Newsgroup: it.comp.os.linux.iniziare
Titolo: caccia al virus (2)

ciao a tutti.
NB trovate + in basso un'altro Thread uguale, ma datoche avevo formulato
male il quesito iniziale riprovo con questo nuovo thread.
In questi giorni il virus netsky impesta le nostre reti.
se leggete nelle note di spiegazione di tale virus, noterete che il virus si
crea un SMTP server e spara sulla rete migliaia di e-mail.
Allora ALL'INTERNO DELLA MIO DOMIINIO vorrei controllare TUTTI i pacchetti
TCP diretti ( o provenienti) alle porte 25.
se eseguo tcpdump -i eth0 port 25 'vedo' solamente i pacchetti indirizzati
alla porta ethernet del computer dove tcpdump e' in esecuzione (provate per
credere)
se eseguo nmap scopro quali computer hanno la porta 25 aperta ( ma non penso
che il virus apra una porta 'regolamentare') ma non so quale computer genera
i pacchetti infetti.
quale altro metodo puo' essere utilizato ?
ciao e grazie a chi era gia' intervenuto

 quale altro metodo puo' essere utilizato ?
Beh potresti impostare un gateway per la rete ed esaminare il traffico
tramite netfilter, e opportune regole di log.
bye
-- 
= active @ actisystem =
GIT d- s:+>: a-- C+++ UL++++ P++ L+++ E--- W+ N+ 
o? !K w-- O-- M- V? PS+(++) PE Y+>++ PGP++ !t 5? 
X++(+) R(+) tv+(++) b+>++ !DI D+ G e>++ h! r++ x*

quale altro metodo puo' essere utilizato ?
Le mail mandate dal virus escono su internet?
Se si', come escono? Attraverso un gateway, immagino.
Il quale gateway avra' (almeno) due interfacce: una di rete locale e
una verso internet (puo' essere un modem, una scheda ethernet, un
router, un piccione, salcazzo cosa). Ecco, se metti tcpdump in ascolto
su quella macchina li', sull'interfaccia di rete locale, filtrando
solo il traffico in ingresso, magari raffinando i filtri di
(tcpdump|ethereal|ethercap|thetereal) in modo da alzare la bandierina
solo se e' una mail, credo tu possa prendere poi quella bandierina e
piantarla... Emh.
YMMV
-- 
manuel 'fmf' ferrero

 quale altro metodo puo' essere utilizato ?
Ti serve un network sniffer. Qui si entra in territori selvaggi e pericolosi,
quindi ti lascio in balia degli elementi. No, scherzi a parte, ne ho sentito
parlare molte volte ma non ho mai dovuto usarli di persona.
Ciao,
-- 
       Roberto Divia`             Love at first sight is one of the greatest
       =============             labour-saving devices the world has ever seen.
Mailbox: C02110                 CERN-European Organization for Nuclear Research
E-mail: 
Robert...@cern.ch
           CH-1211 GENEVE 23, Switzerland

 male il quesito iniziale riprovo con questo nuovo thread.
prova ettercap.

 i pacchetti infetti.
Comunque se una macchina ha la 25  aperta e non era un server di posta
avra` un virus, io la formatterei.   Perche` dici che non sai quale pc
genera i  pacchetti infetti?  Il virus  l'avrai preso da  fuori, ma se
quello che  fa e` veramente aprire  un SMTP server  allora le macchine
con la 25 aperta -sono- virate, no?
-- 
Vuoi fare colpo su di lei con me?
Fai colpo su di lei con me! Fai colpo su di lei con me!
[Dr. Gonzo : Paura e delirio a Las Vegas]

 wrote in message
news:c3ujq5$2d8trh$1...@ID-162994.news.uni-berlin.de...
grazie a tutti ho fatto un bel mix di nmap e tcpdump in uno script
ho provato ad infettatare una macchina e il tutto funge
grazie per la collaborazione
ed al prossimo......virus :-(
vi bacio (specialmente le voste fidanzate)
BanZai

 era meglio se continuavi quel thread).
Ragazzi, avete preso una topica.
Non installa nessun server smtp che ascolta sulla 25.
Piuttosto, ha un client smtp, ovvero un pezzo di programma che spara
*verso* la porta 25 dei server di destinazione le mail.
Pertanto, con nmap non trovi una porta 25 aperta sulla tua macchina.
Al massimo, con ettercap o simili puoi trovare del traffico indirizzato
alla porta smtp di vari provider.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 Non installa nessun server smtp che ascolta sulla 25.
Ah, ok, l'ho detto che di virus non ne capivo nulla :-)
In questo caso banzai, devi rivedere tutto il discorso.
