Newsgroup: it.tlc.gestori.fastweb
Titolo: tentativi di intrusione ==> virus

Ho da poco cambiato il pc e quindi sono passato a windows xp.
L'installazione e configurazione di sistema e software mi hanno fatto
letteralmente impazzire fino a quando (dopo la decima riformattazione) mi
sono accorto che il sistema si infettava addirittura in fase di setup di
windows e dei driver di mainboard e scheda audio.
All'inizio ho immaginato che si trattase di qualche cd (originale) virato,
poi, arrivato a circa la ventesima installazione (sono tonno, che devo
farci?), ho realizzato che stavo installando con il cavo di rete attaccato.
Installando tutto senza la rete attiva ed installando Zone alarm e Norton
2004 *prima* di connettermi, riesco a concludere il procedimento. Rimane un
fatto: in un'ora mediamente subisco circa 80/90 tentativi di intrusione.
Questi tentativi di intrusione sono in realtà dei trojan che cercano di
infettarmi il sistema. Oggi, per un piccolo disguido, Norton non è partito
all'avvio ed il firewall non è riuscito a bloccare l'attacco. Morale,
ennesima riformattazione del disco e ripartenza da zero.
Il virus che mi sono trovato è W32.spybot.worm. E' un worm che si propaga
tramite Kazaa e altri P2P, ma le infezioni sono avvenute sempre senza file
sharing attivi. Sono comunque un utente di Kazaa e di Emule, ma ormai da
anni. Mai avuto problemi del genere.
La mia teoria è questa. Usando Emule o simili, qualche utente, a sua volta
virato (o delinquente) ha registrato (magari suo malgrado) il mio indirizzo
ip e ora continua a bombarmi. Se sto dicendo eresie qualcuno mi corregga per
favore.
La parte che mi manda più in bestia è che il call center FW e l'assistenza
tecnica che ho contattato anche tramite mail  sembrano latitare sia dal
punto di vista intellettivo che, soprattutto, da quello della buona
volontà. Le signorine del call center hanno continuato a consigliarmi di
usare l'antivirus (ovviamente il mcafee targato FW), senza proprio riuscire
a capire che l'antivirus non riuscivo nemmeno ad installarlo perchè il worm
mi infettava prima che avessi il tempo di finire l'installazione e, una
volta infetto, il sistema non riusciva più a caricare programmi antivirus,
nemmeno online.
I tecnici interpellati via mail, pare, hanno giudicato il mio reclamo "non
attinente" o non fondato, sono troppo incazzato per ricordare le esatte
parole della signorina che, comunque, mi ha detto di attendere ancora un
paio di giorni.
Ma, dico io, perchè nessuno mi ha chiesto da quali indirizzi ip viene
l'attacco?  Perchè dopo che ho chiesto a 5 persone diverse di cambiarmi
l'indirizzo ip privato, (non me lo hanno suggerito loro, lo ho chiesto io!),
nessuno ha ancora fatto niente e io devo continuare ad usare il pc
"blindato" dietro firewall e antivirus con il rischio che se norton ha mal
di pancia 3 secondi io mi perdo un'altra serata a formattare e caricare
software???
Scusate lo sfogo. Se qualcuno ha suggerimenti o voglia di darmi una mano...
Mario

Scusa, ma obiettivamente che minchia c'entra Fw se ci sono in giro idioti
che se ne sbattono le palle di proteggersi il pc, infettando tutti nella
rete??
Fw è come una grande lan, siamo soggetti a sti rischi. Ed io sono uno
convinto che per possedere un pc si dovrebbe avere un patentino, e
bisognerebbe toglierlo a sti vecchi bacucchi del cazzo. Il problema non è
solo il rischio di infettarsi (che eviti se hai un minimo di cervello), ma
soprattutto il fatto che a volte capita che saturino tutta la banda coi loro
maledetti worm ed io praticamente non navigo.
Quando capita, mi posso solo rassegnare ed aspettare che il vecchio stronzo
spenga il pc.
Comunque, non capisco dove sta il tuo problema: installa col cavo staccato
(come facciamo TUTTI, come ho fatto anche io) e la prima cosa che installi è
il firewall.. che fastidio ti da? Che fastidio ti da l'antivirus?
E non possono avere "mal di pancia" e bloccarsi, se succede vuol dire che
hai GIA' qualcosa che non va sul sistema operativo.
E ribadisco: che cosa c'entra fastweb? Che responsabilità ne ha?
Se cammino per strada e attraversando vengo investito sulle striscie da un
idiota con una punto, non è che faccio causa alla Fiat...

