Newsgroup: it.comp.os.linux.sys
Titolo: Listato in CBL... ma ora sono down :(

Stanotte mi hanno listato in CBL, secondo loro per una macchina interna 
alla mia rete che avrebbe il worm Conficker.
 
Premesso che l'antivirus non mi ha mai segnalato nulla, ho fatto dei 
controlli e non mi risulta niente di simile.
 
Le macchine interne non possono collegarsi alla porta 25,465 e 587 di 
server esterni.
 
Tantomeno i vari tcpview mi danno indicazioni di connessioni anomale da 
parte di qualche pc o il log del mail server riporta cose 'strane'.
 
Ora 
http://cbl.abuseat.org/
 ï¿œ pure irraggiungibile. Che altro posso fare 
secondo voi?
 
Tra l'altro nel poco tempo che il sito di cui sopra ha funzionato non ho 
nemmeno trovato il modo per farmi rimuovere.
 
Suggerimenti?
 
Grazie e scusate il disturbo.


Difficile dare suggerimenti quando non riporti nemmeno l'IP, ma sei
sicuro CBL indicasse proprio Conficker?
 
Al di lï¿œ del dettaglio specifico, tieni conto che i metodi con cui i bot
vengono rilevati (non solo da CBL) sono molteplici, e non
necessariamente hanno a che fare con l'invio di mail (ad es. non mi pare
di ricordare che Conficker invii alcunchï¿œ).
 
Vedi alla voce "sinkhole"...

 di ricordare che Conficker invii alcunchï¿œ).
 
Infatti nemmeno a me. Guardando Conficker dovrebbe aprire connessioni 
sugli share di rete e congestionarla, disattivare l'antivirus ed 
impedire l'accesso a MS Update. Non noto assolutamente niente di simile 
in nessuna macchina.
 
Insomma qui mi pare tutto nella 'norma'. L'antivirus marca un paio di 
utenti con dei cookie tipo DoubleClick et simili.
 

 sicuro CBL indicasse proprio Conficker?
 
Ecco ï¿œ ripartito:
http://cbl.abuseat.org/lookup.cgi?ip=195.43.173.182
 
 
 

Il 16/01/14 14:27, Claude ha scritto:

Sono di nuovo listato :(
 
 


 
Dovrei averlo individuato. XP su pc industriale usato per una macchina a 
controllo numerico:
 
admin@ubuntusrv:~$ nmap -PN -T4 -p139,445 -n -v --script=smb-check-vulns 
--script-args safe=1 192.168.3.82
 
Starting Nmap 5.00 ( 
http://nmap.org
 ) at 2014-01-18 23:52 CET
NSE: Loaded 1 scripts for scanning.
Initiating Connect Scan at 23:52
Scanning 192.168.3.82 [2 ports]
Discovered open port 139/tcp on 192.168.3.82
Discovered open port 445/tcp on 192.168.3.82
Completed Connect Scan at 23:52, 1.10s elapsed (2 total ports)
NSE: Script scanning 192.168.3.82.
NSE: Starting runlevel 2 scan
Initiating NSE at 23:52
Completed NSE at 23:52, 0.04s elapsed
NSE: Script Scanning completed.
Host 192.168.3.82 is up (0.0012s latency).
Interesting ports on 
192.168.3.82
:
PORT    STATE SERVICE
139/tcp open  netbios-ssn
445/tcp open  microsoft-ds
 
Host script results:
|  smb-check-vulns:
|  MS08-067: CHECK DISABLED (remove 'safe=1' argument to run)
|  Conficker: Likely INFECTED (by Conficker.C or lower)
|_ regsvc DoS: CHECK DISABLED (add '--script-args=unsafe=1' to run)
 
Read data files from: /usr/share/nmap
Nmap done: 1 IP address (1 host up) scanned in 1.27 seconds
 

 Nmap done: 1 IP address (1 host up) scanned in 1.27 seconds
 
Si puï¿œ dire "QED"?  ^_^
 

Il 18/01/14 18:34, Skull ha scritto:

Skull sono anni che ti seguo sul ng e sul blog che gestivi.
 
Mi spieghi cosa significa "QED" e "Sinkhole"?
 
Scusa l'ignoranza.
 
Grazie.

 Mi spieghi cosa significa "QED" e "Sinkhole"?
 
QED arriva dalla matematica delle superiori: "Quod Erat
Demonstrandum"... Niente di misterioso ;-)
 
 
Il sinkholing ï¿œ invece una tecnica per l'individuazione (e la
neutralizzazione, quando va bene) di botnet: i trojan fanno riferimento
ad un sistema centralizzato (di norma) da cui prendono comandi, e a cui
si devono direttamente o indirettamente connettere.
Di solito lo fanno contattando un determinato dominio/hostname.
 
Se sei in condizioni di "appropriarti" di tale dominio/hostname, vieni
di conseguenza contattato da tutti (o quasi) i bot afferenti a quella
botnet, con il risultato di poterli identificare ed enumerare con
certezza pressocchï¿œ matematica.
 
Ed ï¿œ quel che viene fatto in lungo e in largo da tutti coloro che si
occupano di ricerca su botnet e dintorni.
 
 
Se poi la botnet non ha meccanismi di fallback, l'hai anche resa
praticamente innocua, dato che non puï¿œ piï¿œ ricevere comandi. Ma questo
oramai non accade piï¿œ con alcuna botnet recente.
 
 
Oppure ancora, se si han le spalle grosse e un ufficio legale robusto
alle spalle (o la collaborazione delle FDO, cosa difficile dato che le
botnet di norma travalicano i confini nazionali), si possono passare ai
bot comandi quali "Disinstallati un attimino..." ^_^
 
 


 
Grazie per la spiegazione.
 
Ciao.