Newsgroup: it.comp.sicurezza.varie
Titolo: (Riprovo) Richieste di connessione in entrata

Salve di nuovo a tutti,
qualche giorno fa ho postato una richiesta per delle strane richieste 
di connessione in entrata che mi vengono segnalate dal fw. Ripropongo 
la richiesta cercando di fornire ulteriori elementi sperando che 
qualcuno possa darmi una spiegazione ed magari un suggerimento.
Un 'Generic Host process for Win32 service' periodicamente mi chiede 
l'autorizzazione per una connessione in entrata. Tramite il visualroute 
ho riscontrato che tutti gli IP sono su reti situate in Cina. Gli Ip 
remoti, originariamente si alternavano tra il 62.172.245.200 ed il 
62.172.245.209 sulla porta locale 1027 (ExoSee)
In questi giorni gli IP sono cambiati e le richieste pervengono sugli 
Ip 221.10.224.226 - 61.235 .154.90 61.155.39.20 - 61.152.158.124 ) 
porta locale 1028 (Deprecated February 2004).
Vorrei capire che tipo di processo fa la richiesta di connessione e per 
questo avrei pensato di autorizzare una volta la connessione ed 
utilizzare sia il Netstat (anovb) incrociando i risultati con il 
TaskList svc per capire di preciso il processo interessato. Il problema 
è che fare una prova del genere significa aprire la porta di casa senza 
sapere chi e cosa può entrare.
Quello che mi interessa è sapere se c'è un qualche eseguibile estraneo 
che lavora in silenzio e che sembra in grado di cambiare autonomamente 
i dati delle richieste (IP e porte)
Ribadisco che le mie scarse conoscenze informatiche non mi fanno andare 
oltre, per questo mi scuso di nuovo per l'ulteriore post, ma spero i 
pochi elementi in più, possano servire.
Il tutto non per soddisfare una semplice curiosità, ma semplicemente 
per cercare di imparare un pezzettino in più.
-- 
Ciao, Stefano

mentre girottolavo nella mia cella di due metri per 3, mmuble scrisse:

Risolto,
sorry
-- 
Ciao, Stefano

 grazie
In primis ho concesso una volta, per vedere cosa accadeva: niente e 
dopo ho bloccato forever.
IN un secondo tempo ho salvato il log e sto cercando di capirci 
qualcosa cercando in rete ma è dura. :-(
Se ti interessa o magari qualcuno dei frequentatori del ng si vuole 
cimentare eccolo:
20/04/2005 18.47	svchost.exe	IN 	UDP	1027	61.152.158.124	38840	Auto 
apprendimento	0.00.05	0 byte	0 byte
20/04/2005 18.39	javaw.exe	OUT 	TCP	1749	61.152.158.124	HTTP	Browser 
HTTP connection	0.00.01	0 byte	0 byte
20/04/2005 18.38	javaw.exe	OUT 	TCP	1748	61.152.158.124	HTTP	Browser 
HTTP connection	0.00.01	0 byte	0 byte
20/04/2005 18.38	javaw.exe	OUT 	TCP	1744	61.152.158.124	HTTP	Browser 
HTTP connection	0.00.01	0 byte	0 byte
20/04/2005 18.37	javaw.exe	OUT 	TCP	1697	61.152.158.124	HTTP	Browser 
HTTP connection	0.00.01	0 byte	0 byte
20/04/2005 18.37	SYSTEM	IN 	ICMP	Risposta 
Echo/0	61.152.158.124	Risposta Echo/0	ICMP Traffico	0.00.54	0 byte	1.0 
KB
20/04/2005 18.37	SYSTEM	OUT 	ICMP	Richiesta 
Echo/0	61.152.158.124	Richiesta Echo/0	ICMP Traffico	0.00.55	13.5 KB	0 
byte
20/04/2005 18.37	SYSTEM	IN 	ICMP	Risposta 
Echo/0	61.152.158.124	Risposta Echo/0	ICMP Traffico	0.00.01	0 byte	60 
byte
20/04/2005 18.36	SYSTEM	OUT 	ICMP	Richiesta 
Echo/0	61.152.158.124	Richiesta Echo/0	ICMP Traffico	0.00.26	240 byte	0 
byte
20/04/2005 18.36	firefox.exe	OUT 	TCP	1693	61.152.158.124	HTTP	Mozilla 
Firefox HTTP connection	0.00.01	0 byte	0 byte
20/04/2005 18.36	firefox.exe	OUT 	TCP	1691	61.152.158.124	HTTP	Mozilla 
Firefox HTTP connection	0.00.01	0 byte	0 byte
-- 
Ciao, Stefano