Newsgroup: it.comp.sicurezza.varie
Titolo: che faccio di GPATCH??

probl:
devo essere incappato in un hecker.....ho installato AVP system
watcher.....nella casella registry, cartella HKEY_LOCAL_MACHINE/run ho
un file GPATCH    C:\WINDOWS\GPATCH.EXE........ che ne faccio lo devo
cancellare o GPATCH e' diverso da PATCH...e quindi me lo tengo che e'
meglio?????
Grazie a chi volesse cortesemente rispondermi.......
ah, dimenticavo avevo il file BACKORIFICE... che ho eliminato.......
Questa e' la classica dimostrazione di come io non ci capisca una fava
di PC..nma abbiate pieta' .....e usatemi la cortesia di dirmi che
fare......
ARIGRAZIE...FAB



Tienilo...(eh, eh, eh)

>meglio?????
da una finestra DOS digita:
netstat -n | find "12345"
se ti viene fuori una riga (in cui è scritto alla fine "LISTENING" o peggio
"ESTABLISHED" ;-p), allora non esitare a rimuoverlo.
Prima termini il processo con AVP-SW e poi cancelli il file e la kiave nel
registro.
Se proprio vuoi essere aiutato, quando sei disconnesso (!!!) e dopo aver
kiuso tutti i programmi ke monitorano le porte, tipo nukenabber e simili,
usa questo comando:
netstat -na
e postaci i risultati.
ciao e buona fortuna
x
PS: ma quanto è grande (in bytes) sto GPATCH?

cancellare o GPATCH e' diverso da PATCH..
Al 99.99% e' un bellissimo trojan. Ma, siccome non mi piace fare
accuse senza prove ( :^) <-- naso da Pinocchio ), apri un prompt
di MS-DOS quando sei collegato in rete e dai
	netstat -na
...hai per caso una o l'altra di queste due righe
 TCP    x.x.x.x:12345          *:*
 UDP    x.x.x.x:w              *:*
con w diverso da 137 e 138, x = numero fra 0 e 255?
Leonardo
".signature": bad command or file name

hAcker!  ;-p o forse un lamerino?
   .. o meglio un lEmerino! ;-)

Mmh...dubbio!
UDP  127.0.0.1 : 1025     *:*
una storia del genere č sospetta?
Thanks 1000


Grazie...FAB
de nada
x
PS: [TCP 194.91.19.57:1037foreign address 
151.1.1.14:119
 ESTABLISHED]
significa ke stavi leggendo le news da 
news.IT.net
.


allora: fatto risultato, solo protocollo TCP 
194.91.19.57:1037
foreign address 
151.1.1.14:119
 ESTABLISHED
ALLORA QUESTO GPATCH LO RIMUOVO O NO?????
continuo a capirci poco.......

significa ke stavi leggendo le news da 
news.IT.net
.
wow.......vero!!!!!
FAB

On Wed, 18 Nov 1998 03:02:49 GMT, 
fab...@lycosmail.com
 (FAB) wrote:
Quel programma ha tutte le caratteristiche (compresa la grandezza del
file) per essere un server netbus.
Comunque se non vuoi correre rischi zippane o salva su un dischetto
una copia e poi elimina sto benedetto file, all'occorrenza se qualcosa
di "legittimo" non dovesse piu' funzionare come dovrebbe sul tuo pc,
prendi la copia e la reinstalli dove era.

>che pazienza che hai!!!!..io non mi sopporterei gia' piu'.........
   neanche lui!  Le tue password sono gia in mano agli spippolatori.
   hi hi hi

wow.......vero!!!!!
ma sono un mago! come avrò fatto a capirlo? eh eh eh
cmq è stranissimo ke hai il netbus attivo (vedi avp-sw) e non hai la 12345
aperta (vedi netstat). e non è neanke il nuovo netbus (ke si puo'
configurare) perkè quello è di 480kb (solo 20kb in piu'). mhà!
ciaociao
x

continuo a capirci poco.......
Tu rimuovilo, magari (come ti ha consigliato qualcuno) zippandolo e/o
cambiandogli nome. Io personalmente sono sicuro al
99,9999999999999999% che si tratti di NetBus e che magari ti abbiano
spippolato netstat in modo che non te lo faccia vedere. In ogni caso,
se prima di cancellarlo p. es. lo salvi su un dischetto, se ti scoppia
un casino puoi sempre rimetterlo a posto.
Ciaps
Luca
--
Luca Bruschi - 
I.NET
 S.p.A.
luca[@]
Mail.INET.it
Togliere le parentesi [] per rispondere.

continuo a capirci poco.......
Scuse pubbliche. Ho detto una scemenza. Quello che ho detto funzionerebbe
su sistemi Unix, ma a quanto pare Windows 95, DI SERIE, non rivela alcuna
porta LISTEN se e' su TCP [1].
Un altro modo piu' rapido e' di eseguire WinTop (Kernel Toys, trovabile a
gratis 
www.microsoft.com
 ma non so dove di preciso) o AVP System Watcher,
sempre gratis, 
www.avp.it
. Quest'ultimo ti fa anche ammazzare il trojan.
Leonardo
[1] Mi rendo conto che suona assurdo, enorme, idiotesco. Pero' io ho fatto
    delle prove e non mi sembra di essere ubriaco marcio.


