Newsgroup: it.tlc.gestori.fastweb
Titolo: port scan

Milano . fibra
port scan da host diversi sulle porte 3127, 80, 2745, 6129.
Capita anche a voi?
ciao

 port scan da host diversi sulle porte 3127, 80, 2745, 6129.
Agli indirizzi IP di tali host sono associati computer 'infetti' = cio'
che il tuo firewall rileva e' un semplice tentativo del virus di
diffondersi sfruttando eventuali accessi su porte associate a servizi
noti (e.g. HTTP e Netbios) e/o ad applicazioni P2P.
In realta' si tratta di piu' varianti di worm noti come MyDoom -> sono
indicati come 'bot', ed infatti i primi nomi erano Phatbot e Agobot.
Ulteriori info 
p.es
. su :
==
- 
http://www.dslreports.com/forum/remark,9614814~mode=flat
-- 
|Ż \/Ż | /Ż\ /Ż__/Ż__|-<|> * FAQ 1.6 ITGF it.tlc.gestori.fastweb <|
|Ż|\/|Ż|/Ż_Ż\|(__\__ \-<|> * ----------------------------------- <|
|_|  |_/_/ \_\___|___/-<|> * SITO: 
http://www.gofastweb.cjb.net
  <|
|>Togli/Remove .INVALID<|> * SITO: 
http://plany.fasthosting.it
 __<|

Port scan continui Fibra Milano sud.......
da svariati IP all'interno della rete fastweb....
Chenko
"Macs" <maxs...@despammed.com.INVALID> ha scritto nel messaggio
news:4071E786...@despammed.com.INVALID...


 - 
http://www.dslreports.com/forum/remark,9614814~mode=flat
C'e' modo di avvisare in qualche modo gli utenti infettati a partire dal
loro IP ?
Perche' in teoria sarebbe sufficiente un tentativo reiterato di
intrusione non autorizzata da parte di un IP per poter denunciare la
cosa alle autorita', e inoltre il portscan che il virus compie
costituisce una inadempienza contrattuale.
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 costituisce una inadempienza contrattuale.
Semmai, qualora venisse riscontrata un'attivita' costante da parte di
un'utenza precisa, potresti segnalare tutto ad abuse(at)
fastweb.it
 .
Prima pero' e' decisamente meglio provvedere alla protezione del proprio
sistema nel seguente ordine :
==
- Aggiornandolo ed installando le relative patch
- Chiudendo i servizi non utilizzati sull'interfaccia di rete FastWeb
- Dotandolo di una protezione antivirus con monitoraggio delle attivita'
- Dotandolo di un'eventuale protezione firewall (*)
(*) Questo e' l'ultimo passo, e serve qualora vi siano servizi che non
    possano essere chiusi in quanto in uso con altre utenze FastWeb,
    oltre che per bloccare accessi da determinati IP MAN = se prendi
    l'elenco degli IP riservati MAN della rete FastWeb, puoi decidere di
    filtrare i blocchi con i quali non hai comunicazioni, e.g. tutti
    meno gli intervalli a cui appartengono gli IP del tuo pool DHCP, 
    della CPE, dei DNS, del gateway, etc. .
-- 
|Ż \/Ż | /Ż\ /Ż__/Ż__|-<|> * FAQ 1.6 ITGF it.tlc.gestori.fastweb <|
|Ż|\/|Ż|/Ż_Ż\|(__\__ \-<|> * ----------------------------------- <|
|_|  |_/_/ \_\___|___/-<|> * SITO: 
http://plany.fasthosting.it
   <|
|>Togli/Remove .INVALID<|> * SITO: 
http://www.gofastweb.cjb.net
 _<|

     della CPE, dei DNS, del gateway, etc. .
Il punto e' che molto probabilmente chi ha beccato quel virus non e'
molto esperto e non legge il newsgroup.
Ammesso che la causa di questi port scan sia quel virus di cui si e'
parlato qualche messaggio qui sopra e che abbia individuato una macchina
con windows e le porte del netbios attive e incustodite, che problemi
puo' creare?
Si autoinstalla? Si attiva al successivo reboot?


