Newsgroup: it.comp.sicurezza.varie
Titolo: Il solito svchost...

Salve... sempre il solito svchost, credo di essere il milionesimo!
Solo che ho cercato molto su google gruppi, ma non si trova quello che mi
succede!
In pratica non subisco crash, nè attacchi ne utilizzi al 100% della cpu,
solo che continuamente vengono inviati 3/5 pacchetti verso internet, in
pratica ho sempre un upload di questo benedetto svchost... che fo?
Mandi
David

 Salve... sempre il solito svchost, credo di essere il milionesimo!
proprio perchè già sai di essere il milionesimo non ti è venuto 
magari il dubbio che la risposta al tuo quisito è stata data MILIONI 
di volte?
-- 
Ciao, Dmitry
Posted from X-Privat Free NNTP server - 
www.x-privat.org

 secondi per trovare
Oppure, come ho detto, tutti i casi trovati non sono il mio... cristo, sono
capace di usare google anche io, ma il mio caso in particolare non lo trovo,
l'unico caso in cui vedo lamentele di svchost che "esce" invece di entrare o
crashare è quello del processo che cerca frighi o lavatrici o qualsiasi
cazzata plug & play, ma quello l'ho già bloccato prima di chiedere.
Mandi
David

 di volte?
Probabilmente perchè non ho trovato una risposta adeguata al mio caso?
Mandi
David

 in pratica ho sempre un upload di questo benedetto svchost... che fo?
Devi capire indirizzo IP verso cui sono inviati, e porta relativa.
Magari sapere anche il contenuto non sarebbe male, ma in questo caso ti
serve uno sniffer...
-- 
*    HappyCactus - Linux User #209744 - BOFH Certified Engineer    *
*           27/11/2003 Rilaciata la prima relase di qixl!          *
*    
http://sourceforge.net/projects/qixl
 : una gui per iSiloXC    *
*  
www.google.com
 / 
groups.google.com
 : cercare prima di chiedere  *

 caso? 
non credo.


 ti serve uno sniffer...
Essendo connesso ad una lan posso dirti solo che cerca di connettersi al
gateway (ovviamente) sulla porta 2869... può servire a qualcosa o devo
connettermi direttamente dal pc incriminato e controllare?
Mandi
David

 pratica ho sempre un upload di questo benedetto svchost... che fo?
Guarda se il svchost che invia i pacchetti e' quello vero o un'altro
(guarda quanti ne hai: ce ne deve essere solo uno nel system32, piu'
qualcuno in eventuali folder di backup). Guarda quali servizi carica
il tuo svchost, ad esempio con 'tlist -s', o guarda dentro la chiave
HKLM\Software\Microsoft\Windows NT\CurrentVersion\svchost, poi cerca
i nomi dei servizi nel registro o con google, per verificare che non
siano cose strane. Guarda i dettagli dei pacchetti con uno sniffer e
posta quello che vedi (protocollo, porte, destinazione ecc ecc ...).
Puoi anche provare ad usare 
http://www.atelierweb.com/pta/index.htm
,
che ti aiuta a correlare l'applicazione al traffico generato, ma uno
sniffer qualunque puo' andare bene.
Fabio

 sfigato caso, che la curiosita' insorge...
E' sorprendente come tu possa rispondere a 2 righe chiedendomi quello che io
ho scritto nelle successive 4...
Mandi
David

 non credo.
Fai a meno, che cosa devo dirti. Visto che quindi il caso lo conosci a
menadito quindi, darmi una mano a risolvere il mio problema non dovrebbe
essere difficile per te vero? Allora perchè non lo fai? Errore di multipost
a parte, non sono stato nè maleducato, nè inopportuno nè fuori topic. Ma
tutto ciò non ha importanza a fronte del mio errore giusto?
Mandi
David