 Scusate lo sfogo. Se qualcuno ha suggerimenti o voglia di darmi una mano...
Suggerimenti nell'ordine:
1) Butta XP e rimetti quello che avevi prima
2) Disabilita tutti i servizi che non ti servono, in particolare NETBIOS
3) Cambia l'ordine dei processi in fase di startup, in particolare 
imponi che l'attivazione della rete/DHCP sia subordinato all'attivazione 
del firewall/antivirus
P.S. voglio sperare che l'antivirus sia aggiornato regolarmente e che il 
firewall sia correttamente configurato

 idiota con una punto, non è che faccio causa alla Fiat...
metafora per metafora, se fiat fa le macchine che non frenano gli fanno un
culo a paiolo. FW non ha mai brillato per sicurezza. Se è tollerabile va
tutto bene... se devo diventare uno scienziato della security...

 Suggerimenti nell'ordine:
grazie mille. studierò. sicuro però che devo tornare a '98?
Mario

 (136 ora che ho finito di scrivere il resto della mail) Capita anche a te?
Sì, purtroppo. Dipende da zona a zona, ma l'ultimo anno ha visto
un'escalation MOSTRUOSA di queste cose...
E' pieno di teste di cazzo che se ne sbattono di proteggere i propri pc
(vecchi maledetti), e questo provoca il loro diffondersi esponenziale... Che
c'entra Fw?
Per fare un parallelismo: le strade italiane e le autostrade son piene di
incapaci, di idioti che corrono senza saper guidare e di incivili,
pericolosi, eccetera... è forse colpa di chi ha costruito le strade? Non
credo.

Ultime considerazioni...
Fastweb cosa può fare per questo problema?
Individuare TUTTI quelli che diffondono virus è virtualmente impossibile,
quindi inapplicabile. E poi cosa gli fai? Non è reato (purtroppo) essere
stupidi. Per quello, aspettate che io entri in politica, ma ora non se ne
parla.
In fastweb potranno lavorare dei tecnici, ma non ci lavora Harry Potter: far
sparire tutti i virus con una formula magica non si può fare.
L'unico rimedio che potrebbe attuare, realisticamente, sarebbe quello di
chiudere tutte le porte sulle quali viaggiano virus e worm vari... e sarebbe
DECISAMENTE peggiore del male.
Altra considerazione, l'ultima...
Mario, se tu fossi laureato in informatica... lavoreresti in un call center
a rispondere alle telefonate, o faresti l'analista programmatore?
Sveglia, su.

 [cut bla bla norton zone alarm bla bla]
Forse non hai chiara la differenza tra un virus e un worm.
A parte tutto il "tempo medio di sopravvivenza" di una macchina windows
*non patchata* s'e` dimezzata negli ultimi anni arrivando a 20 minuti.
http://isc.sans.org/survivalhistory.php
http://isc.sans.org/
http://it.slashdot.org/article.pl?sid=04/08/17/1347214&tid=172

 mano...
Patchati il SO come si deve. Se lo fai sei al sicuro. Altrimenti vuol dire 
che sbagli qualcosa nelle procedure di installazione.
E' appena uscito l'SP2 per xp, mettitelo... al momento c'e' (già) un solo un 
exploit circolante per SP2 e di difficile realizzazione, perchè richiede 
l'uso di Internet Explorer in un modo particolare.
Se fai le cose come si deve, persino il personal firewall diventa poco più 
che un giocattolo didattico senza nessuna o quasi ragione di esistere.
Anche perchè la rete è piena di gente che si crede furba, il 30% della gente 
infetta da robaccia virulenta come Agobot o MyDoom monta un firewall e si 
pensa al sicuro... e ha la faccia da culo di risponderti "Impossibile! ho un 
firewall" quando tenti di fargli notare che è ugualmente infetto... fai tu.
Lascia stare FW, che con la negligenza di certi utonti ha le mani legate, e 
trasforma l'evento in un'occasione didattica.
Appena sei a posto, windowsupdatati ogni giorno e le tue chances di beccare 
schifezze si riducono a quasi zero (premesso che tu tenga una condotta 
intelligente on-line... il che esclude scaricare ed eseguire trojan 
mascherati da nocd-patch/crack/serial da circuiti P2P, ad esempio...).
Ciao! 


questa è ridicola, se non di più,
a parte che conosco "un" laureato in Scienze dell'Informazione
che lavora come operatore FastWeb al 192193,
t'assicuro che il livello di preparazione degli operatori
è al di sopra di qualsiasi aspettativa tradiscano queste tue parole.
Come se lavorare come operatore fw fosse un mestiere da poco
con una clientela esigente e statisticamente più preparata delle concorrenti
rotfl

 3) Cambia l'ordine dei processi in fase di startup
Come si fa?
Grazie
FS

 grazie mille. studierò. sicuro però che devo tornare a '98?
No, per niente.
Io non conosco le tue esigenze.
Se hai necessita' di usare win xp usalo pure.
Se ti incuriosisce win xp o vuoi imparare ad usarlo meglio usalo pure.
Ma se non ci sono validi motivi e nella situazione precedente ti trovavi
bene...
Visto che hai formattato 30 volte, fai cosi': la prossima volta che
formatti prova a rimettere su 98 e vedi come va...
Tanto ormai per te rimettere su XP e' un attimo.
Infine, se il disco che hai e' abbastanza grosso, puoi sempre pensare di
fare due partizioni, una con 98 e una con XP, tenerle su entrambe e poi
fare il boot con l'una o con l'altra a piacimento.
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 wrote in message
news:gqgVc.125083$
OR2.6...@news3.tin.it

