Newsgroup: it.comp.sicurezza.varie
Titolo: serio problema di intrusioni

Ho a che fare con una piccola LAN di 4 pc fissi, cui ogni tanto si
collega qualche portatile, essenzialmente per navigare in internet.
Da un pò di tempo nei 3 pc separati dal quarto si verificavano strani
fenomeni tipo apertura del cassetto cd-rom, lancio di skandisk o
esplora risorse, apparizione di alcune finestrelle con sberleffi in
inglese e cose del genere.
Ctrl+Alt+Canc non mostra nessun programma strano in esecuzione, il mio
antivirus aggiornato (Norman virus control) non trova niente così come
Ad-aware. Col netstat trovo attiva una connessione LAN, ed è strano a
meno che non si colleghi in automatico.
Di recente ho installato Zone Alarm su un pc e ho messo password di
scrittura/lettura sugli altri e non ci sono stati altri casi, tuttavia
Zone Alarm segnala ogni tanto un tentativo di intrusione dal Netbios e
infatti l'IP che mostra è uguale a quello delle altre macchine a parte
l'ultima cifra.
Sono sempre stato attento a queste cose ma sapevo che per fare quanto
ho descritto sopra si doveva avere installato una backdoor sul proprio
computer ma non la trovo!!!
Sapete suggerirmi qualcosa per risolvere il problema?
Grazie a chiunque saprà essermi di aiuto.
-- 
Do you Iahoo ? No, I Yahoo !

 Grazie a chiunque saprà essermi di aiuto.
BO??
Conferme, please..
Ciao,
-- 
      Ermanno Polli   (INFN-LNF)
    user:      hostname:  subdomain:  domain:  country:
ermanno.polli    N/A        lnf         infn     it

Conferme, please..
Grazie per avermi risposto. Ho cercato in rete notizie su Back Orifice
e sebbene fa esattamente quello che ho descritto non occupa la porta
che disolito dovrebbe occupare.
A parte questo ho scaricato due o tre utility che promettono di
analizzare il pc e rimuovere BO ma non hanno trovato niente.
Penso decisamente che sia una backdoor e credo sia stata scaricata su
un pc e poi via rete LAN si è diffusa agli altri, però non trovo il
server o applicazioni installate da poter rimuovere! Per questo ho
chiesto aiuto!


 chiesto aiuto!
Il server e' senz'altro sulla macchina che ha il cd che si apre.
Mettere ivi uno sniffer potrebbe essere una buona idea.
Controllare le applicazioni che partono all'avvio e' un'altra buona idea
(se e' un win9x, msconfig, altrimenti da pannello di controllo, i
servizi).
Non e' detto che si tratti necessariamente di BO (anzi, ne
esistono centinaia, potrebbe essere netbus, ad esempio). 
Se poi si tratta di una intrusione, prenderei in considerazione di
sporgere querela. Se si tratta di un dipendente, anche solo far
aleggiare l'idea in azienda potrebbe servire (FUD o comunque social
engineering).
-- 
HappyCactus - Linux User #209744 - 
http://pngstego.sourceforge.net
 
 
www.google.com
 - 
groups.google.com
/* Ci sono 10 categorie di persone al mondo: quelle che capiscono */
/* il sistema binario e quelle che non lo capiscono.              */

 esistono centinaia, potrebbe essere netbus, ad esempio).
Potrebbe essere anche BO, ma con la porta cambiata...
Bye, G.

servizi).
Win98 e vai col msconfig però questo è un mondo tutto nuovo per me, al
massimo mi son spinto a guardare dentro win.ini system.ini e una
sbirciata col regedit.
Spero non ti dispiccia se ti chiedo una veloce interpretazione del tab
Esecuzione automatica del msconfig.
Le voci che mi insospettiscono di più sono:
WindowsMGM dalla cartella windows: winmgm32.exe (2 volte)
una riga vuota selezionata (questa mi sembra strana ma magari è un
vecchio programma no?)
LoadPowerProfile una dll lanciata da Rundll32
LoadQM  omonimo .exe
RFX_auto_upgrade
Hindustran    dalla cartella Temp file MSMSGS.exe
Grazie, da parte mia, cercherò maggiori informazioni su questi temi.


 Hindustran    dalla cartella Temp file MSMSGS.exe
Nessun file ha ragione di essere eseguito dalla directory temp,
probabilmebnte questa e' cacca, toglila.
Buon lavoro.
xpost e f/up come detto.
