Newsgroup: it.tlc.gestori.fastweb
Titolo: Worm AGOBOT - GAOBOT

Sulla myfastpage e' ora presente un avviso per eliminare questo worm e un
file clean.exe
Non si dovrebbe forse anche spiegare che sarebbe meglio:
- disabilitare Ripristino Configurazione di sistema
- partire in safe mode modalita' provvisoria
- lanciare il file da amministratore
(sempre che si riesca ad entrare: la variante che mi sono beccato io non ti
permette di accedere al login di windows xp con nessuna password di quelle
"trattate" dal worm. Sono riuscito ad entrare solo grazie ad un account
limitato da cui poi per fortuna ho fatto RunAs...)
- magari usare anche altri tool di scansione (tipo trendmicro online)
- seguire le regole su
http://securityresponse.symantec.com/avcenter/venc/data/w32.gaobot.wo.html
per ripristinare le funzionalita' del registro di sistema, del file hosts,
etc etc...
Il fatto di aggiornare il pc con windows update permette COMUNQUE a chiunque
sulla rete di entrare sfruttando i bug di windows. Infatti, su un secondo
pc, anche con firewall attivato mi viene creato il famigerato file
netlink32.exe che viene rilevato da PCcillin e per fortuna in questo caso
non entra in azione.
Io tiro le somme: in questa rete di fastweb c'e' la totale anarchia e il
gestore dovrebbe prendere seri provvedimenti anche limitanti.

gestore dovrebbe prendere seri provvedimenti anche limitanti.
Bah. Tu sei competente e hai preso contromisure. Se uno non le prende,
fatti suoi.

1° PC bucato:  aveva firewall (ZoneAlarm) + WUpdate aggiornato. L'antivirus
era stato disattivato temporaneamente per provvedere all'update delle
definizioni virus... sono bastati 5-10 minuti sulla rete senza antivirus per
essere bucati.
2 °PC non bucato:  aveva antivirus (PCcillin) + firewall (Kerio) + WUpdate
aggiornato. In quest'ultimo comunque il worm passa lo stesso sfruttando i
bug della rete, ma una volta creato il file exe l'antivirus lo mette in
quarantena. Consiglio di disattivare netbios, condivisione file e stampanti,
client per reti microsoft dalle proprieta' della connessione di rete, tanto
generalmente non servono.
Solo l'antivirus aggiornato protegge, non la presenza di firewall o di
windows update aggiornato. E' per questo che secondo me le protezioni della
rete di fastweb devono essere piu' stringenti. Ad esempio a me non importa
fare browsing delle cartelle dei miei amici all'interno della man, ma vorrei
essere abbastanza sicuro in uscita dalla rete di fastweb.

 - magari usare anche altri tool di scansione (tipo trendmicro online)
ti dirò: ho passato 5 ore via VNC sul piccì di un'amica due giorni fa
-fastweb dal giorno prima- perché non le "andava più internet" -la causa
"ufficiale" era un dll magicamente scomparso- da che aveva usato la
connessione fastweb, nel giro di dieci minuti.
Io, dato che  XP lamentava 'sto dll mancante, glielo passo e lo riregistro
e tutto sembra andare.
Poi le dico, mentre facevo in giro tra i suoi cazzi personali :), ma c'hai
l'antivirus aggiornato a due mesi fa!, e provo ad aggiornarlo ma niente,
non funziona, lo reinstallo ma niente ancora.
allora pingo il server liveupdate -che io come vuoi che le dia il NOD32 se
non sa aggiornare un OS ché non conosce windowsupdate- e mi punta su
127.0.0.1.
mmm, che strano.
allora, PASSO IL PC CON IL TRENDMICRO ON-LINE E NON RILEVA NULLA.
allora vado ad aprire di mio il file "hosts" e vedo quel popo' di roba che
punta al localhosts, tutti indirizzi di antivirus e cose simili.
figurati, parte la ricerca in rete di worm e simili e alla fine trovo che
s'è beccata una variante del gaobot, il tutto, dopo NEANCHE DIECI MINUTI DI
FASTWEB.
quindi, ci sono rimasto male, che il trendmicro online non mi aveva mai
fatto così cilecca, ma stavolta, ahinoi, sì 
-figurati, se mi diceva che non c'era nulla, vai tu a pensare ad un worm?-.
però mi chiedo, è possibile sistemare l'infrastruttura fastweb in maniera
da bloccare virus del genere?
non so, eh, non so.
-ma io ci capisco niente di 'ste cose.

 generalmente non servono.
Io pur avendo come te kerio non sono rimasto infettato, eh si che non 
avendo ancora avuto tempo non ho avuto modo di creare della regole avanzate.
Mi sa che il problema non č di kerio....
Cmq come av ho antivir....

essere abbastanza sicuro in uscita dalla rete di fastweb.
Secondo me in uscita SEI sicuro. Quei virus arrivano dalla MAN.
Personalmente poi trovo che essere in rete locale con gli amici nella
MAN sia piuttosto utile.

da bloccare virus del genere?
Non penso, a meno di non bloccare in modo significativo la rete.
Sfruttando buchi del sistema operativo, usano porte e caratteristiche
della rete di normale uso da parte del sistema.

