Newsgroup: it.comp.aiuto
Titolo: Intrusione sul computer tramite internet.

Credo proprio che qualcuno si sia collegato al mio computer.
Ho ricevuto un email dove mi annunciano uno "scherzetto" e mi fanno
capire che sono a conoscenza della mia password di accesso ad
internet.
Uso win95 e mi collego ad un'altro computer tramite server di accesso
remoto.Ho disattivato la condivisione di files e stampanti con
l'utilizzo di TCP/IP ma mi sono accorto che in piu' di un'occasione le
impostazioni cambiano, ad esempio alle volte devo reimpostare
l'opzione "concedi accesso al chiamante" sul computer impostato come
server oppure l'altro giorno ho installato l'aggiornamento di accesso
remoto itmsisdn11.exe che contiene l'utility server di accesso remoto
e quando ho provato a collegarmi ad internet il sistema mi ha
avvertito che era pericoloso condividere files o stampanti con TCP/IP
perche tramite internet qualcuno poteva inserirsi nel mio
computer.Chiaramente ho subito modificato l'opzione ed ho resettato ma
questo  mi fa' capire che per qualche motivo non riesco a rendere
definitive le mi impostazioni a livello di condivisione in rete.
In definitiva qualcuno e' venuto a conoscenza della mia password di
accesso ad internet, che mi sono premurato di cambiare(perche non l'ha
fatto lui?)e di non so cos'altro, cosa puo' fare a "mio nome" per
danneggiarmi?Ho avvertito telefonicamente dell'accaduto Tin(come da
contratto) ma non sono riusciti a spiegarmi l'accaduto.Adesso vado a
fare una denuncia ai carabinieri per cercare di cautelarmi.Cos'altro
posso fare?Ho letto da qualche parte che si possono visualizzare, mi
sembra tramite il registro di configurazione, le varie password
salvate nel computer,qualcuno sa dirmi come si fa in modo che possa
capire cosa e' venuto a sapere?Chiaramente mi avra' incasinato il
computer: per prima cosa non riesco piu' a stampare con la stampante
che era condivisa, ho provato a eliminarla ed a reinstallarla ma non
funziona comunque e poi mi avra' messo qualche virus.Se come penso si
e' collegato con il computer impostato come server penso di poter
rimediare formattando in disco fisso tanto i dati li ho sull'altro.
Ogni consiglio e' ben accetto.
                                                      Grazie 
                                              Paolo Conti 

Credo proprio che qualcuno si sia collegato al mio computer......

ciao!
Purtroppo credo che sia un problema piu' grave:
ho controllato i due computer in questione ed ho notato che il
"profilo utente" in mIRC di entrambi e' stato cambiato e in modo
diverso.Se potevo avere dei dubbi sul fatto che qualcuno avesse
manipolato uno dei due, sono invece assolutamente sicuro che non puo'
aver avuto accesso all'altro se non tramite modem.Il primo e' in
ufficio ma il secondo e' nella mia camera da letto e in casa c'e'
sempre qualcuno..... mi fermo perche' non vorrei diventare paranoico.A
questo punto credo che l'intrusione sia stata fatta attraverso mIRC,
avevo sentito da qualcuno che era una cosa possibile ma non so come e
soprattutto come far si che non si ripeta.
Spero che qualcuno mi aiuti a risolvere il problema.
P.S. Giustamente mi hai consigliato di registrare i tempi di
collegamento e di confrontarli con quelli riportati da Tin(i cui
operatori non ci capiscono niente)nell'area clienti ma avendo subito
modificato la password non dovrebbe piu' potersi collegare a mio
nome!?
                                                         Grazie e ciao
                                                         Paolo Conti


Io ho letto su una rivista che c'è la possibilità, per persone
esperte, di intrufolarsi nel pc altrui a causa di un bug del programma
IE4.
Tu l'hai installato?
Su questa rivista, i redattori hanno voluto verificare se chi diceva
questa cosa la potesse fare davvero, e si sono collegati con un sito
di non so chi.
Ebbene, effettivamente questi hacker sono penetrati nel PC e hanno
modificato dei files.
Comunque c'era anche una patch per risolvere il bug, solo che era in
inglese.
Non so se questo sia il tuo caso.
Per entrare tramite mIRC, forse hai fatto funzionare il tuo pc come un
server?
Cioè hai consentito a qualcuno di scaricare files ecc. ecc.?
Io non so come possano entrare tramite mIRC, sei sicuro?
Ciao.

