Newsgroup: it.tlc.gestori.fastweb
Titolo: Il famoso Worm

Chi ne sa un pň di piů? Pensavo che lentezza dipendesse da quello ma vedo
leggendo qui che i problemi sono generalizzati. Ho scaricato i 5 update di
Windows ma prima di avviare il clear.exe vorrei saperne di piů...
Grazie.


Io ho fatto tutto quello che dicevano di fare, clear.exe incluso, ed il
problmea č rimasto: mi sembra evidente che la storia del virus ormai regga
poco...
Ciao

poco...
O forse sei tu che non capisci una sega di quello che fanno i worm
suddetti, e del perchè molti utenti infetti possono dare problemi
anche ai non infetti.

 anche ai non infetti.
Worm o non worm il dato di fatto e' che fastweb perde pacchetti...
Sull'instaurarsi di connessioni spessissimo vedo il browser andare in
timeout anche quando ha già risolto l'indirizzo ed inviare a distanza di
2-3  dec il pacchetto SYN di inizio connessione... 
Credo che i DNS di fastweb funzionino male per questo motivo...
Anche io ho un cache-only name serverlocale e perde pacchetti verso
l'esterno, e questo e' accentuato dal fatto che i DNS comunicano
utilizzando UDP (unreliable per
definizione). 
Ciao,
F.
P.S. non e' bello dire a qualcuno che non ci capisce una sega...anche
perche' probabilmente nessuno ha una conoscenza non lacunosa dei protocolli
di rete


Ho letto su un forum che il clean.exe è stato bloccato da alcuni antivirus
:-)

 vedo leggendo qui che i problemi sono generalizzati.
Ci sono dei problemi nei tempi di risoluzione dei DNS FastWeb, ma e'
innegabile che la diffusione nella rete FastWeb di Agobot/Phatbot/Gaobot
abbia delle ripercussioni sul traffico, a dimostrazione dell'inutilita'
dei blocchi sulle porte :
==
135 - 445 - 2745 - 3127 - 5000 - 6129
==
che, sebbene diminuiscano il carico sulla rete (reale scopo dei filtri),
non sono sufficienti ad impedire la diffusione del worm e creano inoltre
dei problemi in certe connessioni all'esterno della rete.
Per quanto riguarda i DNS e' possibile aggirare la situazione tramite
DNS cache/server locali e/o appoggiandosi a server pubblici come :
==
- 
http://european.ch.orsn.net/tech-pubdns.php
Passiamo ora al (lungo) discorso relativo al worm -> nella segnalazione
della MyFastPage FastWeb suggerisce di procedere nell'ordine con i
seguenti passi : 
== 
- aggiornare il proprio OS Windows su 
http://windowsupdate.microsoft.com
 
- scaricare il file 
http://www.fastweb.it/var/storage_download/clean.exe
 
- installare/aggiornare un antivirus sul proprio pc 
Tale procedura non e' pero' sufficiente ne' per l'eliminazione del virus
ne' per la protezione del sistema da ulteriori infezioni = dovete fare
altro per eliminare il virus e proteggere il vostro sistema. 
(A) --- PROTEZIONE DAL VIRUS --- 
Innanzitutto dovete proteggere il sistema in modo che pur, rimuovendo il
virus, non ve lo ribecchiate usando la connessione FastWeb -> infatti,
sebbene FastWeb abbia bloccato determinati tipi di connessioni, cio' non
protegge comunque le utenze. 
Vanno quindi disattivati in primis i servizi : 
== 
- RPC = TCP/UDP porta 135 
- Netbios = TCP/UDP porte 137/138/139 (*)
- Cifs = TCP/UDP porta 445 
- UPnP = TCP porta 5000 - UDP porta 1900 
(*) Se non potete disabilitare Netbios perche' accedete a risorse di
    altri pc connessi alla CPE/HAG, seguite le indicazioni del capitolo
    3.3.1 delle FAQ citate in firma - pagine 93/94/95.
Gli utenti Windows2000/XP/2003 possono seguire le indicazioni presenti
su : 
== 
- 
http://www.hsc.fr/ressources/breves/min_srv_res_win.en.html.en
 
