Newsgroup: it.comp.sicurezza.varie
Titolo: ALERTA, ALERTA, ALERTA

per utenti/administratori windows 95, windows NT
se leggete l'inglese andate da: 
http://Lisa.engelska.se/winnuke/
altrimenti tento di riasumere in poche righe il contenuto:
V'e' un "sistema" per mettere KO da internet macchine che girano win95 e
windows NT.
esso usa una porta NetBIOS per mettere KO il sistema.
Per evitare di essere Atacati bisogna disabilitare i servizi WINS per
TCP/IP.
In 95:
1. andare in Pannello di Controllo -> Rete
2. Andare in Proprieta' e clickare su bindings
3. deselezionare "Cliente per reti Microsoft ", clickare su OK
4. Riavviare.
In NT:
1. andare in Panello di Controllo -> Rete -> bindings e sceglire gli
adatatori.
2. Localizzare il Binding ai servizi WINS e disabilitarlo.
3. riavviare.
Se queste soluzioni non sono viabili per voi altre vi sono nel website
sopra indicato.
Al momento sto traducendo all'italiano sudetta documentazione che vi si
trovera' in:
http://www.concentric.net/~lontanon/winnuke
-- 
LEGAL NOTICE:
THE ABOVE INFORMATION IS PROVIDED "AS IS" WITHOUT WARRANTY OF
ANY KIND. IN NO EVENT SHALL THE AUTHOR BE LIABLE FOR ANY DAMAGES
WHATSOEVER INCLUDING DIRECT, INDIRECT, INCIDENTAL, CONSEQUENTIAL,
LOSS OF BUSINESS PROFITS, OR SPECIAL DAMAGES, EVEN IF THE AUTHOR
HAS BEEN ADVISED OF THE POSSIBILITY OF SUCH DAMAGES. THE AUTHOR
DOES NOT AUTHORIZE TO APPLY THE ABOVE INFORMATION IN STATES WHERE
THIS DISCLAIMER IS NOT APPLICABLE.
I'm known for been wrong in the past... I may be wrong again.
---
Luis E. Garcia Ontanon
mailto:
L...@Beer.com

windows NT.
 Confermo che funziona. Ho provato in ufficio da me ed e' apparso un schermo
 blu.... :-) Probabilmente ce ne sono molti di bug del genere :P
 Ovviamente chi e' dietro un firewall che filtra la porta 135 & C. non ha nulla
 da temere.
-- 
   ol     Carrer Yuri   Pubblicita': usa \documentstyle{athenaslide}  
   |--	  Tel: 0421/211239 *new*     e non usare Power Point :-)
  000 *** WARNING ***   
http://www.dei.unipd.it/~carrery/
http://www.geocities.com/TheTropics/1797/
 