Ogni consiglio e' ben accetto.
Che budget hai? 8-)
Perche' sui 2 milioni ti potresti prendere un bel proxy: torna utile
anche per scaricare la posta e ftp programmati nelle ore piccole, ed
ha una sicurezza sicuramente superiore a Windows 95 o Windows NT.
Leonardo
".signature": bad command or file name

nome!?
No, ma te la puo' fregare di nuovo, con quel mIRC bacato. Chiaro
che devi essere collegato a mIRC...


nome!?
Se ce l'ha fatta una volta ce la fa anche due!
Paolo Perini
per...@bigfoot.com
http://users.iol.it/kaiohshin
--------------------------------------------------
Italian Rendition World                            
http://www.geocities.com/SiliconValley/Peaks/7280/
--------------------------------------------------
"Non ho bisogno di riviste!La mia vista divina mi permette di vedere chi si fa la doccia e chi si cambia!"(Kaiohshin)

Prima di tutto vi ringrazio per l'interessamento.
Faccio il punto della situazione:
in merito all'osservazione di Fabrizio penso di poter escludere che
sia dovuto ad IE in quanto lo uso molto di rado e mai su uno dei due
computer in questione.
Per le osservazioni di Leonardo:
1)  il mittente dell'email sono io stesso cioe' e' come se me la fossi
mandata da solo e non mi chiedevano di spedire la mia password ma me
la dicevano chiaramente per farmi capire che ne erano venuti a
conoscenza.
2) Uno dei due computer e' impostato come server e quindi posto in
attesa(chiaramente con password di accesso) mentre l'altro funziona da
client e' impostato con "nessun accesso al chiamante" e non ha nessuna
risorsa condivisa.
3) Il protocollo che uso per comunicare con l'altro computer e'
NetBEUI proprio per evitare di usare lo stesso che uso in internet e'
impostato come predefinito ed e' l'unico per il quale e' attiva la
condivisione di files e stampanti.
4) La stampante non funziona nemmeno con il computer al quale e'
collegata l'ho disinstallata e reinstallata ma non c'e' stato
verso.Mentre provando a collegarla ad una terza macchina non ci sono
problemi.
5) Il collegamento in rete l'ho fatto per il piacere d'imparare
qualcosa di nuovo e per la libidine di scambiare files una volta ogni
tanto 2 milioni in questo momento mi pesano un po'.
6) Di mIRC credo di usare l'ultima versione 5.3, mi sbaglio?
A questo punto considerato quello che dice Leonardo nel suo secondo
messaggio penso proprio che sia entrato da mIRC anche perche' la nuova
versione di mIRC l'avevo installata su un'altra cartella per vedere se
c'erano differenze con quella precedente ed ho notato che sull'ultima
le impostazioni sono diverse ad esempio in DCC/Send l'ultima cartella
utilizzata su C e' Windows!Probabilmente si e' spedito il registro o
qualcosa d'altro perche di certo io da quella cartella non ho mai
spedito niente.Se c'e' qualcuno esperto nell'uso di mIRC, e mi sembra
che Leonardo lo sia, mi puo' spiegare di preciso come ha fatto e cosa
ha potuto fare?Per il momento non ho avuto problemi oltre alla
stampante.L'unica cosa che ho notato e non riesco a spiegarmi e' che
in alcune cartelle e sottolineo solo in alcune se ordino le icone per
nome "risorse del computer" le elenca in senso inverso!Giuro che non
ho bevuto!Non c'entra niente?E' un virus?In ultima ipotesi se formatto
il disco fisso qualsiasi cosa mi abbia combinato la elimino?Ho sentito
parlare di virus che attaccano il bios e che riescono addirittura a
danneggiare l'hardware!!!Fantascienza?
P.S. Scusate il crosspost, non e' mia abitudine, ma ritengo che sia
una cosa molto interessante e che in qualche modo riguardi tutti i
gruppi che ho contattato.
                                          Grazie ancora e ciao a tutti
                                                   Paolo Conti

