Newsgroup: it.comp.sicurezza.varie
Titolo: porta 1025...e che e'?

come da soggetto, facendo un netstat -na anche senza essere connesso ottengo
che la porta 1025 tcp e' in listening e cosi' pure la 135.....che puo'
essere?
Su una lista delle porte +/- comuni ho trovato in corrispondenza della 1025:
blackjack a parte il nome di sicuro non incoraggiante, mi sapete dire a che
corrisponde?
denghiu!
--
OverfloW
Per rispondermi via mail attenzione all'anti-spam  !!!

 che la porta 1025 tcp e' in listening e cosi' pure la 135.....che puo'
penso sia un qualcosa utile a tutti, ciao
vupi
What port numbers do well-known trojan horses use?
After seeing several questions about trojan traffic directed at ports as
31337 and 12345 I've put together a list of all trojans known to me and the
default ports they are using. Of course several of them could use any port,
but I hope this list will maybe give you a clue of what might be going on.
If you find probes direct against ports normally not used, it may be someone
trying to connect to a trojan inside your network. I hope this list will be
of some help for you. The problem with Remote Access trojans or trojans
trying to steal passwords is a new one. Today there are no program, either
anti virus or anti trojan programmes, who can detect unknown trojan horses.
And the programmes claiming to defend you can only find a fraction of all
the several hundred trojans out there – 17 written in 1997, 81 constructed
the following year, and at least 156 new trojans thus far in 1999.
This list was last (at last) updated 1999–11–01 and includes more than 75
new entries compared with the June list. I am sorry for the delay, but it is
really time consuming digging out all this information.
Default ports used by some known trojan horses:
port 21 - Back Construction, Blade Runner, Doly Trojan, Fore, FTP trojan,
Invisible FTP, Larva,
              WebEx, WinCrash
port 23 - Tiny Telnet Server (= TTS)
port 25 - Ajan, Antigen, Email Password Sender, Haebu Coceda (= Naebi),
Happy 99, Kuang2,
               ProMail trojan, Shtrilitz, Stealth, Tapiras, Terminator,
WinPC, WinSpy
port 31 - Agent 31, Hackers Paradise, Masters Paradise
port 41 - DeepThroat
port 59 - DMSetup
port 79 - Firehotcker
port 80 - Executor, RingZero
port 99 - Hidden Port
port 110 - ProMail trojan
port 113 - Kazimas
port 119 - Happy 99
port 121 - JammerKillah
port 421 - TCP Wrappers
port 456 - Hackers Paradise
port 531 - Rasmin
port 555 - Ini-Killer, NeTAdmin, Phase Zero, Stealth Spy
port 666 - Attack FTP, Back Construction, Cain & Abel, Satanz Backdoor,
ServeU, Shadow Phyre
port 911 - Dark Shadow
port 999 - DeepThroat, WinSatan
port 1001 - Silencer, WebEx
port 1010 - Doly Trojan
port 1011 - Doly Trojan
port 1012 - Doly Trojan
port 1015 - Doly Trojan
port 1024 - NetSpy
port 1042 - Bla
port 1045 - Rasmin
port 1090 - Xtreme
port 1170 - Psyber Stream Server, Streaming Audio trojan, Voice
port 1234 - Ultors Trojan
port 1243 - BackDoor-G, SubSeven, SubSeven Apocalypse
port 1245 - VooDoo Doll
port 1269 - Mavericks Matrix
port 1349 (UDP) - BO DLL
port 1492 - FTP99CMP
port 1509 - Psyber Streaming Server
port 1600 - Shivka-Burka
port 1807 - SpySender
port 1981 - Shockrave
port 1999 - BackDoor
port 1999 - TransScout
port 2000 - TransScout
port 2001 - TransScout
port 2001 - Trojan Cow
port 2002 - TransScout
port 2003 - TransScout
port 2004 - TransScout
port 2005 - TransScout
port 2023 - Ripper
port 2115 - Bugs
port 2140 - Deep Throat, The Invasor
