Newsgroup: it.comp.sicurezza.varie
Titolo: PUSH216 - 216.35.217.191:8080 chi e' costui?

Dopo una connessione dial-up ho rilevato quanto segue:
Da 216.35.217.191 (interrogando dns corrisponde push216) porta 8080 ricevo
ed invio in successione circa 500/1000 bit.
Per successione intendo che c'e' un dialogo tra la mia macchina e
216.35.217.191:8080
 con connessioni successive sulle mie porte da es.1049 a
1305, non ne salta 1 e trasferisce circa 500/1000 bit in entrambe le
direzioni.
Cosa potrebbe essere. Potrebbe essere in pericolo la sicurezza della mia
macchina?......magari e' solo una banalita' ma sempre meglio chiedere.
Grazie
Gengis Khan

 ha scritto nel messaggio
news:ZUKE5.3180$Z95....@news.infostrada.it...

   Tra l'elenco dei siti "psy" che ho io trovo solo un certo
"
push01.imgis.com
"
tu fai una cosa: (ipotizzo che tu usi W95/98 ) apri il file "hosts.sam"
nella directory di windows, aggiungi questa riga:
127.0.0.1              216.35.217.191
poi salva il file senza l'estensione (quindi solo come "hosts")
Da quel momento ogni volta che la tua macchina tenta di collegarsi al
216.35.217.191 in realtà verrà dirottata su ...di te-stesso-medesimo.
se hai già un file "hosts" allora aggiungi la riga e salva.

direzioni.
Questo succede per caso piu' spesso quando navighi in Web, e hai un
proxy attivato? Se fai "ping" all'indirizzo del tuo proxy Web, quel
che ottieni come indirizzo IP e' 216.35.217.xxx ?
Oppure hai un banner tipo PayWeb o similari?
Leonardo
".signature": bad command or file name

>...cut...


viene trasferito.
Ad oggi, esiste un plug-in hardware: un rj45 su cui collegare una linux
box con iplogd (lo so, leo, il (c) e' tuo).
-- 
           |Save our planet!
  Ciao     |Save wildlife;
  roberto  |For your E-MAIL use only recycled Bytes !!
           |roberto poggi  
rpo...@softhome.net

ma non erano avviati.
 ^^^^^^^^^^^^^^^^^^^^
Seeee. Cioe' *TU* non li avevi attivati volontariamente. Che non fossero
attivi, e' un altro discorso. Tutt'altro discorso a seconda del grado di
stronzeria del produttore.
+++
Fai un giro su 
www.grc.com/optout
, e scaricati il programmino pulitore.
Ma, prima di farlo girare, mettiti seduto, ho idea avra' da lavora' 8-)


 box con iplogd (lo so, leo, il (c) e' tuo).
Grazie per apvna ed apvsw.
Potresti spiegarmi la soluzione hardware piu' nel dettaglio o dirmi dove
posso trovare tali informazioni?
Grazie, Ciao
Gengis Khan


[...]
OptOut ha trovato ben 3 backdoor che sono stati eliminati.
Purtroppo il problema persiste, l'IP non e' sempre uguale
216.35.217.xxx:yyy. La parte iniziale dell'indirizzo e' sempre la stessa,
quella finale varia.
Risolvendo l'IP ottengo sempre qualcosa tipo PUSHxxx dove xxx e' la
variabile.
Oltre l'attivita' consistente del modem ho notato che anche l'HD non vuole
essere da meno.
Le mie limitate conoscenze non mi permettono di effettuare analisi piu'
approfondite, mi tocca subire passivamente.
Non vorrei adottare la poco professionale soluzione del format.
Ciao
Gengis Khan

posso trovare tali informazioni?
Non ci puo` credere... dillo che lo stai facendo apposta, dai... ^^;;;
Direi  cmq che  per la  soluzione  HW ti  daranno tutte  le risposte  su
it.comp.os.linux.iniziare o se vuoi avere  altri pareri meno di parte su
it.comp.os.dibattiti... :)
-- 
Bye,             | 
http://members.xoom.it/hitman_work/
   | Powered
                 |                                       |    by    
   The Hitman    | Non attendetevi mie risposte se avete | Debian 2.2 
                 | fatto domande senza leggervi le FAQ   |           

 posso trovare tali informazioni?
SecurFAQ sezioni FIREWALL-Appendice e INTERNETCAFE'-Appendice. Per
dettagli c'e' la documentazione reperibile su qualunque installazione di
linux o a 
http://www.pluto.linux.it
 sezione LDP, dove ci sono i link
agli HOWTO, alcuni dei quali tradotti in italiano. In particolare
Networking- e Firewall-HOWTO, senza dimenticare Security-HOWTO.
Max "che bello, e' la seconda volta oggi che li consiglia".
-- 
Attenzione: questo messaggio ti e' arrivato dalla rete e
in qualche modo si e' insinuato nel tuo hard disk...
Elezioni on line     : 
http://www.radicali.it
SecurFaq             : 
http://members.nbci.com/gouldukat/
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

posso trovare tali informazioni?
Era una mezza battuta, nemmeno originale, il (c) e' di leonardo serni,
sul fatto che con windows non si hanno tutte le possibilita' che al
contrario si possono avere con una macchina linux collegata come
proxy-firewall-logger di rete.
LE informazioni dettagliate le trovi su 
www.pluto.linux.it
, ad esempio.


variabile.
Purtroppo i metodi per indagare cosa sta succedendo sono tutti
piuttosto complessi.
Puoi tentare cosi': installa AVP Network Monitor (
www.avp.it
),
e vedi quale applicazione apre quelle comunicazioni.
Altrimenti, c'e' un software (non rammento il nome - spero che
qualcuno possa aiutare) che memorizza le queries DNS dentro al
file C:\WINDOWS\HOSTS. Una di queste sara' del tipo
216.35.217.xxx	
www.cavolituoi.com
...a questo punto non ti rimane che modificarla in
127.0.0.1	
www.cavolituoi.com
e la comunicazione saltera'.
Comunque continua a puzzarmi di banner; OptOut non so se
sia aggiornato...
