Newsgroup: it.comp.sicurezza.varie
Titolo: back orifice 2000

salve a tutti,
ho una domanda da porvi:
come si elimina il server del back orifice 2000?
Ho letto alcuni articoli relativi alla versione precedente
ma sembra che esistano delle differenze.
Infatti nel registro (HKEY_LOCAL_MACHINE\software\microsoft\windows\CurrentVersion\RunServices) non ho notato nulla di sospetto, inoltre alcuni software
(Plus protector, BOdetection) non rilevano alcun Trojan.
Il server e' sicuramente nella mia macchina, poiche' l'ho installato io.
Qualcuno ha idee in proposito?
Grazie in anticipo

 wrote in message 7stnva$n29$1...@nslave1.tin.it...


 usa il client
Vedrò di esplicitare la risposta :-))
Apri il client, ossia il prg di gestione di backorifice. Collegati a te stesso
utilizzando l'indirizzo 127.0.0.1. Una volta collegato lancia il comando Server
Control --> Shutdown Server con il parametro DELETE. Questo comando chiude il
server e ne disattiva l'autoesecuzione allo startup, anche se mi sembra che non
lo elimini completamente, lo mette fuori uso.
Dario Corti
dario...@iol.it
http://dariobrunocorti.freeweb.org
ICQ#: 37438061
--------------------------------------------
Avvio di  Windows 95 in corso...
Error code 103.
1> loadwb
1> endcli

grazie a Dario ma la mia sinteticità non è d'itriana ma semplicemente perchè
non ho mai usato netbus......


Grazie per l'informazione. In effetti non avevo notato che è possibile
rimuovere totalmente il server utilizando il comando shutdown server e
digitando "eradicate".
Ad ogni modo mi piacerebbe sapere dove si insinua nei registri!!!
Che voi sappiate esiste una versione simile al BO che gira su piattaforma Linux?
Il grosso guaio di questo trojan è la sua estrema facilità di utilizzo e quindi
può essere utilizzato dalla maggior parte della gente che non abbia quasi
nessuna cognizione relativa a protocolli e linguaggi di programmazione.

telnet + su (o ssh) fa esattamente quello che dice di voler fare BO.
Ma non credo sia quello che intendevi tu.
-- 
Simone Piccardi
Microsoft is NOT the answer. Microsoft is the Question.
The answer is: "NO!"

 digitando "eradicate".
DELETE


Che voi sappiate esiste una versione simile al BO che gira su piattaforma Linux?
Per il momento non mi sembra
Hound

 local host, non rilevava nulla.
Il server era stato installato con certezza, poichč utilizzando l'indirizzo di
loopback
riuscivo ad aprire la connessione, ma sia nel registro
[HKEY_LOCAL_MACHINE\.......\RunServices] sia nei file di sistema
("UMGR32.EXE"="C:\WINDOWS\SYSTEM\UMGR32.EXE") non compariva assolutamente nulla.
E' possibile che la documentazione valida per il back orifice precedente non sia piů
valida per questa versione (2000)?
Inoltre ho provato con programmi specifici per la rilevazione di questo trojan, ma
senza successo!


Certo che la cosa e' strana......
Nel tuo caso ci troveremmo di fronte ad un server BO completamente
invisibile e non individuabile neppure con un AV aggiornato.
Non sono un esperto, ma, da quello che so, una backdoor del genere,
per funzionare, deve installare nel sistema un eseguibile, magari
mimetizzato (vedi il ".exe" del vecchio BO) ma comunque non
completamente invisibile, che deve essere eseguito all'avvio del PC e
quindi figurare, in qualche modo, in una delle chiavi "Run" del
Registro.
In mancanza, non riesco a capire come il server possa funzionare.....
Forse e' (o sara') possibile realizzare un trojan che, invece di
installare nel sistema un eseguibile, riesca a modificare il codice di
un insospettabile file di sistema preesistente per fargli eseguire le
istruzioni necessarie a trasformare il PC in server, ma non mi sembra
possa essere questo il caso, anche perche' una modifica del genere non
dovrebbe passare inosservata ai moderni AV. 
Hound