port 2155 - Illusion Mailer
port 2283 - HVL Rat5
port 2565 - Striker
port 2583 - WinCrash
port 2600 - Digital RootBeer
port 2801 - Phineas Phucker
port 2989 (UDP) - RAT
port 3024 - WinCrash
port 3128 - RingZero
port 3129 - Masters Paradise
port 3150 - Deep Throat, The Invasor
port 3459 - Eclipse 2000
port 3700 - Portal of Doom
port 3791 - Eclypse
port 3801 (UDP) - Eclypse
port 4092 - WinCrash
port 4321 - BoBo
port 4567 - File Nail
port 4590 - ICQTrojan
port 5000 - Bubbel, Back Door Setup, Sockets de Troie
port 5001 - Back Door Setup, Sockets de Troie
port 5011 - One of the Last Trojans (OOTLT)
port 5031 - NetMetro
port 5321 - Firehotcker
port 5400 - Blade Runner, Back Construction
port 5401 - Blade Runner, Back Construction
port 5402 - Blade Runner, Back Construction
port 5550 - Xtcp
port 5512 - Illusion Mailer
port 5555 - ServeMe
port 5556 - BO Facil
port 5557 - BO Facil
port 5569 - Robo-Hack
port 5742 - WinCrash
port 6400 - The Thing
port 6669 - Vampyre
port 6670 - DeepThroat
port 6771 - DeepThroat
port 6776 - BackDoor-G, SubSeven
port 6912 - Shit Heep (not port 69123!)
port 6939 - Indoctrination
port 6969 - GateCrasher, Priority, IRC 3
port 6970 - GateCrasher
port 7000 - Remote Grab, Kazimas
port 7300 - NetMonitor
port 7301 - NetMonitor
port 7306 - NetMonitor
port 7307 - NetMonitor
port 7308 - NetMonitor
port 7789 - Back Door Setup, ICKiller
port 8080 - RingZero
port 9400 - InCommand
port 9872 - Portal of Doom
port 9873 - Portal of Doom
port 9874 - Portal of Doom
port 9875 - Portal of Doom
port 9876 - Cyber Attacker
port 9878 - TransScout
port 9989 - iNi-Killer
port 10067 (UDP) - Portal of Doom
port 10101 - BrainSpy
port 10167 (UDP) - Portal of Doom
port 10520 - Acid Shivers
port 10607 - Coma
port 11000 - Senna Spy
port 11223 - Progenic trojan
port 12076 - Gjamer
port 12223 - Hack«99 KeyLogger
port 12345 - GabanBus, NetBus, Pie Bill Gates, X-bill
port 12346 - GabanBus, NetBus, X-bill
port 12361 - Whack-a-mole
port 12362 - Whack-a-mole
port 12631 - WhackJob
port 13000 - Senna Spy
port 16969 - Priority
port 17300 - Kuang2 The Virus
port 20000 - Millennium
port 20001 - Millennium
port 20034 - NetBus 2 Pro
port 20203 - Logged
port 21544 - GirlFriend
port 22222 - Prosiak
port 23456 - Evil FTP, Ugly FTP, Whack Job
port 23476 - Donald Dick
port 23477 - Donald Dick
port 26274 (UDP) - Delta Source
port 29891 (UDP) - The Unexplained
port 30029 - AOL Trojan
port 30100 - NetSphere
port 30101 - NetSphere
port 30102 - NetSphere
port 30303 - Sockets de Troi
port 30999 - Kuang2
port 31336 - Bo Whack
port 31337 - Baron Night, BO client, BO2, Bo Facil
port 31337 (UDP) - BackFire, Back Orifice, DeepBO
port 31338 - NetSpy DK
port 31338 (UDP) - Back Orifice, DeepBO
port 31339 - NetSpy DK
port 31666 - BOWhack
port 31785 - Hack«a«Tack
port 31787 - Hack«a«Tack
port 31788 - Hack«a«Tack
port 31789 (UDP) - Hack«a«Tack
port 31791 (UDP) - Hack«a«Tack
port 31792 - Hack«a«Tack
port 33333 - Prosiak
port 33911 - Spirit 2001a
port 34324 - BigGluck, TN
port 40412 - The Spy
port 40421 - Agent 40421, Masters Paradise
port 40422 - Masters Paradise
port 40423 - Masters Paradise
port 40426 - Masters Paradise
port 47262 (UDP) - Delta Source
port 50505 - Sockets de Troie
port 50766 - Fore, Schwindler
port 53001 - Remote Windows Shutdown
port 54320 - Back Orifice 2000
port 54321 - School Bus
port 54321 (UDP) - Back Orifice 2000
port 60000 - Deep Throat
port 61466 - Telecommando
port 65000 - Devil
In due time we will try to publish lists of known trojan files