== 
per chiudere tali servizi. 
Gli utenti Windows9x/ME e NT4 possono usare i seguenti strumenti : 
== 
http://www.grc.com/files/DCOMbob.exe
 = rimuove vulnerabilita' RPC/DCOM 
http://www.grc.com/files/UnPnP.exe
   = rimuove vulnerabilita' UPnP 
http://grc.com/su-bondage.htm
        = come disabilitare NetBios 
Gli utenti che dispongono di software firewall installati sul computer
possono bloccare su TCP/UDP *tutte* le connessioni in ingresso su porte
locali da 0 a 1024. 
(B) --- RIMOZIONE DEL VIRUS --- 
Una volta protetto il sistema, dovete passare alla reale rimozione del
virus -> innanzitutto cercate nel vostro computer un file chiamato HOSTS
senza estensione = Windows infatti ha di norma un altro file d'esempio
con estensione .SAM (le estensioni sono visibili attivando la relativa
voce nelle opzioni cartella). 
Qualora lo troviate, dovete aprire quel file HOSTS (senza estensione)
con il blocco note e cancellarne il contenuto, lasciando la sola riga 
== 
127.0.0.1          localhost 
== 
e quindi salvarlo. Fatto questo, aprite una sessione diprompt dei
comandi e digitate IPCONFIG /FLUSHDNS. 
Ora potete andare su 
http://tinyurl.com/2sfmr
 e seguirne le relative
istruzioni per rimuovere manualmente il virus -> terminata questa
procedura, dovete scaricare ed eseguire entrambi i seguenti removal tool
Symantec : 
== 
- 
http://securityresponse.symantec.com/avcenter/FxGaobotUJ.exe
 
- 
http://securityresponse.symantec.com/avcenter/FxGaobot.exe
 
------------------------------------------------
Note a margine per utenti WindowsNT/2000/XP/2003 
------------------------------------------------
E' altamente sconsigliabile usare la connessione di rete FastWeb con un
profilo utente Administrator, poiche' espone il sistema a vulnerabilita'
legate alle condivisioni amministrative e ad all'assenza di blocchi
sull'installazione di applicazioni e/o sulla modifica di file (ved. file
HOSTS).
Per queste ragioni conviene creare un profilo Utente (User o Power User
ved. Gestione Utenti del Pannello di COntrollo), limitando l'uso del
profilo Amministratore per l'installazione di programmi o altri compiti
amministrativi del sistema. 
Posso capire le difficolta' di qualcuno nel seguire le info della guida
in Inglese indicata prima, sebbene vi assicuri che con un po' di
pazienza sono interpretabili ;) -> per questo motivo provo a farne una
sintesi delle impostazioni piu' importanti per gli utenti con Windows
2000/XP/2003. 
1.Disabilitare Netbios su TCP/IP (porte 137-138-139) 
----------------------------------------------------
Andate nella cartella delle connessioni di rete e, cliccando con il
tasto destro sulla connessione usata con FastWeb, scegliete la voce
Proprieta'. 
Togliete l'eventuale spunto da Condivisione file e stampanti e scegliete
Protocollo Internet - TCP/IP e cliccate su Proprieta' -> cliccando su
Avanzate, accedete al pannello Wins dal quale potete selezionare
Disabilita Netbios su TCP/IP. Confermate le modifiche con OK nei vari
passaggi in modo da chiudere le porte 137-138-139 in ascolto sull'IP
FastWeb. 
2.Disabilitare RPC (porta 135) 
------------------------------
Esistono piu' sistemi per proteggere i servizi associati al RPC
Portmapper -> il piu' semplice, dopo aver comunque applicato la patch
Microsoft, e' quello di usare 
http://www.grc.com/files/DCOMbob.exe
 per
verificare l'applicazione della patch e disabilitare i servizi DCOM. E'
necessario poi riavviare il computer. 
3.Disabilitare Cifs (porta 445)
-------------------------------
 
Anche in questo caso esistono piu' sistemi -> il piu' veloce (ma da fare
con cautela) e' aprire il registro di sistema (Start / Esegui / regedit)
e creare/modificare la seguente chiave : 
== 
* Cartella :
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters 
* Nome : SmbDeviceEnabled 
* Tipo : DWORD 
* Valore : 0 
== 
in modo che, riavviando il computer, risulti chiusa la porta 445 su TCP. 
4.Disabilitare UPnP (Porte TCP 5000 e UDP 1900) 
-----------------------------------------------
Il sistema piu' veloce e' usare 
http://www.grc.com/files/UnPnP.exe
 ->
una volta applicato, potete verificarne il blocco al riavvio del
computer, controllando da Pannello di Controllo / Strumenti di
Amministrazione / Servizi. Dovreste trovare disabilitati i servizi SSDP
Discovery e UPnP Host.
-- 
|Ż \/Ż | /Ż\ /Ż__/Ż__|-<|> * FAQ 1.6 ITGF it.tlc.gestori.fastweb <|
|Ż|\/|Ż|/Ż_Ż\|(__\__ \-<|> * ----------------------------------- <|
|_|  |_/_/ \_\___|___/-<|> * SITO: 
http://plany.fasthosting.it
   <|
|>Togli/Remove .INVALID<|> * SITO: 
http://www.gofastweb.cjb.net
 _<|