Grazie, appena possibile farò tutte queste procedure ed in caso non riesca a
venirne a capo posterò i risultati! :)
Mandi
David

 occorrenza delle magica parolina UPNP?
Ma sei tu che prendi per il culo o proprio non connetti? Ho detto che nel
mio caso non è questo processo a darmi problemi.
Mandi
David

 riesca a venirne a capo posterò i risultati! :)
Allora, intanto ti posso dire che ho 2 svchost, uno in windows/system32, uno
in windows/system32/wins. Sono con winXP. Quello in wins è malizioso?
Mandi
David

 al gateway (ovviamente) sulla porta 2869... 
Mica tanto "ovviamente": e' un gateway che fa da proxy http o un proxy
trasparente (tipo nat?)
Quindi, mi par di capire che escono una serie di pacchetti (3/sec.) con
ip destinazione == gateway e porta destinazione 2869? e' corretto?
Riguardo la 2869: iana riporta ICSLAC, non ho idea che sia.
dovresti, a questo punto, verificarne il contenuto con uno sniffer.



Analizzando il registro trovo una chiave REG_MULTI_SZ che chiama rpcss. Deve
esserci o è un rimasuglio di blaster che crea il danno?
Mandi
David

 dovresti, a questo punto, verificarne il contenuto con uno sniffer.
Esatto, ora sto scaricando lo sniffer consigliato da fabio e poi
controllo...
Mandi
David

 in windows/system32/wins. Sono con winXP. Quello in wins è malizioso?
Al 99,999999999999999999999999999999999% si'.
w32.nachi.A (welchia)
http://www.nod32.it/pedia/n/nachi-a.htm
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 > dovresti, a questo punto, verificarne il contenuto con uno sniffer.
Sorry, di solito leggo attentamente i rami dei thread in cui posta 
HappyCactus ma, per la fretta, stavolta lo avevo proprio saltato e
mi erano sfuggiti questi dettagli sulla porta e sulla tua rete.
La 2869 e' utilizzata per l'UPNP nat-traversal. Quindi, dopo avere
chiesto scusa a thorin che t'aveva messo sulla strada giusta, devi
verificare di aver disabilitato l'upnp nelle proprieta' di rete ->
avanzate, sempre che tu non voglia sfruttare queste funzionalita'.
Prova a togliere il servizio, guarda se 'sto traffico smette e poi
decidi cosa fare.
Il svchost nel folder wins AFAIK non dovrebbe esserci, ma potrebbe
anche essere il riusultato di un colpo di mouse inconsulto. Guarda
bene cos'e'.
Fabio

 
http://www.nod32.it/pedia/n/nachi-a.htm
Ma Nachi non dovrebbe aver cessato le sue attivita' (fatto salvo 
almeno un reboot) con il primo dell'anno? Se quel file e' nachi,
e lo e' con una probabilita' che s'avvicina a quella citata, non
e' escluso che non ci sia lui all'origine de traffico, anche se,
ovviamente, sarebbe da levare di torno. 
Ma David... gli antivirus? E un paio di ricerchine di tipo "wins
svchost" (primo hit) o "upnp 2869" (prima pagina)? Sull'utilita'
del "fai da te" con google c'e' un interessante post di leonardo
serni [inchino deferente et bacio sull'anello]. Prova a cercarlo
con... google :-)
Fabio

 con... google :-)
Antivirus sempre installato e aggiornato...
google con wins o upnp posso farlo solo adesso che mi sono state date le
indicazioni per scoprire appunto wins e upnp, non trovi?
Grazie di tutto finora...
Mandi
David

 serni [inchino deferente et bacio sull'anello]. Prova a cercarlo
Riverisco.
[*] F&R => Formatta e Reinstalla


 date le indicazioni per scoprire appunto wins e upnp, non trovi?
Be', potevi cercare "wins svchost" prima di scrivere i post in cui
facevi riferimento al folder wins, tanto per esempio. In ogni caso
era solo 1) per te e 2) pour parler (avevi visto l'emoticon vero?)
In ogni caso potresti postare un messaggio con le conclusioni: era
upnp? Era welchia/nachi? Cosa c'era nei pacchetti?
Fabio

