Newsgroup: it.comp.aiuto
Titolo: AIUTOOO!!! Windows 2000 Server

Salve,
lavoro su windows 2000 Server e da quando l' ho installato noto un qualcosa
di strano.
Infatti nel momento che mi connetto ad internet il modoem incomincia a
segnalare che
sta trasferendo dei dati in uscita "Send Data". Inoltre in c:\ mi trovo dei
file TFTPXXX dove
XXX sta per un numer tipo 1278.... Questi files aumentano all' aumentare
della durata della connessione.
Qualcuno potrebbe spiegarmi se si tratta di qualche particolare funzione di
questo windows?
Io ho pensato che essendo versione Server abbia delle funzioni che non
figurano in sistemi operativi normali...
Boohhh!!!!
Vi prego aiutatemi a capire....!!!!!!!
Davide.

pap
asdfa


 questo windows?
E' una funzione *molto* particolare... quella di aver beccato
con molte probabilità i virus Code Red, VirtualRoot e Nimda.
Piazza un antivirus, aggiornalo e fai un bel controllo.
Poi aggiorna Win 2000 con tutte le patch possibili.
Scaricati qualche migliaio di messaggi da it.comp.sicurezza.
virus oppure cerca su 
http://groups.google.com/advanced_group_search
con le parole chiave CodeRed / Code Red / VirtualRoot
Nimda è nato ieri e ha già fatto stragi.
-- 
Bye by V.

questo windows?
Intanto escluderei ipotesi di Codice Rosso 1 o 2 (mi sembra che non si
propagasse via TFTP) e Nimda.
Trivial File Transfer Protocol e' un protocollo di utilità simile all'FTP:
un host si connette ad un server e carica/scarica un file su/dal server.
Le differenze principali con FTP:
-il protocollo di trasporto utilizzato e' UDP anziche' TCP, quindi i file
viaggiano per datagrammi insicuri e non con una connessione garantita
-non c'e' bisogno di autorizzazione all'accesso
-non ci sono tutte le funzionalita' comuni di FTP come creazione di file e
cartelle, modalità ASCII, resume, ecc.ecc.
-tutto il traffico passa su una sola porta che e' la .......69? boh non
ricordo bene. (naturalmente UDP).
Nella pratica TFTP viene utilizzato per caricare (o scaricare) piccoli file
per i dispositivi di rete quali router, e altri sistemi di piccole
dimensioni non dotate di memoria di massa, ma solo memoria FLASH. Con
questo metodo e' possibile ad esempio l'aggiornamento dei bios delle
periferiche di rete.
Suppongo che il pc non sia utilizzato da altre persone, o cmq non sia
utilizzata l'utility TFTP di Win2k, che e' appunto un client TFTP.
Personalmente TFTP l'ho provato in scenari di attacchi ai sistemi WinNT
(voglio solo dire che IIS rulez :-)). Prendiamo un sistema WinNT con IIS
affetto da bug Unicode o cgi-decode. Un modo molto semplice per caricare
sulla vittima un proprio trojan sarebbe, sfruttando questi bug, lanciare
l'utility TFTP della vittima e facendogli scaricare sul disco il trojan da
un server TFTP da noi controllato (esempio il proprio pc). Sempre tramite i
suddetti bug e' possibile quindi avviare il trojan sul sistema remoto.
Ammettiamo che si sia verificato questo evento. In tal caso dovresti
controllare nei LOG di IIS (sempre che non siano stati cancellati) se sono
stati sfruttati i bug di IIS contro il sistema.
Basta andare in c:\winnt\system32\logfiles\w3svc1\ e aprire il file piu'
recente, ed in esso cercare la parola TFTP: se e' presente allora il tuo
sistema e' stato attaccato sicuramente al 99%.
Un'ultima cosa: tutti quei file TFTP???? sono le copie dei file caricati
sul sistema coll'TFTP. Quindi se un attacker ha caricato tramite TFTP un
file sul pc, queste sono le copie dei file (almeno quelli non cancellati).
Fammi sapere l'esito dei LOG.
-- 
ÔÙ¼û
        Sephiroth
_________________________________________________________________
E-Mail:sephiroth88(at)
supereva.it
   IRC:SEPHIR0TH   ICQ: 20857755
=================================================================

propagasse via TFTP) e Nimda.
Sorry, mi correggo, sembra proprio essere Nimda, il worm che si sta
diffondendo ad una velocita' impressionante! TFTP viene appunto usato per
caricare il worm sul server e infettarlo.
Info su 
http://punto-informatico.it/pi.asp?i=37352
-- 
再见
