano a priori connessioni
"pericolose" o "in Black LIst" posso stare sicuro o corro pericoli lo
stesso?
 
Infine: Conviene configurare come fissi quei DNS o lasciare avviato  il
DHCP?
 
 

 
(*) PER *QUEL* ROUTER non intendevo SerComm.. Io ho un U.S. Robotics....

 Robotics....
 
SerComm NON E' LA MARCA DEL ROUTER :P !! Almeno leggi i links che
vengono postati.
 



giusto come nota aggiuntiva
 
https://wikidevi.com/wiki/TCP-32764
 
 
https://wikidevi.com/wiki/USRobotics_USR5436
 
 
notare che il modello USR5436 è prodotto, guarda caso, proprio da
SerComm :P
 
 
 

 DHCP?
 
Stai facendo confusione: DHCP é una cosa (assegnamento automatico degli ip
interni alla tua rete), il DNS é l'elenco telefonico per farti telefonare.
 
 
-- 
+-------------------------------------------------------------------------+
|   Scusate - ci sono due tizi in nero che suonano alla porta da cinque   |
|   minuti, vado a sentire cosa vogliono.                                 |
|   Leonardo                                                              |
+-----#48--------------------Diamanti di saggezza.------------------------+

 
 Io ho il 9108.... CMQ
 Non sapevo che vengono prodotti da SerComm...
 

 
 Beh si forse l'ho fatta ma il Computer va bene e i DNS attuali funzionano.
Il portscan lo farò domani e ti saprò dire.
 
I dns che ho messo sono quelli di Symantec... c'è scritto che tengono
presente di non far collegare siti pericolosi... perché li mettono in
blacklist.
BoH,.....

 blacklist.
 
Esatto, ti impediscono di collegarti _TU_ a siti pericolosi.
Ma i siti pericolosi si possono connettere a te come e quando vogliono!


 
 E come fanno se io non li vado a cercare e sono protetto da Antivirus
,navigazione web,firewall e hips.....
 
Solo per sapere eh?

 Guarda se il tuo é tra questi, oppure, fai il test con un banale port-scan.
 
Io conosco ShieldsUp! 
https://www.grc.com/
 

effegi in data 08:22, sabato 14 marzo 2015, nel gruppo it.comp.sicurezza.varie
ha scritto:

Lasciamo perdere[1]!
 
[1]     Se Maometto non va alla montagna, la montagna va a Maometto.
        Internet non é a senso unico.
 
-- 
+---------------------------------------------------------------------------+
|  Negli ultimi 3 mesi, 25 tamponamenti per leggere questo cartello.        |
|  Guarda avanti, idiota!                                                   |
+-----#2---------------------Campagna contro le pubblicita` idiote.---------+

 
 Beh si, è meglio..
 
Io mi sono trovato con questo problema una sola volta in 15 anni. L'ho
risolto dopo dieci minuti cambiando i DNS.
Funziona tutto alla grande.
Volevo solo sapere cosa può incidere su questa problematica e sono stato
 coinvolto in una discussione inutile.
 Come al solito i N.G. diventano sempre più fonte di problemi invece che
di aiuto.
Se non avessi fatto confusione fra dns e Ip  non avrei avuto bisogno di
chiedere una spiegazione semplice e chiara.
Capita a tutti di non sapere qualcosa ma L'UMILTA' E' CHIEDERE NON
AGGREDIRE CHI CHIEDE...
 
Lo so che c'è Google e infatti io uso quello DI SOLITO..
Questa volta volevo semplificare e mi aspettato 3 righe di spiegazione e
non una serie di palesi o criptati inviti ad arrangiarmi.
Grazie e la chiudo qui cancellandomi da questo N.G.
Non rispondete tanto NON leggerò
 
 



non tutti; comunque il fatto è che alcuni modelli di alcune marche
vengono prodotti da serComm e questi modelli presentano la backdoor
 
 

 di rifare tutta la configurazione del Router.
 
Qualche relazione con questo?
 
http://www.independent.co.uk/life-style/gadgets-and-tech/news/uks-nuclear-weapons-data-and-other-sensitive-internet-traffic-accidentally-sent-through-ukraine-10107168.html
 
 
Non sei l'unico ad avere notato cose strane nei giorni scorsi.

 certezza se un dato router sia vulnerabile o meno.
 
Purtroppo il link a
 
http://www.router-backdoor.de/?lang=en
 
 
riportato nel link di ghacks non funziona, il sito non è contattabile.
 
Un test con telnet sembra dire, dopo regola nel firewall, che nel mio 
router la porta è bloccata.
 
Già mesi fa ho provato Amod sul mio Netgear: una meraviglia, da 
provare.
Semmai, anche troppe opzioni tra cui è difficile districarsi.
Ma mi sono ripromesso di testarlo ancora.