 Riverisco.
(pssss: il bacio... il bacio sull'anello!)
Fabio

 non e' configurato per il controllo real-time o altro.
Sorry, questa e' una stupidaggine: quel file e' sicuramente negativo
se e' dovuto alla presenza di nachi. Devi, nel caso, controllare che
sia l'eseguibile di un server tftp.
Fabio

> Queste analisi mi lascian sempre un po' perplesso?
Si! <g>
Fabio che non ha piu' il controllo della punteggiatura

 da altri host? Queste analisi mi lascian sempre un po' perplesso?
Non lo so, non ho fatto prove con un *lazzaretto* con il nachi.
Troppi virus e poco tempo. :-)


 default, ma credo di no.
Io ho capito questo:
nachi trova un pc vulnerabile. Upload della shellcode ed esecuzione di
tftp.exe verso il pc attaccante. Download del payload, esecuzione,
installazione di tftpd.exe
Almeno, questo mi sembra il meccanismo piu' logico.
Ma non ho voglia di rileggere l'advisory.


 upnp? Era welchia/nachi? Cosa c'era nei pacchetti?
La conclusione è che faccio come dice roberto, formatto&reinstallo, perchè
in ogni caso ho anche degli altri piccoli fastidi che sommati diventano una
rompitura di palle! ;)
Cmq per dovere di cronaca ho visto che AW mi rileva un svchost di win32 (non
quindi quello in wins che è buono fermo) che opera a tutto spiano
(bloccandolo è finito il problema effettivamente). La cosa bella è che a
parte il Pid (che non so cosa sia) che è 820, cambia porta e ip ogni tot (in
pratica si butta sul gateway prima su una porta, poi dopo un tot di
tentativi prova un'altra e così via, nel frattempo prova anche altri ip e
altre porte) comportamento che mi pare sia da blaster.
Posto in reply a questo messaggio anche i dettagli che ho trovato, non sono
stato però capace di identificare il processo!
Mandi
David

David <indi...@dominio.it.invalid> wrote:
Ecco i details del processo, verranno una schifezza a causa delle righe
spezzate!
Cliccando su una riga di queste ho trovato anche dei dati (nella finestra in
basso) che in tutte le altre righe non ci sono, credo sia il contenuto di un
pacchetto, ma sono 3,9Mb di txt e postarlo mi pare eccessivo...
Details
Protocol        Source                Destination           Bytes Sent
Bytes Rcvd    Opened                 Last Access            Closed
TCP (Client)    
127.0.0.1:123
 
0.0.0.0:0
             0             0
14/01/2004 14.38.58    14/01/2004 14.38.58    14/01/2004 14.38.58
TCP (Client)    
127.0.0.1:123
 
0.0.0.0:0
             0             0
14/01/2004 14.38.58    14/01/2004 14.38.58    14/01/2004 14.38.58
TCP (Client)    
0.0.0.0:3004
 
0.0.0.0:0
             0             0
14/01/2004 14.39.03    14/01/2004 14.39.03    14/01/2004 14.39.03
TCP (Client)    
0.0.0.0:3012
 
192.168.0.1:2869
      2144225
3579944       14/01/2004 14.39.06    14/01/2004 15.29.05    No
TCP (Client)    
192.168.0.116:3127
 
192.168.0.1:2869
      1400
1540          14/01/2004 16.06.58    14/01/2004 16.29.08    14/01/2004
16.29.08
TCP (Client)    
0.0.0.0:3128
 
207.46.249.56:80
      153
265           14/01/2004 16.08.49    14/01/2004 16.08.50    No
TCP (Client)    
0.0.0.0:3129
 
207.46.249.56:80
      305
8426          14/01/2004 16.08.51    14/01/2004 16.09.00    No
TCP (Client)    
0.0.0.0:3130
 
