Newsgroup: it.comp.os.win.xp
Titolo: Spiato?

Mentre stavo navigando ad tratto ho visto illuminarsi di rosso il firewall.
L'ho aperto e ho trovato l'avviso che qualcuno mi stava spiando!
Immediatamente ho attivato il back trace ed ecco il risultato.
% This is the RIPE Whois server.
% The objects are in RPSL format.
%
% Rights restricted by copyright.
% See 
http://www.ripe.net/ripencc/pub-services/db/copyright.html
inetnum:      82.48.0.0 - 82.63.255.255
netname:      IT-TIN-20030807
descr:        Telecom Italia Net
descr:        Provider Local Registry
country:      IT
admin-c:      LV357-RIPE
tech-c:       ES785-RIPE
status:       ALLOCATED PA
notify:       omissis
notify:       
omi...@telecomitalia.it
mnt-by:       RIPE-NCC-HM-MNT
mnt-lower:    TIWS-MNT
mnt-routes:   INTERB-MNT
changed:      
hostm...@ripe.net
 20030807
source:       RIPE
route:        
82.49.0.0/16
descr:        INTERBUSINESS
origin:       AS3269
notify:       
omi...@cgi.interbusiness.it
mnt-by:       TIWS-MNT
mnt-routes:   INTERB-MNT
changed:      
omi...@telecomitalia.it
 20031016
source:       RIPE
role:         EASYIP STAFF
address:      Via ......
address:      I-00100 Roma
address:      Italy
phone:        +39 06
fax-no:       +39 06
e-mail:       
omi...@telecomitalia.it
trouble:      Please report spam/abuse notification to
trouble:      
ab...@telecomitalia.it
admin-c:      LV357-RIPE
tech-c:       CC297-RIPE
tech-c:       VS4572-RIPE
nic-hdl:      ES785-RIPE
notify:      
omi...@telecomitalia.it
changed:      
omi...@telecomitalia.it
 20020826
source:       RIPE
person:       omissis
address:      Telecom Italia
address:      00100 Roma
address:      Italy
phone:        +39-6-
fax-no:       +39-6-
e-mail:      
omi...@telecomitalia.it
nic-hdl:      LV357-RIPE
notify:       
omi...@telecomitalia.it
changed:      
omi...@telecomitalia.it
 20020419
source:       RIPE
mnt-by:       TIWS-MNT
Sinceramente sono molto seccato. Non stavo facendo alcunchè di illecito e mi
trovo un paio di tizi Telecom ( per un innato senso della correttezza ho
sostituito i nomi ed altri possibili identificativi con "omissis") in casa
mia o meglio a frugare nel mio computer.
Che ne pensate? Che cosa si può fare?

 Immediatamente ho attivato il back trace ed ecco il risultato.
[......]
Fammi capire, quando ti si illumina il firewall di rosso ti stanno spiando?
Hai ancora il log?
Non potrebbe essere stato solo uno scanning alla ricerca di ip infetti?
Quello che hai fatto tu è un back trace? 
Sei sicuro di avere le idee chiare?
Scusami ma ho motivo di credere che ci sia un pò di confusione
ciao
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 ciao
Può darsi, ma credo che sia un peccato veniale o no?
Ciao.
Nicola



Che hai decisamente frainteso.
WHOIS non ti dice che "ci sono 2 tizi di telecom" ma semplicemente che
l'indirizzo IP della macchina da cui proviene l'"attacco" appartiene
al gruppo di indirizzi affittati da Telecom Italia per i propri
utenti.
Difatti la dicitura: 
inetnum:      82.48.0.0 - 82.63.255.255 
indica TUTTI gli ip compresi tra il primo e l'ultimo indirizzo
indicato, ovvero 255 x 255 = 65025 indirizzi IP possibili.
Le altre indicazioni ti permettono di risalire a chi ha effettuato la
registrazione di TUTTI gli IP in questione, presumibilmente funzionari
della Telecom stessa.
Quindi tutto cio' vuol dire semplicemente che sull'ip da cui proveniva
l'attacco c'era uno con un portscanner che stava cercando possibili
bersagli per attacchi successivi. Ti ricordo che gli ip delle
connessioni dial-up (anche ADSL) sono dinamici e quindi e' molto
difficile risalire a chi lo stava utilizzando in un determinato
momento. In particolare col whois e' IMPOSSIBILE risalire a chi usa un
ip dinamico ma puoi solo sapere da che provider si sta collegando.
Riguardo a cosa si puo' fare.... NIENTE
-- 
Know what you like and know what you yearn
but they don't know a thing about me
I'm not that easy, I'm blank file in their memory
                            mousse[at]
softhome.net

 ha scritto nel messaggio
news:carl0097rekp0mmf9...@4ax.com...


 Che ne pensate?
Non sono tizi di Telecom, sono utenti di TIN che probabilmente hanno le
macchine infette da qualche virus che cercava di propagarsi in giro.
Non hai detto la cosa più importante: su quale porta TCP hanno provato a
collegarsi al tuo computer ?
Se era la 135, si tratta solo qualche poveraccio che si è beccato il
Blaster.
Massimo