script.ini. Controlla se è nel tuo disco fisso nella dir di mirc.
GRANDE PAOLO PIERINI!!!!!
Forse ci siamo.
Chi usa mIRC e' mio fratello e lo fa su entrambe i computer ed
effettivamente mi aveva detto qualcosa a riguardo, dopo aver letto il
tuo messaggio gli ho chiesto spiegazioni e lui mi ha risposto che
chattando con mIRC spesso e volentieri si riceve la richiesta di
accettare dei files e quasi sempre sono script.ini. Lui, istruito in
maniera paranoica da me, non accetta mai niente che non conosce bene
come ad esempio le immagini.Pero' mi ha anche detto che quando si apre
la finestra in cui si accettano o meno il files basta premere un tasto
qualsiasi per accettare in quanto e' l'impostazione di default.Quando
senza volerlo riceve uno di questi script.ini lo cestina e lo elimina
dal cestino per sicurezza.Comunque non esclude di non averlo fatto
subito.Sul computer che usiamo solo io e lui ieri sera,cercando di
capire, ha trovato un file script.ini nel quale c'erano dei dati che
non riconosceva come ad esempio dei nickname e quando lo ha
abbandonato il blocco note gli ha domandato se voleva salvare le
modifiche apportate, ha risposto no ed ora il file e'
scomparso.Sull'altro computer c'e' il files in questione ma e'
vuoto.Cosa puo' succedere in questo caso?Cosa possono aver combinato?
A parte la scocciatura la cosa e' molto interessante: io non riesco a
modificare le impostazioni del computer con "server di accesso remoto"
mentre mi sembra di capire che in questo modo e' possibile!Mi puoi
dire qualche cosa di piu'?
                                      Ti ringrazio molto e ti saluto
                                               Paolo Conti

la dicevano chiaramente per farmi capire che ne erano venuti a
Snip
A questo punto, io almeno, farei una cosa:
Se ne hai la possibilità, controlla che non ci siano virus, e una
volta fatto formatta e reinstalla tutto, ovviamente dopo esserti
procurato delle protezioni.
Questo tipo se l'ha fatto una volta potrebbe rifarlo, solo per
divertirsi.
Ovviamente una formattazione è una rottura, ma adesso come adesso io
non saprei che fare.
So solo che una storia come questa mi avrebbe mandato in palla.
Per quanto riguarda mIRC, tempo fa circolava una voce di un " virus"
che le persone spedivano, e che in realtà era uno script.ini che
modificava qualcosa.
E bastava non accettarlo per essere al sicuro.
Ma sembra, come hai detto, che un file sia stato mandato.
Piuttosto, se non sbaglio, nel mirc resta il nick della persona a cui
viene inviato il file ( Dcc send), hai controllato se c'è qualcosa?
E per ultimo, credo che tu sia assolutamente sicuro del tuo provider,
vero?
Ciao.

vero?
E' Tin!!! Con quello che si dice in giro della Telecom, anche se non
so in che modo siano legati Tin e Telecom,come posso esser sicuro?
In ogni caso se fosse un truffatore non credo che mi avrebbe
avvertito,probabilmente mi avrebbe modificato la password impedendomi
di accedere ad internet.Quello che mi piacerebbe capire e' proprio
questo: il significato di tutto questo.
                                  Ti ringrazio per l'aiuto e ti saluto
                                               Paolo Conti

danneggiare l'hardware!!!Fantascienza?
No e si'. Attaccare i CMOS e il FlashBIOS e' possibile; magari, nel
setup del computer, controlla che "FLASH WRITABLE" o "Allow Write",
sia su OFF. Ma questo non e' il problema che hai tu.
Quanto ai danni hardware, sono teoricamente semi-possibili, ma oggi
come oggi produrli e' complicatissimo, e nessuno sostanzialmente lo
fa. Il 99% di quelli che credono d'avere un danno hardware da virus
non hanno neanche un virus 8-)
Leonardo
P.S. Prossime aggiunte alle FAQ: mIRC, e "Non Salvate Passwords Nel
     Registry, Porca Vacca!"


     Registry, Porca Vacca!"
Cazzo, Leonardo, sei un drago!
Solo che adesso mi hai messo una pulce nell'orecchio:
come posso fare per controllare questo registry?
Fai il conto pero' che pur non essendo digiuno di computer, non ho mai
cercato di mettere mano in file particolari o di sistema, onde evitare
guai.
Siccome pero' , da come dici, sembra che la password venga registrata
( da chi o da cosa?), evidentemente posso controllare senza creare
troppi danni.
Oppure, siccome io non ho attualmente nessun problema, mi basta
evitare files inviati da sconosciuti tramite mirc, per essere al
riparo dai guai capitati al nosto amico?
Ciao.

