Newsgroup: it.comp.sicurezza.varie
Titolo: intrusione....che fare?

Stamattina ho trovato una amara sorpresa...
sulla macchina NT Server una poersona si era loggata alle 2.36 c.g.
La macchina da ieri non era più sotto firewall per alcuni problemi di
connettivita ( abbiamo due linee) e il firewall mi gestisce solo una classe
di IP
Era in programma una migrazione di IP.............ma mi hanno rotto il c..o
subito!!!!!
Dai log ho notato che aveva navigato e cercato di entrare nella console del
Mail Server
sembra che abbia usato un remote control......
La macchina possiede un controllo remoto ma solo dalle macchine della
LAN.....
Come può esserci riuscito?Ha forse fatto un brute force su qualche servizio
di WinNT....
Lo smaliziato ha anche creato un utente di dominio sul PDC (un altro server)
che lo fà loggare così su ogni macchina........
Cosa devo fare nell'immediato per non spegnere la macchina?
Come posso vedere quale file, quale connessione remota ha usato e per
chiudergli la strada cosa mi suggerite...
Sicuramente formatterò il server ma vorrei dei consigli per il futuro
affinchè non accada più
Ciao a tutti
Giuseppe


Forse hai ragione ma disabilitando RPC a cosa vado incontro?
La macchina deve stare,  per ragioni che non condivido, ancora fuori
firewall cosa mi consiglite come difesa?
Tra qualche giorno cambieremo Mail e perciň mi chiedono di pazientare....


questo proprio se non amministri il server da remoto
almeno disabilitalo.
*sicuro* di non avere IIS4 in esecuzione, su quel server ?

 LOL fai pure lo spiritoso, eh ?
Forse ha installato un pacchetto di questa suite...
http://www.plug-pray.org/
^__^
Ciao
Matteo


probabilmente quel server e' collegato ad altri computer in rete,
avra' una sola scheda di rete e quindi la chiusura del NetBios
su TCP/IP isolerebbe il server dal resto della rete (cosa peraltro
positiva, visto che, a quanto ha detto, il tizio/a s'e' pure creato
un account sul PDC del dominio (altro server, che suppongo
comunichi con il suddetto attraverso il NetBios).
Difatti ero tentato di dirgli di metter su una seconda scheda di
rete da collegare al router, e di chiudere il NetBios su quella
scheda... pero' non gli lascian mettere il pc sotto firewall,
figurarsi se glielo lascian aprire per metterci la seconda scheda...

 chiudergli la strada cosa mi suggerite...
Esiste un codicillo maligno in c che sfrutta una famoasa vulnerabilita 
del servizio RPC. il codicillo in questione si crea un utente, quindi se
il tuo pdc non era patchato, molto probabilmente ha usato quella strada.
Trovi un link al sorgente negli archivi della malinglist di 
sicurezza.org
, ad occhio e croce circa un mesetto fa, ma non ricordo
bene.
Banana

 bene.
Pardon, volevo dire 
sikurezza.org
, non sono abituato a scrivere con le k
/me correggo
banana

 Forse ha installato un pacchetto di questa suite...
Ma LOL, non c'è più religione ma c'è Fede!
http://www.plug-pray.org/ITA/PregaItalia.html
Saluti, Anto
--
Papà, cosa sono le icone?
- Sono immagini sacre.
E perché Windows ne ha tante?
- Perché ci vogliono i miracoli per farlo funzionare

 Workstation
Non c'e' che dire.... c'e' l'imbarazzo della scelta....
Se quella macchina era cosě delicata andava protetta a monte.... 
-- 
| /
| \Byte - Andrea Briganti - kbytesys(aaattt)
tiscali.it
CSLug member: 
http://cslug.linux.it
 - JID: 
kb...@jabber.linux.it
***Ogni ideologia o movimento non č immune dagli idioti