 problemi puo' creare?
Ti riporto il dettaglio di una variante Phatbot/Agobot :
==
- 
http://www.f-secure.com/v-descs/agobot_fo.shtml
==
che ti mostra come il virus, soprattutto in presenza di condivisioni
(amministrative $ e non), si diffonda e si attivi senza che l'utente se
ne accorga.
Una soluzione semplice (ma decisamente drastica) lato FastWeb sarebbe la
chiusura totale delle comunicazioni tra IP MAN assegnati alle utenze
(ved. FAQ) su TCP/UDP per le porte tra 0 e 1024, escludendo solo le
comunicazioni DHCP/DNS/Gateway. Resterebbero fuori vulnerabilita' su
porte superiori a 1024 (ved. UPnP su WindowsME e XP), ma sarebbe 
evidente la riduzione del fenomeno.


 problemi puo' creare?
Ti riporto il dettaglio di una variante Phatbot/Agobot :
==
- 
http://www.f-secure.com/v-descs/agobot_fo.shtml
==
che ti mostra come il virus, soprattutto in presenza di condivisioni
(amministrative $ e non), si diffonda e si attivi senza che l'utente se
ne accorga -> niente di nuovo comunque per un Worm W32 = Lovsan, Blaster
e compagnia bella evidentemente non hanno insegnato molto.
Una soluzione semplice (ma decisamente drastica) lato FastWeb sarebbe la
chiusura totale delle comunicazioni tra IP MAN assegnati alle utenze
(ved. FAQ) su TCP/UDP per le porte tra 0 e 1024, escludendo solo le
comunicazioni DHCP/DNS/Gateway. Resterebbero fuori vulnerabilita' su
porte superiori a 1024 (ved. UPnP su WindowsME e XP), ma sarebbe 
evidente la riduzione del fenomeno.
-- 


 
Mi intrometto perche' capita anche a me.
A tal proposito volevo fare alcune domande.
Mi sono accorto casualmente che c'era del traffico proveniente da un 
indirizzo ip della mia stessa sottorete.
Il pc e' protetto da Keryo personal firewall e dopo alcuni tentativi 
vani per capire perche' nonostante aggiungessi delle regole di blocco 
del traffico da quell'indirizzo, mi sono accorto che avevo configurato 
kerio in modo da permettere traffico da e per tutta la sottorete a cui 
appartengo.
Adesso ho modificato la configurazione e non risulta piu' nessun traffico.
Il traffico "ricevuto" era anche di una decina di mega in pochi minuti 
(w la fibra) da una applcazione che kerio definisce genericamente SYSTEM.
In una cartella condivisa ho trovato il file netsvcs.exe che non mi pare 
di aver mai copiato li'!
Il pc dovrebbe avere tutti gli aggiornamenti MS installati.
Non capisco come sia possibile che il pc venga infettato se tutte le 
patch ms sono installate col solo trasferimento di files?
Ultima domanda come si usa net send per inviare un messaggio a qualcuno 
che si trova nella mia sottorete? Ho  sia l'indirizzo ip che il nome del pc.
grazie
	maxx

 che si trova nella mia sottorete? Ho  sia l'indirizzo ip che il nome del pc.
NET SEND {nome | * | /DOMAIN[:nome] | /USERS} messaggio


 ... e quella degli abbonati, a partire da me. :)
Intanto sarebbe una soluzione efficace sia per bloccare la diffusione di
Phatbot/Agobot e worm affini sia per ridurre il carico di rete (tramite
i filtri sui gateway interni).
Semmai qualcuno dovrebbe iniziare ad interrogarsi sulle ragioni per cui,
dopo i casi di CodeRed e Blaster, la diffusione di Phatbot/Agobot crei
tali problemi alla rete FastWeb (in maniera piu' rilevante rispetto ad
altri provider) ;).