http://www.alfa.it/
 :) *new!*

Le soluzioni da me fornite in prevvio posting *NON SONO BUONE* allego
quelle contenute nel mio website in:
http://www.concentric.net/~lontanon/winnuke
-------------------
Tutte queste soluzioni, purtroppo, sospendono I servizi
NetBIOS su TCP/IP, il che puo' causare problemmi se siete in
una Rete Loacale (LAN) e usate risorse attraverso dei router, o
se voi amministrate la rete remotamente da casa. Vi sono
soluzioni per entrambi la versione originale di Widows 95, e per
versioni successive . Per vedere la versione che hai tu vai in
Panello di Controllo -> Sistema.
Se usi una LAN con la
versione originale di
Windows 95 (4.00.950
oppure 950a):
  1.Vai in Panello di Controllo -> Rete 
  2.Vai nelle proprieta' di TCP/IP, clicka su bindings 
  3.Deseleziona "Cliente per reti Microsoft", Clicka su OK 
  4.Riavvia 
  5.Prova con il test di vulnerabilita' 
Se ancora vulnerabile: 
Butta via NetBIOS in
windows 95:
Un programma che ratoppa il registry e' stato rilasciato da Chris
M. Qui Los puoi prelevare. Comunque vorrai istallare un hotfix
non appena esso venga pubblicato da Microsoft. Il
"ratoppatore" in se e' basato su un piccolo Hack pubblicato da
Jason Tackaberry, e Aaron Weintraub, che nel caso voglia
portare avvanti da solo devi esseguire la procedura qui sotto: 
  1.vai in C:\WINDOWS\SYSTEM 
  2.Rinomina vnetbios.vxd in vnetbios.dll 
  3.Riavvia 
  4.Prova con il test di A
     HREF="
http://Lisa.engelska.se/cgi-bin/vulncheck.cgi
">
     vulnerabilita' 
Questo provochera' un messaggio d'errore al riavvio, a meno
che tu cancelli tutte le entry nel registry contenenti
"vnetbios.vxd". Comunque cancellare le entry del registry non e'
raccomandato nel caso tu abbia bisogno ancora di netbios (per
ess. appena corretto il problemma) 
Se usate un MoDem con una
versione piu' recente di
Win95 oppure Memphis
(tutto quelle sopra 4.00.950a)
si ringraziano Julian Maytum, Jason Tackaberry, and Phillip
White - per la seguente soluzione: (da MyDesktop) 
  1.cilcka Start -> programmi -> accessori -> accesso
     telefonico1 
  2.Clickare con il tasto sinistro sulla conessione che si usa per
     acedere in rete. 
  3.Clickare con il tasto destro e scegliere proprieta' per la
     stessa conessione 
  4.Scegliere "Tipi di RETE" e guardare "Protocolli usati"1 
  5.Assicurarsi che ne NetBEUI ne IPX siano selezionati 
  6.Chiudere i dialoghi 
  7.Clickare sul Rete (Quella sulla scrivania) con il pulsante
     destro. Doppio Click su TCP/IP -> Adattatore d'acesso
     Remoto1 
  8.Andare su Bindings, e deselezionare "Clienti per reti
     Microsoft" e "Condivisione File" 
  9.Cliccare su la scheda NetBIOS ed assicurarsi che "io
     voglio abilitare NetBIOS su TCP/IP"1 sia deselezionato 
 10.Riavviare il sistema 
 11.Provare con il test di A
     HREF="
http://Lisa.engelska.se/cgi-bin/vulncheck.cgi
">
     vulnerabilita' 
dei binding cosi' di vedere il "Cliente WINS" 
   Selezionare il cliente WINS(TCP/IP) e clickare sul pulsante
"Disabilita" 
   Riavviare il sistema 
Se avete acesso al firewall o al Router:
Logicamente la soluzione e' bloccare il traffico alla porta 139.
1 Non so quale sia il nome nella versione italiana Perfavore
fatemelo sapere 
-------------------
-- 
LEGAL NOTICE:
THE ABOVE INFORMATION IS PROVIDED "AS IS" WITHOUT WARRANTY OF
ANY KIND. IN NO EVENT SHALL THE AUTHOR BE LIABLE FOR ANY DAMAGES
WHATSOEVER INCLUDING DIRECT, INDIRECT, INCIDENTAL, CONSEQUENTIAL,
LOSS OF BUSINESS PROFITS, OR SPECIAL DAMAGES, EVEN IF THE AUTHOR
HAS BEEN ADVISED OF THE POSSIBILITY OF SUCH DAMAGES. THE AUTHOR
DOES NOT AUTHORIZE TO APPLY THE ABOVE INFORMATION IN STATES WHERE
THIS DISCLAIMER IS NOT APPLICABLE.
I'm known for been wrong in the past... I may be wrong again.
---
Luis E. Garcia Ontanon
mailto:
L...@Beer.com
http://www.concentric.net/~lontanon

 
http://www.concentric.net/~lontanon/winnuke
-- 


informazione forse piu' aggiornate sono contenute nel mio website in:
http://www.concentric.net/~lontanon/winnuke
per levare NETBIOS su TCP/IP: (from #Windows95 on Undernet)
Finora il miglior ratoppo che abbia visto, si ringrazia Ken Gorley per
averlo notificato. Questo elimina
soltanto NETBIOS su TCP/IP, Un aproccio molto migliore che eliminare
tutto NetBIOS.Probabilmente
non usi NetBIOS su TCP/IP, ma in rare occasioni forse vi devi accedere
via LAN/WAN, dunque se hai
dei problemmi cambia il nome nuovamente.
  1.Vai in C:\WINDOWS\SYSTEM 
  2.Rinomina vnbt.386 come vnbt.bak 
  3.Riavvia. 
  4.Prova con il test di vulnerabilita' (
http://
http://Lisa.engelska.se/cgi-bin/vulncheck.cgi
 )