 >2 °PC non bucato:  aveva antivirus (PCcillin) + firewall (Kerio) +


era mai successo e la cosa mi fa pensare molto!
Ti farà anche pensare, ma le cose sbagliate. Semplicemente anni fa
questo genere di vulnerabilità non esisteva, gli altri ISP italiani non
fanno nulla che non faccia anche fastweb (l'unica differenza è che con
più banda a disposizione i computer infetti possono contagiare gli altri
più velocemente).
-- 
ciao,
Marco

non so, eh, non so.
Installando un'ACL che blocchi tutte le connessioni in ingresso. Anche
ammettendo che si possa attivarla di default senza fare esplodere il
customer care, quanti pensi che la terrebbero?
-- 
ciao,
Marco

gestore dovrebbe prendere seri provvedimenti anche limitanti.
L'unico provvedimento possibile è riconfigurare automaticamente la porta
dell'utente infetto per metterlo su una VLAN che permetta di comunicare
solo con i siti degli spacciatori di antivirus e simili.
E ovviamente non ripristinare la connettività finché non sarà possibile
verificare che l'utente è pulito.
-- 
ciao,
Marco

fatti suoi.
Quando ci sono migliaia di macchine che sparano pacchetti più veloci
che possono (cioè 10 Mbps) purtroppo diventa un problema anche per il
resto della rete.
-- 
ciao,
Marco

 customer care, quanti pensi che la terrebbero?
Infatti una soluzione sarebbe un blocco su TCP/UDP per le comunicazioni
verso tutte le 'Well Known Ports' di IP MAN associati alle utenze,
escludendo ovviamente gli IP per comunicazioni gateway/DNS/DHCP...
Tuttavia FastWeb ha pensato invece di porre blocchi solo sulle porte di
destinazione :
==
135 - 445 - 2745 - 3127 - 5000 - 6129
==
lasciando comunque scoperto Netbios :/ ... in pratica hanno ripetuto lo
stesso errore commesso ai tempi della diffusione del Blaster = blocco
di *tutte* le comunicazioni (interne ed esterne) verso la porta 135. In
questo modo allora, oltre a non impedire realmente la diffusione del
virus, avevano bloccato quelle utenze professionali che accedevano a
servizi remoti esterni alla rete FastWeb su piattaforma Exchange.
-- 
|Ż \/Ż | /Ż\ /Ż__/Ż__|-<|> * FAQ 1.6 ITGF it.tlc.gestori.fastweb <|
|Ż|\/|Ż|/Ż_Ż\|(__\__ \-<|> * ----------------------------------- <|
|_|  |_/_/ \_\___|___/-<|> * SITO: 
http://plany.fasthosting.it
   <|
|>Togli/Remove .INVALID<|> * SITO: 
http://www.gofastweb.cjb.net
 _<|

verificare che l'utente è pulito.
Sono d'accordo. Non ci troverei niente di strano se l'antivirus fosse
un obbligo contrattuale.
Gia' verso 25 $ l'anno al mio spacciatore :)
--
Federico Spano`
http://mate.splinder.it
 non e' stato aggiornato
Le email indirizzate a 
fsp...@tiscali.it
 vengono automaticamente cancellate

 
Parole sante , per esempio la porta 5000 poteva servire a qualcuno, ma 
per il momento (e spero solo per quetso periodo) e' chiusa
-- 
-----------------------------trip65---------------------------------
home : 
http://www.telelombardia.tv
radio : 
http://www.fastradio.net
 (only fw)
direct stream : 
http://stream.fastradio.net:8000/fastradio
 (only fw)
Linux user number 341116.
-----------------------------fastradio.NET--------------------------

 
Dovrebbe essere un obbligo mantenere la propria connessione pulita.
Perche' difficilmente io capirei l'acquisto obbligatorio  di un 
antivirus per sistemi win quando uso principalmente *nix


resto della rete.
Indubbiamente è vero. Continuo a dimenticare che questi worm non hanno
un effetto solo sul PC infettato.