65.54.249.61:80
       178
265           14/01/2004 16.08.56    14/01/2004 16.08.57    No
TCP (Client)    
0.0.0.0:3131
 
65.54.249.61:80
       177
7258          14/01/2004 16.08.57    14/01/2004 16.08.59    No
TCP (Client)    
0.0.0.0:3132
 
207.46.197.59:80
      247
196           14/01/2004 16.09.00    14/01/2004 16.09.02    No
TCP (Client)    
0.0.0.0:3133
 
207.46.197.59:80
      408
196           14/01/2004 16.09.02    14/01/2004 16.09.03    No
TCP (Client)    
0.0.0.0:3135
 
207.46.134.126:443
    0
248500        14/01/2004 16.09.05    14/01/2004 16.09.29    No
TCP (Client)    
192.168.0.116:3145
 
192.168.0.1:2869
      1504266
2493333       14/01/2004 16.29.08    14/01/2004 17.24.33    14/01/2004
17.24.33
TCP (Client)    
192.168.0.116:3158
 
192.168.0.1:2869
      717
212           14/01/2004 17.24.33    14/01/2004 17.24.34    14/01/2004
17.24.34
TCP (Client)    
192.168.0.116:3161
 
192.168.0.1:2869
      283215
469655        14/01/2004 17.24.42    14/01/2004 17.31.16    No
TCP (Server)    
0.0.0.0:1025
 
0.0.0.0:0
             0             0
14/01/2004 14.38.35    14/01/2004 14.38.35    No
TCP (Server)    
127.0.0.1:0
 
0.0.0.0:0
             0             0
14/01/2004 14.38.58    14/01/2004 14.38.58    No
TCP (Server)    
127.0.0.1:0
 
0.0.0.0:0
             0             0
14/01/2004 14.38.58    14/01/2004 14.38.58    No
UDP (Server)    
0.0.0.0:68
 
192.168.0.1:67
        304
307           14/01/2004 14.38.32    14/01/2004 14.38.36    14/01/2004
14.38.36
UDP (Server)    
192.168.0.116:123
 
192.168.0.1:67
        0             0
14/01/2004 14.38.48    14/01/2004 14.38.56    14/01/2004 14.38.56
UDP (Server)    
127.0.0.1:123
 
0.0.0.0:0
             0             0
14/01/2004 14.38.48    14/01/2004 14.38.56    14/01/2004 14.38.56
UDP (Server)    
192.168.0.116:123
 
49.52.58.50:13344
     0             0
14/01/2004 14.38.56    14/01/2004 15.43.17    14/01/2004 15.43.17
UDP (Server)    
127.0.0.1:123
 
0.0.0.0:0
             0             0
14/01/2004 14.38.56    14/01/2004 15.43.17    14/01/2004 15.43.17
UDP (Server)    
192.168.0.116:0
 
127.0.0.1:3005
        400
1134          14/01/2004 14.39.03    14/01/2004 14.39.13    14/01/2004
14.39.13
UDP (Server)    
127.0.0.1:0
 
127.0.0.1:3006
        400           0
            14/01/2004 14.39.03    14/01/2004 14.39.13    No
UDP (Server)    
127.0.0.1:0
 
127.0.0.1:3011
        2             2
14/01/2004 14.39.06    14/01/2004 14.39.06    No
UDP (Server)    
192.168.0.116:68
 
192.168.0.1:67
        300
307           14/01/2004 14.43.33    14/01/2004 14.43.33    14/01/2004
14.43.33
UDP (Server)    
192.168.0.116:68
 
192.168.0.1:67
        300
307           14/01/2004 14.48.33    14/01/2004 14.48.33    14/01/2004
14.48.33
UDP (Server)    
192.168.0.116:68
 
192.168.0.1:67
        300
307           14/01/2004 14.53.33    14/01/2004 14.53.33    14/01/2004
14.53.33
UDP (Server)    
192.168.0.116:68
 