sicuramente utile, ti ringrazio.
purtroppo le mie due porte non compaiono nell'elenco....sono punto e
d'accapo! :-)

 d'accapo! :-)
apri un po con un editor di testo il file "Services"....ciao...

 essere?
c'era un 3d con questo subject:
"RPCSS.EXE --> 135 listening"
Forse ti può interessare
Xbug


mi sembra strano: le due porte in questione sono gia' aperte prima che io
sia collegato, quindi prima che io apra IE.

vupi ha scritto nel messaggio ...

non so cosa contenga il tuo....ma il mio "Services" contiene le solite WK
e le 1025 e 135 non compaiono :-)

sia collegato, quindi prima che io apra IE.
non e' detto, se hai il desktop attivo, IE e' gia' partito, e si e'
travestito da explorer.
Ciao.roberto
-- 
Save our planet!
Save wildlife;
For your E-MAIL use only recycled Bytes !!
roberto poggi  
rpo...@softhome.net

essere?
Se vai qui (e segui anche follows up)
http://www.commodon.com/wwwboard/messages/31.html
leggerai che oltre da blackjack (che non so cosa sia) puo'essere
aperta da rpcss.exe (remote procedure call)  o da RealPlayer.
 
Lapalissiano
ICQ 57269703


Per la 1025 non ti preoccupare, è una porta
aperta da win normalmente,
per la 135 io mi preoccuperei un po'.
è adibita ai servizi locali, però può anche
essere attivata da parte del NetBios (muy pericoloso)
--
Ciao,
Homer Simpson 
hom...@tiscalinet.it
Tom Hanks:
-Quando sarò al cospetto di Dio Padre, e lui mi chiederà
perchè ho ucciso uno dei suoi miracoli viventi, cosa dovrò dire?
Che era il mio mestiere?


Qualsiasi progz può aprire una porta ;-)))


 Prova a mettere la sua pagina iniziale "blank" e la porta si richiude.
La mia 1025 rimane aperta anche con IE chiuso e anche se partisse con
abuot:blank
--
Saluti
~~~~~~~~~~~~~~~~~
Veneziano Davide   
ve...@vene.dave.it
http://vene.dave.it
 Servizi Internet, Registrazione domini, Patch Oe5
http://mail.vene.dave.it
 E-mail Gratuite (POP/SMTP/Web)
http://vene.dave.it/news
 Elenco di News Server pubblici
ICQ# 14047537
~~~~~~~~~~~~~~~~~

Qualsiasi progz può aprire una porta ;-)))
Si' ma uno solo alla volta (due se uno TCP e l'altro UDP).....chi sara' il
truffaldino che si mette ad ascoltare sulla 135?

 truffaldino che si mette ad ascoltare sulla 135?
uccidili uno a uno e vedi quando la porta sparisce...
[e' comunque sconsigliabile chiudere explorer, kernel32.dll e
msgsrv32.dll :-)]
-- 
a.t.k -- ICQ#32152712
"Still it's hard, hard to see,
fragile lives, shattered dreams..."

--
"Dottore dottore ho mal di denti!!!"
"Strappiamoli uno alla volta e scopriamo quando non ti fa piu' male"
ma dai!!!!!!
e se fosse qualche programma non visibile?
comunque anche se fa un po' masochista provero'.

 truffaldino che si mette ad ascoltare sulla 135?
vfzedvoy.exe in c:\windows\system:
ciò che segnala l'AtGuard


 ciò che segnala l'AtGuard
Non capisco, sul tuo sistema c'è un file con questo nome, e AtGuard
ti segnala che apre la porta 135 ?
vfzedvoy.exe....
...ecchedè ?
Considerando che non ne ho trovato traccia su nessun motore di ricerca,
e su nessun PC di quelli che ho da queste parti, mi pare un bel po' strano.
Sarò paranoico (magari fa parte di qualche programma che non conosco)
ma io mi preoccuperei un po'. Se non altro perché di eseguibili, in teoria, in
windows\system\ dovrebbero esserci solo quelli M$.
Bye, G.

sostituisci Y con N
un zulenet che...vabbč potevi leggerti anche il thread (RPCSS.EXE -->
135 listening)
--  
verso la catastrofe ma con entusiasmo!
to replay: yuppidu --> freemail
 
 

contribuisco alla lista di porte usate da backdoors con questo link dove
e' presente una analoga lista, non so se e' piu' aggiornata comunque
sembra che la aggiornino periodicamente, la verione attuale e' del 26
aprile...
http://www.onctek.com/trojanports.html
-----BEGIN DOC SIGNATURE-----
Version: 1.2.0
Per un attimo si era sentito sull'orlo della rivelazione, e adesso era
passato, miserabile e inglorioso come uno starnuto fallito.
(Gibson-Sterling)
dot...@interpuntonet.it
http://web.interpuntonet.it/dottore
icq#: 66099988
-----END DOC SIGNATURE-----

 e se fosse qualche programma non visibile?
e' possibile rendere un programma invisibile anche ad AVP System
Watcher?
-- 
a.t.k -- ICQ#32152712
"What the hell is going on?
The cruellest dream, reality..."

 Watcher?
I driver kernel (le famigerate VXD) sono a tutti gli effetti *INVISIBILI*. Di
programmi in grado di rilevarli conosco solo il caro dr. Watson (drwatson.exe),
che perň, poverino, non riesce quasi mai trovare il vero nome del file, in
genere indica vmm32.vxd. In genere, se non si tratta di componenti del sistema
operativo o di software antivirus, al massimo si puň trattare di file virus,
cioč virus che infettano i file non appena vengono eseguiti, ma oramai questo
tipo di virus č alquanto fuori moda.

 >sostituisci Y con N
da me è già N! come si spiega? un Windows 98 già sicuro???


non è mica un valore di default!


 non è mica un valore di default!
però è notevole! tra le opzioni possibili era già attivata la più sicura!
--
"They dwell in a box of air. They were so bright that the eyes could not be
turned on them, that the ears could not be aware of their steps: their gleam
absorbed even the noises. This is what they were. They are much less than the
shades of their own skeletons, hanging in their vacuum of compressed air. This
is what they are"
[ green notebook, day#1 ]