Newsgroup: it.comp.sicurezza.varie
Titolo: Aiuto!!! Sono in balia di un lamer!!

Ho passato norton antivirus e avp, senza risultato.
AVP systemwatcher rileva in esecuzione un file (mprexe.exe)
che prima non c'era.
Nukenabber non segnala nessun attacco sulle porte 129, 137, 138, 139,
31337, 61466, 12345 e 12346, che ho configurato leggendo le faq; non
sono comunque riuscito a trovare BO sul sistema, eppure continuano ad
arrivare nuke che mandano in palla tutto, messaggi offensivi e roba
varia!!
Netstat -na indica le seguenti connessioni attive, SENZA ESSERE
COLLEGATO AD INTERNET:
 Proto  Indirizzo locale         Indirizzo remoto             Stato
  TCP    
0.0.0.0:31787
 
0.0.0.0:0
                  LISTENING
  TCP    
0.0.0.0:31789
 
0.0.0.0:0
                  LISTENING
  TCP    
0.0.0.0:31791
 
0.0.0.0:0
                  LISTENING
  TCP    
0.0.0.0:27374
 
0.0.0.0:0
                  LISTENING
  TCP    
127.0.0.1:1025
 
0.0.0.0:0
                  LISTENING
  UDP    
0.0.0.0:31789
           *:*
  UDP    
0.0.0.0:31791
            *:*
  UDP    
127.0.0.1:1025
         *:*
Forse sbaglio qualcosa nella configurazione di questi programmi, vi
prego di scusarmi, ma fino a due giorni fa non sapevo niente di porte,
backdoor e di maledetti lamer, quindi PREGO CHIUNQUE NE ABBIA VOGLIA
DI DARMI UNA MANO!!
TIA
Yorik
  _________________________________________________
| Yorik  >>--> 
yo...@libero.it
 (PGP ket ID:0x6AA57A31)           ]
|_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-    ]
|URL: 
http://members.xoom.it/yorik/
  |-|  ICQ 44644525           ]
|Togliere NO$PAM per rispondere.                                              ]
"Quelli che sanno, fanno. Quelli che non sanno, insegnano."
--------------------------------------------------------------------------------------]

  TCP    
0.0.0.0:31787
 
0.0.0.0:0
                  LISTENING
corrisponde ad "Hack a tack". Informazioni qui:
http://www.symantec.com/avcenter/venc/ebld/enc.cgi?vid=10370&lang=it
Ti riporto uno spezzone:
--------------------------
This is a trojan horse program that attempts to gain access to other
system. You must delete this file. You may also have to remove its
entry in the Windows Registry. This is similar to NetBus and
BackOrifice.
--------------------------
Il resto non saprei.
Ciao.

 Ho passato norton antivirus e avp, senza risultato.
Se sono aggiornati.... non hai nessun problema di lameraggio vario. Togli
netbuster che confonde le idee perchè segnala i ***tentativi*** di attacco,
non gli attacchi. Se l'av non segnala niente, non corri pericoli.
Ciao!
dario...@iol.it
http://dariobrunocorti.freeweb.org
ICQ#: 30478061
--
MS Windows: quante volte vuoi formattare oggi?

e roba varia!!
Ora, daccordo con te che nukenabber e netbuster sarebbero pure
inutili, ma se qualcuno ti prende a parolacce un motivo ci sara' :-)
Ciao.

 >e roba varia!!
M'è sfuggito. Ok, se stai sulle palle a qualcuno che ti conosce e vuole
rompere, allora qualche programmino simpatico può essere utile. In linea di
massima, se stai in pace col mondo e non sei nel mirino di qualcuno (magari
proprio perchè usi netbuster) puoi stare tranquillo.
In effetti *anche* se sei in pace col mondo uno potrebbe mandarti un server
modificato o appena scritto, ma le probabilità tendono a ZERO.


che prima non c'era.
non dovrebbe centrare nulla:
da un post di alcuni mesi fa, a firma evil xx:
"Hack 'a' Tack"
Hack 'a' Tack currently affects Windows 95/98 PC's.
The server portion is named "expl32.exe" (236KB 5/16/99 2:49PM) and it
will be found in the
WINDOWS directory.
TCP ports 31785, 31787 and UDP ports 31789, 31791 (by default) are
used to establish the
connection between the "client" and "server".[n.d.a.:notare il
simpatico uso dei due proto..]
Once installed, it is rerun every time the computer is started by
means of an entry under the
"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run"
branch in
the Registry.
-- 
Alla faccia del millennium bug che non ha avuto ripercussioni,
buon millenovecentonovantadieci a tutti
roberto poggi 
rpo...@softhome.net


dici? mica sarei cosi' sicuro:).E' comunque vero che se uno ha quel minimo
di conoscenze per farlo si spera che non sia uno di quelli che si
"divertono" con i gestori remoti di win, ma non ci metterei la mano sul
fuoco.

 wrote in message
86mo0g$po7$1...@nslave1.tin.it...


Insomma, la situazione è questa: quando, la sera, vieni bersagliato da ping
di netbus e bo, quelli sono lamer della domenica, per lo più adolescenti che
cercano il brivido del rischio, senza conoscenze tecniche sufficienti da
rendersi pericolosi all'infuori dalla backdoor che sanno a malapena usare.
Quando hai una connessione permanente, con un ip fisso, sei facile preda di
gente un po' più esperta che magari è interessata ad usare la tua
connessione come "pass-through" (acc... non mi viene in italiano) per fare i
suoi loschi traffici, o anche per prenderti direttamente di mira.
Verosimilmente queste persone non usano bo e tantomeno netbus, ma dato che
sono capaci si costruiscono la backdoor su misura che il tuo av non
riconosce.
Il rapporto tra i secondi ed i primi è sicuramente prossimo allo zero per
una persona normale che non ha nemici in rete, che non possiede informazioni
importanti che facciano gola a qualcuno.


[n.d.a.:notare il simpatico uso dei due proto..]
Ah, ecco cos'era.
Come servizio al pubblico posto all'incirca la maschera di iplogd 2.1 che lo
becca.
0.0.0.0 /
0.0.0.0
      udp     31789:31791           !bofh piano UDP31789
0.0.0.0 /
0.0.0.0
      tcp     31785:31787           !flak allegro TCP31785
Le funzioni 'bofh' e 'flak' temo di non poterle pubblicare a scanso denunce,
ma si possono sostituire con 'script' modificando /usr/src/udpscript. Giusto
poco fa ne parlavo col nano malefico che mi funge da coscienza sporca :-)
Leonardo
".signature": bad command or file name


dovremmo quindi recarci a Mordor e portare almeno quattro capponi
per avere due funzioni? E sia, la cultura non ha prezzo ;-).
Ciao Francesco.
PS Provando il ricevitore per il campionamento del rumore cosmico
(lo schema che mi avevi passato) ho sentito variazioni
significative dal pianeta rosso, vuoi vedere che ha ripreso a
funzionare?

funzionare?
Male, vuol dire che la codifica OTP perde di affidabilita' :-)