Leonardo
 ... ke è sempre un po' "strano" e po' sibillino! oppure so' io ke so scemo!
;-) eppuo' essere
baibai
x

porta LISTEN se e' su TCP [1].
Mi scusi buon uomo, ma io ci ho un SMTP Server installato sul mio
winzozz 95, e come giusto il netstat -an mi dice:
  TCP    
0.0.0.0:25
 
0.0.0.0:0
              LISTENING
Ovvero, un TCP listening su porta 25...
Ciapps


Ovvero, un TCP listening su porta 25...
Beato te. Io ho appena aperto un servizio di finger sul mio PC, e se faccio
TELNET sulla porta 79 quello risponde (a riprova del fatto che e' aperto).
E, gia' che c'ero, ho lanciato quel troiaio di server HTTP "demo" che trovi
sulla mia homepage {leggere le note PRIMA, per non lamentarsi DOPO}.
Questo mi dice NETSTAT:
C:\WINDOWS\Desktop>NETSTAT -na
Active Connections
  Proto  Local Address          Foreign Address        State
  TCP    
192.168.0.2:1027
 
192.168.0.100:666
      ESTABLISHED
  UDP    
192.168.0.2:137
        *:*
  UDP    
192.168.0.2:138
        *:*
...ora, se faccio TELNET localhost 80, "qualcuno" risponde anche qui. Ah...
shttpd va ammazzato da Ctrl-Alt-Del, altrimenti non muore da se'.
Seconda cosa, facendo TELNET col telnet di Windows, *non funziona*, perche'
il telnet di Windows e' character buffered e non line buffered. Pero' anche
se ci vuole piu' tempo si puo' usare Internet Exploder.
L'unica cosa che mi viene in mente e' che effettivamente uso una tecnologia
un po' rozza per aprire una porta in listen(). E lo faccio a 16 bits.
Non vorrei che quel catrubio di NETSTAT vedesse solo le connessioni Winsock
"moderne". Magari c'e' una funzione RegisterNetstat(MAKE_VISIBLE)... che io
mi dimentico di chiamare.
Ragaz, facciamo un censimento. Tiratevi giu' shttpd... non serve a un razzo
tranne che a fare questa prova, temo... e vediamo se NETSTAT ve lo vede. Io
giuro di non averlo reso stealth volontariamente.
Magari ho io un NETSTAT bacato; in effetti ci ho lavoricchiato un po' :-)
Leonardo


Magari ho io un NETSTAT bacato; in effetti ci ho lavoricchiato un po' :-)
Puo' darsi. Oppure non e' che NETBUS funziona con il principio dei
rootkit, e ti va a spippolare il software rendendoti difficile
l'identificazione? Magari te lo ha spippolato lui a suo tempo, tu lo
hai rispippolato, e a furia di spippoli... Io Netbus non lo ho mai
installato, il mio netstat e' verginello :)))
Oppure, avendo io installato diverse meghinaia di patches per Windows
(mi vanto di essere riuscito a tenere in piedi il mio PC con Winzozz
per 25 giorni, e poi lo ho tirato giu' solo per fare manutenzione -
scandisk, defrag etc.), puo' essere che la mia versione di netstat sia
diversa dalla tua... La mia versione č datata 14/08/98 ed e' grossa
24.944 bytes...
Ciao


24.944 bytes...
Eccoci.
NETSTAT  EXE        23,776  08-24-96 11:11a NETSTAT.EXE
Leonardo e la solita roba avanzata dalle Guerre Puniche


NETSTAT  EXE        23,776  08-24-96 11:11a NETSTAT.EXE
con ciň vuoi dire ke il netstat originale del win95 base base senza patch
non fa vedere alcuni servizi? mmmh interessante! mi vado a spulciare un po'
di vekki CD del 95 allora ... se necessario anke la versione su floppy! ;-D


 Leonardo e la solita roba avanzata dalle Guerre Puniche
io allora ti batto ;-)
NETSTAT  EXE        24kb   24-08-95
Humanoid che ogni venti secondi deve lavorare di manovella per alimentare
la sua macchina e di chiave del dodici per stringere i bulloni

non fa vedere alcuni servizi?
Brao. Per la precisione, porte in LISTEN con Winsock a 16 bits, post thunking,
e all'inizio pensavo che fosse perche' non c'era una finestra associata, e ora
invece ho visto che proprio non je ne po' frega' dde meno.
Vabbuo', mi prendero' un NETSTAT piu' recente (per quanto lo uso... :-) )
Leonardo


NETSTAT  EXE        24kb   24-08-95
Ma che e', rilasciano una versione di netstat ogni 24 Agosto???? La
tua e' del 95, quella di Leonardo del 96, la mia del '98 ma anticipata
al 14 Agosto... Avra' un significato mistico tutto cio'?
Cipe


al 14 Agosto... Avra' un significato mistico tutto cio'?
Si'. CHE QUANDO COPIANO UNA FOTTUTA UTILITY DA UNIX, NEANCHE RIESCONO
A COPIARLA BENE ALLA PRIMA, E CHE CAZZO!
Leonardo schifato