 subito dall'av e quindi non eseguito.
(CUT)
Quale antivirus usi ?

 sfruttando i bug della rete
Se si lasciano attivi Netbios (137-138-139) e Cifs (445) sul TCP/IP 
associato all'interfaccia di rete connessa a FastWeb, e non vengono
bloccate le connessioni in ingressso su tali porte, e' normale che il
virus entri ;)... in entrambi i casi il firewall non era quindi ben
configurato -> disattivare i servizi e mettere in sicurezza un computer
connesso alla rete FastWeb non e' poi un'impresa ardua = serve solo una
lettura attenta delle info utili in merito, e.g. quelle riportate nella
sezione 3.x delle FAQ citate in firma.
Comunque per bloccare tale virus, il discorso parte a monte sia del
firewall che dell'antivirus = si procede nel seguente ordine :
==
* Aggiornamenti/Patch di sistema
* Chiusura servizi non usati (Netbios, Cifs, UPnP, etc.)
* Installazione/aggiornamento antivirus
* Protezione firewall sicuramente x TCP/UDP porte locali da 0 a 1024 [*]
[*] Il firewall viene ovviamente per ultimo = se non sono stati fatti i
passi precedenti, crash o malconfigurazione del firewall lasciano il
sistema vulnerabile come hai potuto vedere.


antivirus per sistemi win quando uso principalmente *nix
Ovviamente non parlavo di questo. Dicevo di garantire che il pc non
abbia virus.


 customer care, quanti pensi che la terrebbero?
non lo so, vedi sopra :)

 della rete di normale uso da parte del sistema.
a questo punto chiederei anche a quelli che ci capiscono -da Macs a mr.
marco "più acqua meno acqua" d'itri- quali cacchio di servizi un utente
medio deve tenere attivi.
tipo, Netbios, lo tolgo senza preoccuparmi?
ma a che cacchio serve?
 
[utente medio, uno che, come me, c'ha un piccì e non ha una rete locale di
piccì. oddio, e se ogni tanto uso la stampante del mio coinquilino cui mi
connetto e sconnetto per stampare? che casino direi.
in rete c'è qualcosa di utile in merito?
grazie eh..

 in rete c'č qualcosa di utile in merito?
ho trovato questo:
http://www.harrrdito.it/faq/search.asp?id=241
che dite?
ma se uso, appunto, la citata stampante del coinquilino?
il fatto č che ho paura che, disabilitando, poi mi cessino di funzionare
cose che poi non so quale servizio andare a riattivare.

 * Protezione firewall sicuramente x TCP/UDP porte locali da 0 a 1024 [*]
cioè, spetta, dici che si devono bloccare queste porte qui?
ma questo si può fare anche, avendo W2K, tramite quei filtri di cui si
parla nelle FAQ?
cioè nelle "proprietà > avanzate > opzioni" del protocollo TCP/IP?
il fatto è che, anche leggendo attentamente le FAQ, faccio un po' di
confusione -tipo: non so cosa sia il binding- e non riesco a capire dove
mettere esattamente le mani, se un firewall mi serva davvero ecc ecc ecc

Grazie a tutti. Ora ho tolto un po' di servizi attivi che non uso (WinXP)
- Helper NetBIOS di TCP/IP
- Servizi IPSEC -che ci stava a fare attivo?!
- Servizio di rilevamento SSDP (UPnP)
- Spectrum24 Event Monitor
   ( C:\WINDOWS\System32\S24EvMon.exe   che non avevo mai sentito dire... )
- Upload Manager
e cerchero' di restringere ancora di piu' il campo!
Comunque norton av 2004, con una seconda scansione, non ha trovato ancora
nulla pure se il pc era evidentemente stato infettato. PCcillin che credevo
fosse piu' scarso ha invece rilevato il virus come WORM_AGOBOT.JW

 cose che poi non so quale servizio andare a riattivare.
Provare, e riprovare.
Per esperienza, non disabilitare "protected storage" ;-)
P.
-- 
E' un sentiero fatto di brina che svanisce quando viene mattina.

 Per esperienza, non disabilitare "protected storage" ;-)
il sito che mi consigli dice:
"Protected Storage - provides protected storage for sensitive data, such as 
private keys, to prevent access by unauthorized services processes or 
users. Recommendation: Disabled"
;)


Appunto! 
Sai che mi e' successo? 
Funzionava tutto, tranne che il browser si bloccava, ma solo sui form, tipo
google.
Perche'?  Perche' chiedeva a Protected strorage i termini usati
precedentemente... e bam!
P.
-- 
'You ain't seen nothing yet!'