caro macs, ti scrivo da un macintosh G4, che notoriamente non esegue i
virus/trojan/worm scritti nel 99% dei casi per Win.
Ho gli stessi problemi di lentezza e inefficacia nell'apertura dei siti, da
15 gg. ca..
Penso che questo risolva definitivamente la questione: il problema č a
monte.
ciao


monte.
Eccone un altro che non ha capito un tubo nè di come funzionano le
reti nè di come quotare.

 
Il fatto è che i computer infetti saturano la rete con i loro tentativi 
di infettarne altri.

 anche ai non infetti.
E' vero, sono ignorante. Già che ci siamo spiegami come sia possibile che un
worm riesca a mattere in scacco tutta la rete fastweb, a livello nazionale,
per oltre due settimane. Spiegami anche come farà Fastweb a risolvere,
considerando che il 90% dei suoi utenti ignora l'esistenza di questo worm e
che non farà mai nulla per rimuoverlo. Vorrei capire, a questo punto, quanto
è affidabile un servizio come la rete di fastweb in balia dei worm ,che
ormai fioccano e si diffondono ad una velocità impressionante...
PS: Ho dovuto aspettare ore prima di riuscire a scaricare i messaggi della
newsgroup...

ormai fioccano e si diffondono ad una velocità impressionante...
Vedi, qui il problema è che si richiede a fw di risolvere un problema
di cui, oggettivamente, non è responsabile.

 protegge comunque le utenze.
Scusa la mia ignoranza, ma non basterebbe staccare il PC dalla rete, fare
aggiornamenti antivirus, clean e quant'altro e poi ricollegarsi (magari
riconfigurando il firewall -non ho idea se ha senso- e configurando l'utente
XP/2000 come non administrator)?
Mettere mano a tutte quelle cose (porte, netbios, ecc) mi fa venire il mal
di mare, le emorroidi e pure l'otite purulenta!
Altro che virus!
;P
Ciao e grazie
Kuratz
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 e quindi salvarlo.
Scusa, altra domanda!
E se nel file in questione c'è già SOLO la riga su-citata?
Significa che non sono stato infettato? E quindi non serve fare tutta la
procedura?
Oppure non significa nulla?
Grazie


> Kuratz
Ma sei il Kuratz di IAF?

 Efficace ma illegale.
Una specie di Worm.Nachi però con data di scadenza :-)

 Ma sei il Kuratz di IAF?
No, quello era senza la t!!!
Kuraz!
Io sono Kuratz!
Non facciamo confusione per piacere!
Opperbacco!
KuraTz


Scusate la domanda, ma innanzitutto c'è un modo per capire se si è infetti
oppure no? io non sono riuscito a capirlo. grazie a chi mi risponderà
manuele

 Opperbacco!
Ops perdon, non volevo offenderti...(Che tempi quelli di Kuraz per IAF...!)
Ciao

 non sono sufficienti ad impedire la diffusione del worm e creano inoltre
(CUT)
Scusa MACS ma come spieghi che il traffico interno va a palla? C'è qualcosa
che non torna in quel che dici, oppure qualcosa che sfugge a noi profani?

XP/2000 come non administrator)?
Sì, sarebbe la cosa ottimale. Sennonchè una delle funzioni di quel
worm è impedire l'accesso ai siti di aggiornamento degli antivirus. E'
un po' un cane che si morde la coda.
Riconfigurare il firewall ovviamente serve, ma di fatto se sei capace
di farlo con cognizione di causa fai prima a togliere netbios, porte
eccetera.
In buona sostanza le scelte sono due: sorbirsi mal di mare, emorroidi
e otite purulenta e imparare qualche nozione di base, oppure invocare
a gran voce un bel PC con il palladium: i virus prima o poi ci
gireranno lo stesso, in compenso direte addio a tutti i vostri mp3,
divx e giochi craccati.

