Newsgroup: it.comp.os.linux.sys
Titolo: Backdoor (?) in alcuni router Linksys, Netgear, Cisco

In alcuni apparati di livello consumer ï¿œ stata riscontrata una 
backdoor non documentata. Gli apparati vulnerabili mantengono una 
porta (TCP 32764) in modalitï¿œ Listening *lato internet* a cui ï¿œ 
possibile inviare comandi senza necessitï¿œ di autenticazione.
 
Un programma di test ï¿œ disponibile qui:
https://github.com/elvanderb/TCP-32764
 

lorenzodes in data 20:54, martedï¿œ 14 gennaio 2014, nel gruppo
it.comp.os.linux.sys ha scritto:

Il primo post iniziale ï¿œ del 31 dicembre. Da li si possono leggere le
vicissitudini di questa "scoperta".
 
Io sapevo (assieme ad una moltitudine di "altri") dell'esistenza di questa
porta in ascolto da diversi anni, ma non ero riuscito, sia per voglia che per
tempo, poi per dimanticatoio, di fare indagini approfondite.
Dal lato internet la si blocca col classico redirect della porta interessata ad
un ip interno senza nulla in ascolto, salvo il classico netcat per cazzeggio.
 
Ringrazio moltissimo Eloi Vanderbeken per la sua opera di analisi e decodifica.
Ma questa backdoor, si rivela utile (la shell) per giochini interessanti non
possibili dall'interfaccia normale (ho il wag200g che non ï¿œ il massimo...).
 
Aggiungerei, oltre alla porta 32764, di indagare anche sulla 12345 (la
combinazione della valigetta), nominata in un commento dei sorgenti del
software di uno dei modem-router incriminati.
 
 
 
 
Questa e-mail ï¿œ PIENA di virus e malware perchï¿œ ï¿œ andata a ramengo la
protezione avast! Antivirus.
http://www.avast.com
, per gli allocchi che ci credono.
 
-- 
+---------------------------------------------------------------------------+
|   togliere virus lo trovo degradante, faccio il tecnico informatico e     |
|   non il servizio spurgo.                                                 |
+-----#16--------------------Campagna contro le pubblicita` idiote.---------+

ma non basta usare:
 
nmap -A -T4 192.168.1.1
 
?


nmap ti d� soltanto l'indicazione se quella porta � aperta oppure no.
 
Il programma ti d� completo accesso al device attraverso quella porta.

 Il programma ti dï¿œ completo accesso al device attraverso quella porta.
 
Esatto.
Una cosa mi perplime: non ho trovato commenti da parte di Linksys, Netgear,
Cisco sulla backdoor.
Visitato or ora io sito Linksys, nulla su aggiornamenti. Nulla di nulla!
E pensare che, se ricordo bene, proprio nel loro forum di assistenza, avevo
letto anni fa, di qualcuno (italiano) che aveva chiesto info su quella porta.
 
 
 
 
Questa e-mail ï¿œ PIENA di virus e malware perchï¿œ ï¿œ andata a ramengo la
protezione avast! Antivirus.
http://www.avast.com
, per gli allocchi che ci credono.
 
-- 
+---------------------------------------------------------------------------+
|Al mondo ci stanno tante donne, ma tante donne non ci stanno. (Akel Barzo) |
+-----#25--------------------Campagna contro le pubblicita` idiote.---------+


 
Beh, direi che se la cosa ï¿œ voluta.. ï¿œ proprio sfacciata!
La backdoor dei Dlink con la user agent era giï¿œ piï¿œ evoluta
 
Akessandro
 

lorenzodes in data 20:54, martedï¿œ 14 gennaio 2014, nel gruppo
it.comp.os.linux.sys ha scritto:

Pare ancora presente nella versione 1.01.06:
udp        0      0 
0.0.0.0:916
             0.0.0.0:*
http://osvdb.org/34520
 
 
-- 
+---------------------------------------------------------------------------+
| >Antonio wrote:                                                           |
| >Salve, se ho un numero di ip , come posso entrare e che prg. devo usare  |
| >per l'ingresso grazie 1000                                               |
| Buitoni EasyCracker 0.7.1                                                 |
+-----#12--------------------Campagna contro le pubblicita` idiote.---------+