Microsoft ha rilasciato un HOTFIX per il problemma con NetBIOS:
per 4.0:
ftp://ftp.microsoft.com/bussys/winnt/winnt-public/fixes/usa/nt351/hotfixes-postSP5/oob-fix/README.TXT
per 3.51:
ftp://ftp.microsoft.com/bussys/winnt/winnt-public/fixes/usa/nt351/hotfixes-postSP5/oob-fix/README.TXT


L...@Beer.com wrote:
 >Microsoft ha rilasciato un HOTFIX per il problemma con NetBIOS:
 >per 4.0:
 >per 3.51:
Noto come windows 95 e windows 3.11 con lo stack tcp/ip di MS continuino
a essere vulnerabili a chiunque si sia dato la pena di compilare il
programma killer (c'e` sia per unix che per windows).
-- 
ciao,			[To reply remove "+nospam" from my address.        ]
Marco			[Per rispondere togli "+nospam" dal mio indirizzo. ]
              * The Internet is full. Go away.  -- Joel Furr *

Il nuke incriminato e' un nuke OOB che attacca la porta 139 provocando
un errore in pppmac.vxd(a me succede cosi' a voi pwnso pure)
La seguente correzione e' stata apportata sul mio pc e funziona,da
quello che so funziona solo con win95.
Aprire il file di registry di win95.
Cercare la seguente cartella :MSTCP la trovate seguendo la sequenza 
HKEY_LOCAL_MACHINE
-System
--CurrentControlSet
---Services
----VxD
-----MSTCP
Con la cartella MSTCP selezionata(quindi la vedete aperta)selezionare
dal menu Modifica......Nuovo .....Stringa...... nominare come
USBUrgent.Verra' creata una voce a destra con tale nome.Cliccare sulla
suddetta voce due volte e inserire il valore 0 (zero)
Fare esci dal registro e riavviare.
Con me funziona,spero serva anche a voi.
Saluti
Cristiano aka [BIGAS on irc (#italia.#amici)
P.S. 
A titolo informativo il nuke incriminato e' liberamente disponibile
sul web(per ovvie ragioni non indico dove si puo' reperire)

USBUrgent.Verra' creata una voce a destra con tale nome.Cliccare sulla
Scusate nominare come BSDUrgent.Valore 0
Cristiano aka [BIGAS on ircnet (#italia,#amici)

 sul web(per ovvie ragioni non indico dove si puo' reperire)
[HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VxD\MSTCP]
"BSDUrgent"="0"
Un file di tipo .reg con il fix gia' pronto lo si puo' trovare in:
http://Lisa.engelska.se/winnuke/oob.zip


 quello che so funziona solo con win95.
Scusate se mi intrometto dato che non ho seguito il thread dall'inizio (il
mio news server ha la memoria corta), ma credo che possa esservi utile
anche l'articolo Q168747 della Knowledge Base della Microsoft
(
http://www.microsoft.com/kb/articles/q168/7/47.htm
).
-- 
Davide Granzotto
gran...@nline.it
http://www.pulsar.it/windows95

(
http://www.microsoft.com/kb/articles/q168/7/47.htm
).
 Toh, peccato che in molti casi sia inutile la patch. Inoltre c'e' un nuovo 
 baco nello stack tcp ip che funziona in ogni porta (la 80 e' quella del web 
 server) :-) 


gran...@nline.it
 wrote:
 >Scusate se mi intrometto dato che non ho seguito il thread dall'inizio (il
 >mio news server ha la memoria corta), ma credo che possa esservi utile
 >anche l'articolo Q168747 della Knowledge Base della Microsoft
NT rimane sempre vulnerabile, e questa volta su qualsiasi porta. Auguri.


 ciao  Mauro
Per quanto ho visto io non si tratta di problemi legati al RAS ma
proprio allo stack TCP-IP di Microsoft... Lo stesso problema si
manifesta su NT (3.51 E 4.0) su Win95 (che di norma ha il TCP-IP)
su macchine 3.11 con installato lo stack TCP-IP di Microsoft ...
Da discussioni lette su una mailing list ho notato che i vari
service-pack non risolvono il problema... Appena avremo installato
qui al dip. di Matematica i vari service pack potro' provare se
il problema permane...
Saluti...
Stefano
Unix System Addomesticator for the Dept. of Math.
and for "Centro Informatico di Ateneo (CIA)"
Politecnico of Milan