una sola volta ordina in senso crescente, due volte decrescente.
Forse mi sono spiegato male: mi e' successo in risorse del computer
non in gestione risorse.
Ok non formatto niente.Se puoi cerca di coinvolgere il tuo amico
Daniele perche mi sa che non sta seguendo la discussione.
P.S. Per caso hai ricevuto la mia email?Mi hanno detto di avermi
spedito dei messaggi ma gli unici che riesco a ricevere sono quelli
che mi mando da solo.
                                 Come sempre ti ringrazio e ti saluto
                                               Paolo Conti

Per prima cosa benvenuto Daniele e grazie per l'intervento.
Mi/ci puoi dare il tuo parere in merito?
Si tratta di un'intrusione tramite mIRC?
Se e' cosi' puo solo copiarsi i miei files o puo' anche scriverne sul
mio disco fisso?
Quello che vorrei sapere e' se ha potuto mandarmi un virus o comunque
incasinarmi il computer perche' per ora non ho notato nessun
comportamento anomalo.
                                       Grazie ancora e ciao
                                              Paolo Conti

 Received: from 
tin.tin.it
 (Milano 
20-58.tin.it
)
Dovevi  riportare lo header completo  del  messaggio, c'e' una traccia
anche se puo' essere nascosta, nella pila di "received from xxx.yyy.ww
by 
aaa.bbb.cc
"
Attenzione, i dati nello header sono alterati per proteggermi dagli spammer.
L'indirizzo corretto e' nella firma.
o   oooooo	Gian Uberto Lauri        "So, are you working on finding
      o    o	
sa...@dei.unipd.it
        that bug *now* or leaving it until
     o o				  later?" - "Yes!" 

script.ini . Tutto dipende da quello che contiene.
Certo, dipende! Tutto quello che ho detto è vero. Io non ne ho però!
L'avevano spedito una volta anche a me. Per fortuna è stato uno che
conosco oramai da tempo, e mi ha detto di cancellarlo, spiegandomi a
cosa serve. Inoltre ho visto alcune pagine in rete che spiegavano + o
- che cosa fa. Tutto ciò sia dalla parte del bene che da quella del
male ;-)


riparo dai guai capitati al nosto amico?
Beh, al sicuro non si e' mai 8-), pero' se usi mIRC raccomando o il
tool di Daniele qui nel NG (it.comp.sicurezza.virus) oppure prender
su il nuovo mIRC.
Per quanto riguarda le passwords in Win95, vai su Avvio\Esegui, dai
"REGEDIT" come nome di applicazione da eseguire, poi naviga fino a:
HKEY_CURRENT_USER\Network\Recent	Tutti i servers della vs.
					rete; utile se vi siete per
					caso dimenticati un server
					tipo SMB attivo in rete.
HKEY_CURRENT_USER\RemoteAccess\Addresses	I vs. providers
HKEY_CURRENT_USER\RemoteAccess\Profile		I vs. profili INet
Avete TweakUI? Bravi.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Winlogon\DefaultPassword
contiene la vostra password di rete. In chiaro, cosi' uno non si deve
sforzare 8-)
Inoltre, nella directory C:\Windows ci sono i files PWL con dentro
tutti i dati delle passwords. RNA.PWL, credo sia dove ci stanno le
passwords di Internet.
La password dell'email dipende da che programma si usa. Eudora, la
tiene in Eudora.ini sotto la voce "SavePasswordText" e cifrata con
crypt() [credo].
Leonardo


che mi mando da solo.
Si', l'ho ricevuta ed ho risposto.
Leonardo


Stronzi. 8-)
I manutentori di quel sito, oppure...? ;-)


 crypt() [credo].
Non so quale sia l'algoritmo usato da Eudora per cifrare la password, ma
so che esiste il program EUDPASS di Andrew Prihodko che e' capace di
decrittarla in meno di un secondo. Quindi e' bene custodire gelosamente
il buon Eudora.ini :-) O ancora meglio, sarebbe opportuno evitare di
memorizzare la password del proprio account POP, come suggerisce la
stessa Qualcomm, che e' al corrente dell'esistenza di EUDPASS.
ciao,
Paolo.
-- 
Future Time di Paolo Monti     
ftp://volftp.tin.it/pub2/avp
AVP & IDA Distribution Italy   e-mail: 
mc3...@mclink.it
Rome (Italy)                   BBS: +39-(0)6-9456041 (8N1) - 33.600
Phone/Fax: +39-(0)6-5003161    (BBS Note: press J 7 to enter AVP Conf.)

