Newsgroup: it.comp.os.win.xp
Titolo: allarme intrusione

Il miosoftware antivirus ha rilevato un tentativo di connessione. A seguire 
il log, tenete conto che  me lo apre continuamente:
LOG
**********************
Personal Firewall ha rilevato una connessione che corrisponde alle 
condizioni di avviso specificate
Applicazione/Programma: Generic Host Process Win 32 Service
File C:\WINDOWS\SYSTEM32\SVCHOST.EXE
Porta 25
Protocollo TCP
Indirizzo IP remoto:  202.138.53.11
FINE LOG
**********************
Chi mi sa dare una spiegazione? Tenete conto che ho una connessione Fastweb 
in fibra ottica e sono connesso con all' Hag di Fastweb con un cavo connesso 
alla scheda di rete... quindi LAN... che c'entra il TCP?
Grazie in anticipo
Aw.

Awake ha scritto:

Come che c'entra il TCP? Il protocollo TCPIP è il protocollo di 
tutte le connessioni di rete
La porta 25 è la porta SMTP; quella attraverso la quale viene 
inviata posta. Perciò non si tratta di intrusione ma di 
estrusione: qualche cosa sta tentando di inviare posta.
E' quindi probabile che ci sia un worm nel tuo PC.
Quell'indirizzo IP, da come mi risulta da una ricerca Whois, 
appartiene ad un campo di IPs assegnati ad un ISP australiano; 
l'hacker dovrebbe essere australiano.
--  
Postato da Virgilio Newsgroup: scopri i nuovi gruppi 
Eros, foto e video a 
http://newsgroup.eros.virgilio.it

 ha scritto nel messaggio 
news:8931153.1161647589076.JavaMail.newsgroup@sc-ng-1...


 
Mi spiace, non ho esperienze personali di fatti del genere per 
cui non saprei come aiutarti. 
Prova a vedere se netstat.exe che è una applicazione di XP 
(almeno di quello pro) ti dice che cosa sta usando la porta 25.
La procedura è questa
Start->Esegui-> scrivi: cmd -> OK. Nella console che appare 
copia ed incolla questo:
C:\WINDOWS\system32\netstat.exe -> Invio


 ha scritto nel messaggio 
news:32656487.1161681190685.JavaMail.newsgroup@sc-ng-1...





 ha scritto nel messaggio 
news:1257882.1161772149954.JavaMail.newsgroup@sc-ng-1...


Awake ha scritto:

Per favore rispondi sotto al messaggio e non sopra; non per 
etichetta ma perchè mi è più facile cancellare la parte di 
messaggio che non interessa nella risposta; mi è più facile 
scrivere la risposta e poi inviarla perchè il bottone è subito 
li...
Ma che antivirus con firewall hai che non ti dà la possibilità 
di stabilire che la risposta che darai al messaggio che ti 
chiede se vuoi permettere la connessione, sarà per sempre o solo 
per quella volta? 
Io credo che ci sia un modo per scoprire chi è che tenta 
quell'accesso; è un modo empirico per il quale bisogna essere un 
po'furbetti( ed io lo sono; non in senso negativo, ma nel senso 
che sono più furbo dei furbetti, quelli in senso negativo; in 
altri termini ne so una più del diavolo). Ecco come farei: Il 
firewall ti darà un elenco delle applicazioni alle quali è 
consentito o negato l'accesso ad internet?! O no? Scriviti 
quell'elenco.
Di solito quello che i worms tentano di inviare attraverso la 
porta 25 è la rubrica del tuo programma di posta o delle mail, 
che includono lui stesso, agli indirizzi nella rubrica. Fa la 
copia della rubrica e conservala fuori dal PC (in un floppy, se 
ci sta, od in un pendrive) poi cancella nell'originale tutti gli 
indirizzi validi, mettendocene uno fasullo ( componilo nel modo 
giusto, ma con ID o dominio impossibili in modo da evitare che 
ci sia veramente un indirizzo simile; l'importante è che il worm 
tenti di inviare). Poi per sicurezza togli anche tutti i dati 
sensibili che hai nel PC (numeri di carte di credito, e simili)
svuota anche tutti i temporanei ed i temporanei di internet 
explorer; inoltre in internet explorer -> Strumenti-> Opzioni 
internet->Contenuto->Completamento automatico->lascia la spunta 
solo su "Indiririzzi WEB" e poi clicca sui due bottoni 
sotto, "Cancella....". In questo modo tutto quello che hai 
scritto sui moduli in internet(nomi utenti,password, ed anche 
numeri di carte di credito...etc etc)e che sono stati salvati 
nella cache per la ricompilazione rapida, verrà cancellato e non 
verrà più salvato. Lascia poi sempre tutto così, se non vuoi 
rischiere di vederti vuotare la carta di credito se la usarai in 
internet.
Poi spegni il PC. Togli anche l'alimentazione per una trentina 
di secondi. Riaccendi ed al successivo tentativo alla porta 25 
permetti la connessione in via definitiva, così che il programma 
venga scritto nell'elenco dei programmi consentiti. Poi 
confronti quest'elenco con quello che avevi copiato. In questo 
modo dovresti avere il nome del programma e probabilmete anche 
la sua directory. Dopo di chè lo togli dall'elenco e lo vai a 
cercare e lo elimini. La procedura di eliminazione ( che dovrà 
probabilmente comprendere anche una ricerca nel registro ed 
anche nei files del ripristino configurazione del sistema)
cercala in internet oppure postami che la cerchiamo insieme.
Buona fortuna; se hai bisogno di chiarimenti sono qui.


 ha scritto nel messaggio 
news:11791340.1161821111447.JavaMail.newsgroup@sc-ng-1...