192.168.0.1:67
        300
307           14/01/2004 14.58.33    14/01/2004 14.58.33    14/01/2004
14.58.33
UDP (Server)    
192.168.0.116:68
 
192.168.0.1:67
        300
307           14/01/2004 15.03.33    14/01/2004 15.03.33    14/01/2004
15.03.33
UDP (Server)    
192.168.0.116:68
 
192.168.0.1:67
        300
307           14/01/2004 15.08.33    14/01/2004 15.08.33    14/01/2004
15.08.33
UDP (Server)    
192.168.0.116:68
 
192.168.0.1:67
        300
307           14/01/2004 15.13.33    14/01/2004 15.13.33    14/01/2004
15.13.33
UDP (Server)    
192.168.0.116:68
 
192.168.0.1:67
        300
307           14/01/2004 15.18.33    14/01/2004 15.18.33    14/01/2004
15.18.33
UDP (Server)    
192.168.0.116:68
 
192.168.0.1:67
        300
307           14/01/2004 15.23.33    14/01/2004 15.23.33    14/01/2004
15.23.33
UDP (Server)    
192.168.0.116:68
 
192.168.0.1:67
        300
307           14/01/2004 15.28.33    14/01/2004 15.28.33    14/01/2004
15.28.33
UDP (Server)    
192.168.0.116:123
 
192.168.0.1:67
        0             0
14/01/2004 15.43.17    14/01/2004 15.58.57    14/01/2004 15.58.57
UDP (Server)    
127.0.0.1:123
 
192.168.0.1:67
        0             0
14/01/2004 15.43.17    14/01/2004 15.58.57    14/01/2004 15.58.57
UDP (Server)    
192.168.0.116:68
 
192.168.0.1:67
        300
307           14/01/2004 15.43.18    14/01/2004 15.43.18    14/01/2004
15.43.18
UDP (Server)    
192.168.0.116:68
 
192.168.0.1:67
        300           0
14/01/2004 15.58.53    14/01/2004 15.58.56    14/01/2004 15.58.56
UDP (Server)    
192.168.0.116:123
 
49.54.58.50:13344
     0             0
14/01/2004 15.58.57    14/01/2004 17.24.37    14/01/2004 17.24.37
UDP (Server)    
127.0.0.1:123
 
49.54.58.50:13344
     0             0
14/01/2004 15.58.57    14/01/2004 17.24.37    14/01/2004 17.24.37
UDP (Server)    
192.168.0.116:68
 
192.168.0.1:67
        300
307           14/01/2004 15.59.02    14/01/2004 15.59.02    14/01/2004
15.59.02
UDP (Server)    
192.168.0.116:68
 
192.168.0.1:67
        300
307           14/01/2004 16.04.02    14/01/2004 16.04.02    14/01/2004
16.04.02
UDP (Server)    
192.168.0.116:68
 
192.168.0.1:67
        300
307           14/01/2004 16.09.02    14/01/2004 16.09.02    14/01/2004
16.09.02
UDP (Server)    
127.0.0.1:0
 
127.0.0.1:3134
        15            14
14/01/2004 16.09.05    14/01/2004 16.09.10    No
UDP (Server)    
127.0.0.1:0
 
127.0.0.1:3136
        8             7
14/01/2004 16.09.10    14/01/2004 16.09.12    14/01/2004 16.09.12
UDP (Server)    
127.0.0.1:0
 
127.0.0.1:3137
        17            16
14/01/2004 16.09.12    14/01/2004 16.09.20    14/01/2004 16.09.20
UDP (Server)    
127.0.0.1:0
 
127.0.0.1:3138
        5             4
14/01/2004 16.09.24    14/01/2004 16.09.26    14/01/2004 16.09.26
UDP (Server)    
127.0.0.1:0
 
