Newsgroup: it.comp.sicurezza.varie
Titolo: E-Donkey

Ciao a tutti.
Qualcuno ha notizia di intrusioni fatte attraverso buchi di sicurezza di
eDonkey? Per chi non lo conoscesse, è un software di peer-to-peer,
relativamente poco diffuso.
Su una macchina della rete dell'azienda per cui lavoro è stata rilevata una
sospetta intrusione, e l'unico che software che differenzia quella macchina
dalle altre è proprio l'eDonkey, sulle altre non ci sono mai stati problemi.
Tutta la rete è collegata permanentemente a Internet attraverso una CDN, e
sul router è attivo un firewall che chiude le porte sotto la 1024. Le
macchine sono Windows 2000.
Qualche idea? Qualsiasi aiuto sarà ben apprezzato.
Grazie...
Ciao.
   Mad Dog

 macchine sono Windows 2000.
Cosa vuol dire che chiude le porte sotto la 1024? Intendi in ingresso?
E tutte le altre porte delle macchine in lan sono raggiungibili su ip
pubblici?
Fabio

 pubblici?
Esattamente. Le macchine vengono usate per sviluppare applicazioni web,
quindi torna comodo agli sviluppatori poter esporre il lavoro sulla rete,
per questo gli ip sono pubblici...
   Mad Dog

 per questo gli ip sono pubblici...
Sembrerebbe quasi un lavoretto da warez-doodz. Intanto hai chiarito 
diversi punti e altri sono deducibili: 
1) non tutte le porte sotto la 1024 sono chiuse in ingresso: sono
   aperte almeno la 21 e la 80 verso alcune macchine della lan, 
   immagino, anche se c'e' un router che sembra filtrare questo 
   traffico in ingresso, apparentemente, ma ho fatto solo una prova 
   sul tuo ip;
2) sulle macchine e' in esecuzione un server web, e immagino che
   questo server sia IIS o PWS.
Ognuna di quelle macchine e' un bastion host e dovrebbe essere
configurata e manutenuta, a livello di patch, in modo ferreo.
Viene fatto? Non e' piu' facile che qualcuno sia entrato da li?
In ogni caso c'e' un solo buco noto per edonkey (versione 2000)
ma non sembrerebbero esistere exploit noti e la falla e' stata
tappata immediatamente con un nuovo rilascio entro poche ore.
Penso che sia necessaria un'indagine piu' approfondita.
<Suggestions>
Quali servizi sono in esecuzione sulla macchina violata? Non ci sono 
segni di una possibile backdoor? Ci sono delle righe con cmd.exe nei 
log di IIS/PWS (se e' installato, ovviamente)? Quali porte sono in 
ascolto? Prova a cercare i nomi di file e directory del server ftp
in google. Lascia la macchina esposta e cattura il traffico da/per 
quell'ip per vedere cosa succede e da dove arriva il traffico (ma e'
un po' rischioso). Esegui un paio di antivirus per cercare eventuali 
tracce di troiani o backdoor. Cerca file dai nomi strani con eventuali
dati sulla crew che potrebbe aver fatto il lavoro o altre info utili
(difficile).
</Suggestions>
Altro suggerimento non chiesto: io, fossi in voi, adotterei policy piu'
restrittive per l'accesso all'esterno e dall'esterno. I lavori degli 
utenti possono essere benissimo messi su un server in una dmz. E anche
se voleste lasciarli sulle macchine degli utenti non vedo perche' 
filtrare in ingresso solo le porte <1024 quando basta lasciare passare 
la 80 (brrr).
Fabio

 la 80 (brrr).
Essendo la sicurezza una questione relativa, si tratta sempre di trovare il
miglior rapporto costi/benefici... fin'ora questo sembrava un ottimo
compromesso, ma c'č il caso che qualcosa vada rivisto. In ogni caso, ho
tralasciato una serie di dettagli sulla configurazione della lan, non č cosě
insicura come puň sembrare...
Ti ringrazio moltissimo dell'aiuto! :-)
Ciao!
   Mad Dog