Newsgroup: it.comp.sicurezza.varie
Titolo: Aiutatemi a capire

Innanzi tutto un saluto al N.G.
Nella speranza che qualcuno sia in "ascolto", chiedo alla Vostra competenza
di chiarirmi quanto successo.
Premessa
Sono un frequentatore di chat su 
msn.com
 e da qualche tempo qualche
personaggio "strano" appare nella room che abitualmente frequento. Ho @guard
sempre inserito ed uso The Cleaner aggiornato.
Il pomeriggio di oggi 6 agosto ero in chat e trovo tre tipi "loschi" che di
li a poco tentano di affondare la room con e per i soliti giochini. Sembra
tutto ok sino a quando la sera stessa, prima di connettermi controllo i log
di @guard e trovo il seguente:
UNO DEI TANTI ATTACCHI
Rule "Implicit block rule" blocked (
irc.msn.com
,ircu-2).  Details:
Outbound TCP connection
Local address,service is (0.0.0.0,1268)
Remote address,service is (
irc.msn.com
,ircu-2)
Process name is "D:\VENO[M]\PROGS\FLOOD.EXE"
IL SUCCESSIVO LOG
This one time, the user has chosen to "permit" communications.  Details:
Outbound TCP connection
Remote address,service is (
irc.msn.com
,ircu-2)
Process name is "D:\VENO[M]\PROGS\FLOOD.EXE"
ED INFINE
This one time, the user has chosen to "permit" communications.  Details:
Outbound TCP connection
Remote address,service is (212.102.33.131,NetBus)
Process name is "ð¢ Éð¢ É"
La cosa Strana è che io NON ho permesso niente!!!
Morale.
Lancio The Cleaner e NON rileva niente, mentre il Virus Scanner di Veno[M]
lo script che uso mi dice che sono infetto da Trojan net-bus......
Lancio un netsat -a dal prompt per vedere le connessioni e ieri sera mi
trovo la seguente, con questo DAL-FOH ed un numero IP mai visto prima:
 Proto   Indirizzo locale              Indirizzo remoto         Stato
 TCP    mio_nome:1085           mio_nome:0              LISTENING
 TCP    mio_nome:1098           mio_nome:0              LISTENING
 TCP    mio_nome:1104           mio_nome:0              LISTENING
 TCP    mio_nome:1085           
207.46.216.26:6667
 ESTABLISHED
 TCP    mio_nome:1098           DAL-FOH:1080       ESTABLISHED
 TCP    mio_nome:1104           DAL-FOH:1080       ESTABLISHED
 TCP    mio_nome:137             mio_nome:0               LISTENING
 TCP    mio_nome:138             mio_nome:0               LISTENING
 TCP    mio_nome:nbsession     mio_nome:0               LISTENING
 UDP    mio_nome:nbname       *:*
 UDP    mio_nome:nbdatagram *:*
( Ne ho un altro identico con i numeri di porte diverse fatto qualche minuto
dopo)
Mentre sono in linea e faccio un netstat @guard mi segnala quanto segue:
This one time, the user has chosen to "block" communications.  Details:
Inbound UDP packet
Local address,service is (mio_nome,1680)
Remote address,service is (151.29.192.119,1680)
Process name is "N/A"
Mi disconnetto dalla rete ed alla nuova connessione  mi ritrovo questo:
Proto Indirizzo locale          Indirizzo remoto        Stato
TCP   mio_nome:12345      mio_nome:0              LISTENING
TCP   mio_nome:1236        mio_nome:0              LISTENING
TCP   mio_nome:7011        
Line-C6.sinet.it:1264
 TIME_WAIT
TCP   mio_nome:137          mio_nome:0              LISTENING
TCP   mio_nome:138          mio_nome:0              LISTENING
TCP   mio_nome:nbsession  mio_nome:0              LISTENING
TCP   mio_nome:1236        DEDALE:1080         ESTABLISHED
UDP   mio_nome:nbname    *:*
UDP   mio_nome:nbdatagram  *:*
(Ne ho un altro fatto con qualche minuto di differenza e mi riporta :
anzichè SINET ecc.ecc. " 
al1-97.dialup.tiscalinet.it
 : 12345 SYN-SENT"
Prima di chiudere il collegamento, ho rifatto un netstat e mi ritrovo l'IP
di cui sopra!?!?!?!?
Ho fatto le prove chiudendo Veno[m], outloock, @guard ed ogni altra cosa che
stavo usando e lanciando vari netstat, l'Ip non scompariva
Ma ce l'ho o non ce l'ho sto ben..maledetto NETBUS??
Ringrazio anticipatamente colui/coloro che si prodigheranno in una risposta
e mi scuso da ora se ho rubato banda inutilmente.
Grazie
magicflow

 Ma ce l'ho o non ce l'ho sto ben..maledetto NETBUS??
Sembra di si.
--
Valerio Granato - 
val...@grana.to
FOR KeyMaster - i2000 Usenet Hierarchy
Maggiori informazioni sulla gerarchia i2000?
http://www.i2000.usenet.it
 - 
in...@i2000.usenet.it

 a meno che non sia un prog che finge, appunto non avviare nulla.
Ho fatto come mi hai detto e senza connessione, netstat č completamente
muto..., appena attivo venom mi ritrovo questi dati nella colonna INDIRIZZO
REMOTO:
ore 23.00   Domino-research.it
ore 23.17   
ns.1tky.tokyo.ksakai.co.jp
         +      213.45.245.214   :
12345 SYN_SENT
ore 23.19   stesso indirizzo                           +     212.171.198.242
: 12345 SYN_SENT
ore   0.19   INET :12345  SYN_SENT       +      INET : 1080 ESTABLISHED
ore   0.10   INET : 1080 ESTABLISHED   +      INET :  1080 TIME_WAIT
                  +    
h.213-213-24-179.RM.albacom.net
 :12345 SYN_SENT
ore  0.17    WWW :1080 ESTABLISHED  +      INET : ESTABLISHED.
Di piů non so!
Grazie per l'attenzione.
magicflow

 Ringrazio anticipatamente colui/coloro che si prodigheranno in una
risposta
tranqui non hai un bel niente!!!!  cmq togli quella robbaccia ti mette solo
paura!!  ;))

Ma ce l'ho o non ce l'ho sto ben..maledetto NETBUS??
Be', il client ce l'hai di sicuro 8-D
Leonardo
".signature": bad command or file name

 Process name is "D:\VENO[M]\PROGS\FLOOD.EXE"
Non fare il lamer, ce ne sono gia' abbastanza... ;-)
--
Col. John "Hannibal" Smith
<< I love it when a plan comes together >>

> Non fare il lamer, ce ne sono gia' abbastanza... ;-)
L'ultima cosa che vorrei fare.
Comunque grazie per l'interessamento, questa esperienza mi ha insegnato un
paio di cose.
La più importante? NON farmi mai più settare dei programmi da chi PENSA di
esserne all'altezza!!!!
Ciao e grazie a tutti!
magicflow

 magicflow
Ciao. :-)