 Blaster.
Ecco l'avviso che ho ricopiato :
Somebody is scanning your computer.
Your computer's TCP ports:
4480, 3382, 2282, 8000 and 3129 have been scanned from 82.49.99.243
Nicola

 changed:      
ripe-...@telecomitalia.it
 20020419
Allora come diceva Mousse i nomi ed i cognomi appartengono, alla
registrazione ip ovvero se tu metti uno qualsiasi di un ip di quel range
ti darà sempre lo stesso risultato.
Il whois serve prevalentemente per sapere a chi denunciare il tentativo di
abuso degli utenti.
Quindi si procede col contattare via mail 
l'ab...@telecomitalia.it
 e si
riportano i file di log del tuo firewall .
L' evento che tu hai visto come allarme sul tuo firewall , andrebbe
valutato, bisogna vedere se è un semplice scanning , se è un tentativo di
connessione ,oppure se durante la normale navigazione molti server
"chiedono" un netbios name,insomma come diceva Massimo ,sapere su quale
porta ed a cosa serve la porta è impoprtante.
Se fai un salto nel server irc di icq esempio noterai che se non subisci
una 50ina di attachi nel giro di pochi sencondi sei fortunato, Ciò non
significa che ti hanno "spiato" ma al max che ci hanno provato.
Ritengo che se anche l'allarme del tuo firewall, sia stato un tentativo di
connessione,non sia andato a buon fine, altrimenti il firewall non lo
avrebbe bloccato...
Ciao


 avrebbe bloccato...
Io uso regolarmente ICQ e da quando ho WinXP uso il firewall di Win, basta
da solo? Quando avevo Win2000 usavo ZoneAlarm e mi bloccava un casino di
cose, il firewall di XP come si fa a sapere se blocca "cose" o meno?
-- 
Saluti
Alec
(25,72+,CT)
Powered by AMD
AthlonXP 3000+

Alec ha scritto:



Il firewall di xp blocca solo dei servizi in ingresso, è sicuramente un
buon firewall, ma per utenti *avanzati*( che non cliccano ogni allegato
LOL)
Se  non ci si sente sicuri si puo tranquillamente appoggiarsi ad altri
firewall altrettanto efficaci.
Molti utenti definiscono gli avvisi di firewall di terze parti una
rottura...e preferiscono non averne utilizzando quello di xp.
Poi calcola che pure Zone alarm puoi impostarlo per "non avvisarti" comq
ognuno dice la sua, soo pareri.
Per vedere cosa blocca il firewall di xp :
C:\WINDOWS\pfirewall.log
ciao


 C:\WINDOWS\pfirewall.log
Non esiste il file pfirewall.log dentro la cartella Windows... e neanche in
tutto C:
Come mai?


 ha scritto nel messaggio
news:buetoa$1kg$1...@news.newsland.it...


 Come mai?
Vai su propietą della connessione dove abiliti il firewall-->
impostazioni--->registrazione di protezione 
da li puoi abilitare quali eventi vuoi siano registrati, ovviamente se non
registri nulla , non si crea nemmeno il file di log


 avrebbe bloccato...
Questo è il punto.
Sygate Firewall mi avverte dicendomi che "qualcuno sta scandagliando il mio
computer e che le porte 4480, 3382, 2282, 8000 e 3129 sono state violate da
82.49.99.243"  non che "qualcuno ha tentato di scandagliare il mio computer"
; ora quali sono le manovre che posso fare (considera che ho Sygate personal
firewal e quindi ho una scelta molto limitata di opzioni) per evitare o
proteggere l'accesso al pc?
Non mi preoccupo più di tanto, dato che  non ho dati riservati nel pc, è
solo per  saperne di più.
Ciao e grazie in anticipo.
Nicola
Il fatto che mi è stato



Nelle opzioni del firewall devi abilitare la registrazione degli
eventi su file, altrimenti non te lo crea.
Ah, se decidi di usare un altro firewall, come prima cosa disattiva
quello di windows altrimenti rischi di non riuscire a connetterti.


 Nicola
 
Allora quanto è successo, è stato uno scanport ovvero una  "scannerata":-)
sul tuo ip alla ricerca di porte aperte , oppure una query (versione
ridotta LOL)per vedere se sei infetto da qualche trojan per esempio se ad
un scanning su una determinata porta il tuo pc avesse risposto, quindi
porta aperta = servizio attivo ( cosa che non è avvenuta xche bloccato dal
firewall) era presumibile che potessi avere una backdoor installata! 
A quel punto visto la risposta di una determinata porta il Tizio (lamer
loaker akaro) chiamalo come vuoi, avrebbe associato la porta ad un client
da usare ma ripeto AVREBBE non è detto che lo abbia fatto, premetto che
comq la tua macchina dovrebbe  essere infetta, per usare le porte oltre la
1024, oppure netbios aperto o altri bug di altri servizi.
In ogni caso se tu  vuoi , fai il whois riporti il file di log del tuo
firewall all ' abuse , in questo caso 
ab...@telecomitalia.it
 con quanto è
successo, essi provvederanno a mandare quantomeno una mail al tizio con
minaccia di levargli l'account, se invece riesci a dimostrare danni ecc.
esso ti deve risarcire, comq è tutto da dimostrare.
Un ultima cosa non dimenticare il fatto che spesso ,l'ip che tu
vedi,potrebbe  non essere  dell 'attacker, ma magari di una macchina
compromessa, un target  (una vittima) dalla quale è stato effettuato un
nuovo attacco.
Chiedo scusa a tutto l'ng per l'[OT] e a chi ne sà piu' di me (
sicuramente non pochi) per il linguaggio "nostrano" usato



Non puoi fare assolutamente nulla: il firewall si occupa di rigettare
i pacchetti di dati ricevuti su quelle porte li', punto e basta.
E' semplicemente un avviso, ti dice che il firewall sta facendo
tranquillamente il suo lavoro. D'altra parte ti dice che ci sono
tentativi di connessione, mica che qualcuno s'e' effettivamante
connesso!


 ha scritto nel messaggio
news:tumo00lkf0495lfji...@4ax.com...


 Nicola
 
 Non commuoverti ora :-D
ciao