che non torna in quel che dici, oppure qualcosa che sfugge a noi profani?
Una delle funzioni di quel worm è collegarsi a un server IRC su
internet (quindi fuori dalla MAN) per permettere di pilotare il PC da
remoto (tra l'altro, apre anche un server ftp e uno http - il che
significa che ti possono navigare il computer come se fossero lì).
Già i tentativi di massa di connettersi a un server IRC da dietro il
NAT generano un traffico non da poco, intasando i DNS.
Aggiungiamo che un'altra delle funzioni del worm è quella di condurre
attacchi dos su siti internet a scelta: questo viene fatto mandando
molte richieste in sequenza sulle normalissime porte http, che a
livello del NAT sono aperte per forza (altrimenti non navigheresti).
Moltiplica tutto questo anche solo per qualche migliaio di utenti
infetti e capisci bene come su una rete interna su fibra ottica capace
di qualche gigabit fai poco perchè la banda passante comunque è
sovrabbondante, però metti in crisi i DNS e i router che fanno NAT/PAT
verso l'internet perchè questi non sono (giustamente) dimensionati per
accettare richieste multiple da buona parte degli utenti
contemporaneamente; di conseguenza i pacchetti vanno in coda, ed
eventualmente in timeout.
Spero di essere stato chiaro, se ci sono altre precisazioni o
correzioni a minchiate che ho detto ben vengano.

 correzioni a minchiate che ho detto ben vengano.
:-)

 due settimane sono un tempo molto lungo.
Ammesso che la causa sia questa, come risolvere il problema ??
Visto che è "colpa nostra", rimarremo sempre così ??
Bah ! Sono vermante perplesso.E' ridicolo che FW non abbia ancora risolto
Enrico

Come direbbe Tonino, "che c'azzecca?"
sono normali richieste d'accesso a siti web. Il NAT viene fatto ogni
volta che tu chiedi di vedere un sito web. Forse ti stai confondendo
col PAT.

 noi profani?
La situazione non e' altro che la combinazione di 2 situazioni :
==
- Modalita' di diffusione del worm nella rete FastWeb
- Ubicazione all'interno di tale rete dei filtri posti da FastWeb
==
per cui i problemi di lentezza sono ovviamente indipendenti dall'OS del
computer dell'utente (in risposta al messaggio di ediemme che usa Mac).
-- 
|¯ \/¯ | /¯\ /¯__/¯__|-<|> * FAQ 1.6 ITGF it.tlc.gestori.fastweb <|
|¯|\/|¯|/¯_¯\|(__\__ \-<|> * ----------------------------------- <|


 col PAT.
Uhm.. ma FW era sotto PAT, se non sbaglio...o sbaglio? :O
Disgusting Angel

 Uhm.. ma FW era sotto PAT, se non sbaglio...o sbaglio? :O
Le connessioni base prevedono Dynamic/Hidden NAT tra l'IP MAN e l'IP
pubblico comune/condiviso di 'uscita' su Internet = nessuna regola
statica di NAT/PAT per le connessioni autonome in ingresso su tale IP
pubblico.
Il PAT ce l'hanno invece fino a 10 porte le utenze aziendali con router
Cisco o GAD Telsey che abbiano attivato l'opzione Address = in tal caso
hanno un IP pubblico con PAT su IP LAN RFC-1918 per le connessioni in
ingresso sulle porte scelte in fase di acquisto dell'opzione. Ulteriori
info nelle FAQ citate in firma.



Ringrazio tutti delle opinioni ma...non mi avete risposto :-)
Questo famoso clear.exe č utile lanciarlo oppure no?
Grazie.

 Grazie.
Se tu pensi che tutti quelli che si stanno lamentando qui per la 
lentezza della rete siano infetti, ti sbagli... erm, almeno spero :P
Il Worm in questione non incide solo sulle prestazioni della navigazione 
di chi è infetto, ma anche su quella di tutti gli altri. Questo worm non 
fa altro che scandire la MAN di FW alla ricerca di potenziali vittime 
consumando preziosa banda. Personalmente non ritengo che sia l'unica 
causa dei problemi a cui stiamo assistendo ultimamente, ma di certo incide.
Al lavoro ho un abbonamento ADSL di TIN e i log del router sono zeppi 
delle tracce degli stessi portscan che noi di FW vediamo sui nostri 
firewall log.
C'è però una differenza fondamentale: la MAN di FW, rispetto al "mondo 
esterno" è molto più piccola, quindi gli effetti nefasti del 
Phabot/Agobot/Gaobot/LupMannar/UomdiPagl etc. sono più "concentrati". 
Aggiungi poi che qui c'è gente che naviga a 10Mbps...
Saluti.

 Saluti.
Ti ringrazio. Cmq l'ho chiesto solo per estirpare il virus, personalmente
non credo che questo inconveniente sia la causa del rallentamento
generale...
Avvierò questo clean e vediamo che succede.
Grazie e ciao.