Newsgroup: it.comp.aiuto
Titolo: Segnalazione misteriosa....

....almeno per me!
Ciao a tutti.
Ho installato da qualche giorno l'antivirus Avast 4.5 Pro, che ha fatto una
bella pulizia al mio PC.
Mi appare però nella parte bassa a sinistra dello schermo e con regolarità
ogni 5/6 minuti la seguente segnalazione:
"Protezione di rete: bloccato DCOM exploit - attacco da
5.255.212.178:135/tcp
" evidenziata in giallo.
In aggiunta mi si dà la possibilità di evitare la visualizzazione del
messaggio.
Ma prima di disattivarla vorrei sapere che cosa significa. E' una semplice
informazione o é un avvertimento?
Il mio S.O. é WinXP SP1 e sono collegato alla rete FastWeb.
Ringrazio fin d'ora chi vorrà soddisfare questa mia curiosità e saluto tutti

 ha scritto nel messaggio
news:Z6Jxd.51541$C94....@tornado.fastwebnet.it...

A seguito di quanto sopra ecco una serie delle ultime 10 segnalazioni:
 21.12.2004  14:58:49  DCOM Exploit attack
  from 
5.255.228.42:135
21.12.2004  15:00:23  DCOM Exploit attack
  from 
5.255.212.178:135
21.12.2004  15:07:37  DCOM Exploit attack
  from 
5.255.213.251:135
21.12.2004  15:10:20  DCOM Exploit attack
  from 
5.255.228.42:135
21.12.2004  15:15:17  DCOM Exploit attack
  from 
5.255.212.178:135
21.12.2004  15:18:53  DCOM Exploit attack
  from 
5.255.212.178:135
21.12.2004  15:22:47  DCOM Exploit attack
  from 
5.255.212.178:135
21.12.2004  15:27:02  DCOM Exploit attack
  from 
5.255.212.178:135
21.12.2004  15:27:45  DCOM Exploit attack
  from 
5.255.212.178:135
21.12.2004  15:28:13  DCOM Exploit attack
  from 
5.255.212.178:135
Preciso che non sono collegato a nulla (Internet) se non all'hag di
Fastweb!!
Che cos'é DCOM Exploit?
Chi sono (penso siano IP) 5.255.212.XXX.XXX e compagni?
Sarò grato a chi potrà e/o vorrà rispondermi.
Buon Natale a tutti!

 ha scritto nel messaggio
news:tMWxd.52404$C94....@tornado.fastwebnet.it...

Allora,
devi sapere che è già un po di tempo che è stata scoperta una zona
diciamo "attaccabile" nel service RPC (chiamata remota) di casa Microsoft.
Windows utilizza proprio il servizio RPC per potersi connettere ad un
computer remoto.
Ora, l'RPC deve interfacciarsi con il DCOM (Distribuited Component Object
Model)
per poter comunicare. E lo fa attraverso la rete TCP/IP utilizzando proprio
la porta 135.
Scoperta questa defaiance, quindi, un hacker o giù di lì per attaccare deve
inviare
richieste proprio sulla porta 135.
Il virus che sfrutta questo punto debole è un worm: W32/Blaster o
W32/Lovsan.
Personalmente credo si tratti di questo.
Comunque tranquillo! Ecco i rimedi:
1 - Istalla il Service Pack 2 o prova a vedere qui
 
http://www.microsoft.com/technet/security/bulletin/MS03-026.mspx
2 - Vai su Regedit e, se si dovesse veramente trattare del Worm, vedi se
nella chiave
      HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
      esiste questo valore: "windows auto update"="msblast.exe"
Facci sapere...
Max



Ciao Max.
Ti ringrazio enormemente per le spiegazioni che mi hai dato e che hanno
contribuito a farmi capire qualcosa di più.
Non ho trovato il blast, non ho installato SP2 (il Servizio Clienti di
FastWeb mi ha raccomandato di disinstallarlo perché crea problemi nelle
connessioni ?!?!), ma una volta saputo da te che occorreva  chiudere la
porta 135 e disabilitare il DCOM, con l'aiuto di alcuni post letti sul Forum
di FastWeb ho chiuso la porta e ora Avast non mi segnala più niente.
Oserei dire di aver risolto il problema. Mille grazie ancora!.
Ciao e Buon Natale.

 Ciao e Buon Natale.
Di Nulla!
Sono molto contento di esserti stato d'aiuto :-)))
Buon Natale anche a te.
Max