127.0.0.1:3139
        6             5
14/01/2004 16.09.28    14/01/2004 16.09.30    14/01/2004 16.09.30
UDP (Server)    
192.168.0.116:68
 
192.168.0.1:67
        300
307           14/01/2004 16.14.03    14/01/2004 16.14.03    14/01/2004
16.14.03
UDP (Server)    
192.168.0.116:68
 
192.168.0.1:67
        300
307           14/01/2004 16.19.03    14/01/2004 16.19.03    14/01/2004
16.19.03
UDP (Server)    
192.168.0.116:68
 
192.168.0.1:67
        300
307           14/01/2004 16.24.03    14/01/2004 16.24.03    14/01/2004
16.24.03
UDP (Server)    
192.168.0.116:68
 
192.168.0.1:67
        300
307           14/01/2004 16.29.03    14/01/2004 16.29.03    14/01/2004
16.29.03
UDP (Server)    
192.168.0.116:68
 
192.168.0.1:67
        300
307           14/01/2004 16.34.03    14/01/2004 16.34.03    14/01/2004
16.34.03
UDP (Server)    
192.168.0.116:68
 
192.168.0.1:67
        300
307           14/01/2004 16.39.03    14/01/2004 16.39.03    14/01/2004
16.39.03
UDP (Server)    
192.168.0.116:68
 
192.168.0.1:67
        300
307           14/01/2004 16.44.03    14/01/2004 16.44.03    14/01/2004
16.44.03
UDP (Server)    
192.168.0.116:68
 
192.168.0.1:67
        300
307           14/01/2004 16.49.03    14/01/2004 16.49.03    14/01/2004
16.49.03
UDP (Server)    
192.168.0.116:68
 
192.168.0.1:67
        300
307           14/01/2004 16.54.03    14/01/2004 16.54.03    14/01/2004
16.54.03
UDP (Server)    
192.168.0.116:68
 
192.168.0.1:67
        300
307           14/01/2004 16.59.03    14/01/2004 16.59.03    14/01/2004
16.59.03
UDP (Server)    
192.168.0.116:68
 
192.168.0.1:67
        300
307           14/01/2004 17.04.03    14/01/2004 17.04.03    14/01/2004
17.04.03
UDP (Server)    
192.168.0.116:68
 
0.0.0.0:0
             0             0
14/01/2004 17.24.29    14/01/2004 17.24.32    14/01/2004 17.24.32
UDP (Server)    
192.168.0.116:123
 
0.0.0.0:0
             0             0
14/01/2004 17.24.37    14/01/2004 17.24.37    No
UDP (Server)    
127.0.0.1:123
 
0.0.0.0:0
             0             0
14/01/2004 17.24.37    14/01/2004 17.24.37    No
UDP (Server)    
192.168.0.116:68
 
192.168.0.1:67
        300
307           14/01/2004 17.24.38    14/01/2004 17.24.39    14/01/2004
17.24.39
UDP (Server)    
192.168.0.116:68
 
192.168.0.1:67
        300
307           14/01/2004 17.29.38    14/01/2004 17.29.38    14/01/2004
17.29.38

 installazione di tftpd.exe
L'apparente incongruenza e' che tftpd.exe e' un file distribuito solo
con windows 2000/XP server. Gli advisory spiegano che nachi (welchia)
copia tftpd.exe dal folder dllcache al folder wins cambiando il nome,
ma questo payload e' applicabile solo se tfpd.exe... esiste, quindi i
soli win server sarebbero affetti. Probabilmente in realta' tftpd.exe
viene scaricato da qualche parte, l'host attaccante probabilmente, ma
di questo non viene fatta menzione.
Comunque non e' che non ci dorma la notte arrovelandomi nel dubbio :-)
Specie considerando che nachi era un problema a scadenza ed e' finito,
ormai. I miei dubbi erano, piu' in generale, sulla affidabilita' delle
analisi che si trovano in circolazione con firmette mica di poco conto
in calce.
Fabio