eso...@mbox.vol.it
 (Paolo Conti) wrote:

FYI, notate che è già uscito mIRC versione 5.31 scaricatelo!
  There is an mIRC worm/script going around IRC. mIRC has a bug that
allows remote users to download script files onto the victims machines
and
execute them. mIRC 5.3 has been release to fix the hole. You can also
fix
the problem by changing the default download subdirectory to be
something
else than the directory containing the script files. To do so:
   a) Start the mIRC software
   b) Click the mIRC menu option DCC | Options | Dirs | Edit
   c) Change the default download directory. Point to an alternate
      directory or folder name.
  Attached you will find one of the many variations of the script. I
don't plan on starting a thread on this topic. mIRC is always been a
mess. This is just a heads up. Some reference URLs:
http://www.mirc.org/
http://www5.zdnet.com/zdnn/content/zdnn/1216/263771.html
http://www.drsolomon.com/vircen/valerts/simpsal.html
http://www.drsolomon.com/vircen/vanalyse/worms.html
http://www.irchelp.org/irchelp/mirc/si.html
ed inoltre qualche altro consiglio per gli utilizzatori di mIRC:
You can protect yourself against people who are flooding you with the
automatic anti-flood system in mIRC. Simple type
     the command
          /flood 400 20 2 30
     in any window in mIRC and you'll activate it for now and the
future. You can check your flood protection settings under
     the File/Options/Flood/ menu. This makes sure that -others- cant
make you to send too much data to the server.
     Usually a server has a buffer of about 512 bytes. mIRC therefore
counts the number of bytes you've sent to a server and
     if this exceeds a certain number, mIRC waits for the server to be
ready again, before it continues sending data. In the
     mean time it nicely buffers unsent lines. This should protect you
properly from all sorts of CTCP floods and so on. You
     set the amount of bytes mIRC may safely send (for instance, 400
bytes), the amount of lines it may buffer (for instance,
     20), the amount of lines it may store maximal per user (for
instance, 2) and how long any flooder should be ignored (for
     instance, 30 secs) by the command
          /flood 400 20 2 30
bye,
Matteo

decrittarla in meno di un secondo.
Gia', non e' crypt(). Ne usa soltanto il mapping 8-( ... e per di piu'
non si puo' neanche cambiare il nome di default del file .INI.
Leonardo sgrunt


Grazie per le indicazioni davvero preziose:
ho visitato i siti che hai indicato e devo dire che sono molto
interessanti,mi sono fatto un'idea su quello che dovrebbe essermi
successo.Per quello che mi e' dato di capire, con il mio inglese
scolastico, si tratta di una cosa seria.In particolare mi sembra di
capire che non solo possono leggere i files sul mio disco fisso ma li
possono anche scrivere e di conseguenza possono mandarmi un virus.
Nell'ipotesi che non l'abbiano mandato la formattazione del disco
elimina ogni traccia di quello che possono aver fatto?In questo caso
puo' provocare dei problemi?Mi rendo conto che, come dice
Leonardo(ciao Leonardo)sia un provvedimento esagerato ma ormai ogni
volta che il computer ha dei problemi penso sia dovuto a questo.Ad
esempio mi sono ritrovato nell'impostazione della porta parallela un
collegamento in rete:
quando cercavo di stampare il sistema cercava la stampante in un
riferimento remoto (\\computer\hp) e chiaramente non la trovava.Ho
provato a reinstallarla ma quando sono arrivato al punto di scegliere
il modello ho visto che questo era ripetuto una decina di volte(questo
per ogni stampante che avevo installato).Ho provato a prenderne uno ma
una volta inserito il cd-rom di win95 il file d'installazione
risultava mancante.Ho reinstallato la stampante con il dischetto
originale ma neanche cosi sono riuscito a farla funzionare.Poi
finalmente ho pensato di cercare un riferimento nel registro e cosi ho
trovato la voce che indirizzava la lpt1 ad un computer remoto l'ho
cancellata ed ho potuto stampare.Domani provero' a verificare se
l'altro computer non stampa per lo stesso motivo.
P.S.Credo di avere ancora dei problemi con la posta perche' non ho
ricevuto la risposta di Leonardo e altri messaggi che mi anno mandato.
Se qualcuno mi avesse mandato un'email in merito a questo argomento
puo' essere cosi' gentile da spedirla anche su usenet perche' io non
li ho ricevuti?