In XP non lo so: non posseggo XP.
Immagino che ci sia una sezione del file di registro in cui questi
processi sono inseriti e che vengano lanciati nell'ordine in cui sono
indicati.
Tanto per rendere l'idea: in ambienti unix, i processi che partono in
fase di startup sono lanciati da degli script presenti nella directory
/etc/rc2.d/ e hanno davanti al nome il prefisso Sxx dove xx puo' andare
da 00 a 99 in modo da ottenere un ordinamento alfabetico ben preciso che
determina l'ordine di lancio.
Se io volessi lanciare l'antivirus (S98antivirus) prima della rete
(S45inet) non devo fare altro che rinominare il file S98antivirus in
S44antivirus.
Pero' mi rendo conto di parlare di un sistema operativo difficile come
unix.
Sotto Windows che e' notoriamente piu' facile da usare ci deve
sicuramente essere un metodo piu' semplice di aprire il regedit, cercare
il nome del processo (tutt'altro che intuitivo), capire come anticiparlo
rispetto ad un altro, e sperare che il sistema non vada in crash o
peggio che non riesca piu' a ripartire ;-)


a rispondere alle telefonate, o faresti l'analista programmatore?
Temo che il neolaureato medio sia più qualificato per il primo
compito... <g>
-- 
ciao,
Marco

 mano...
Io ho tre PC, due XP e un sk.
Si avviano e si spengono spesso, firewall ZA e antivirus Norton 2002 (non
2004: 2002).
Non si infettano MAI in fase di boot o di shutdown.
Questo vuol dire che il tuo firewall parte con un notevole ritardo.
Inoltre, colpevolmente, se t avessi anche aggiornato su Windows update
saresti protetto da worm vecchi di un anno.
Avresti potuto incolpare Zone labs ed avresti avuto parziale ragione, il
provider non c'entra nulla.
V²

 Patchati il SO come si deve... <snip>
grazie. leggerò con attenzione
adieu e grazie a tutti per l'aiuto
Mario

 peggio che non riesca piu' a ripartire ;-)
Cosa che e' peraltro semplice, dato che la chiave ben nota e' un qualcosa
che finisce per Run; il problema e' che XP e' multitasking e fiero di
esserlo, per cui lancia i processi praticamente insieme (il tempo di passare
da una riga alla successiva del registry e' ovviamente dell'ordine dei
millisecondi scarsi). Quelli si accavallano furiosamente, litigano
ferocemente per l'accesso al disco e a volte danno anche problemi. Per un
po' ho sperato che tu conoscessi un metodo per costringere un processo a non
partire finche' l'altro non e' terminato o completamente partito. Per la
verita' mi viene in mente qualcosa con un batch e gli errorlevel, ma, visto
che ci siamo, sai per caso come fare almeno in unix? (che e' notoriamente
piu' facile da usare :)
Ciao
FS

 piu' facile da usare :)
Certo che si!
Cosa hai bisogno di sapere di preciso?
Se un processo e' partito?
Se sta girando?
Se quindi puoi proseguire con l'esecuzione di qualcos'altro?
Normalmente tutti i processi che sotto unix funzionano come servizio,
partono, si forkano, si inizializzano e poi vanno in idle, in attesa di
qualcosa.
Il classico problema e' sapere quando raggiungono lo stato di idle.
Generalmente i programmi di sistema, o quelli fatti bene, un attimo
prima di raggiungere l'idle lockano qualcosa: o un semaforo, o un file,
o una pipe...
di solito la cosa e' documentata.
Quindi basta semplicemente lanciare il processo e poi attendere che
venga lockata la risorsa, ad indicare che il processo e' su e si puo'
procedere oltre...
Quelli che non hanno questa prerogativa, puo' essere che rispondano ad
un segnale o ad una porta.
Allora in questo caso lancio il processo, lancio il segnale o il
messaggio e aspetto risposta.
Quando arriva la risposta proseguo...
Nei casi peggiori si puo' sempre ricorrere al caro e vecchio sleep!
lancia_processo
sleep 5
lancia_processo_successivo
mi sa che stiamo brutalemnte sforando in OT 


 mi sa che stiamo brutalemnte sforando in OT
Mi sa che Unix e' un sistema serio...
A questo punto divento curioso e nei prossimi giorni vedo di scoprire se si
puo' fare qualcosa per Windows. Non siamo OT, nella misura in cui ci legge
qualcuno di fastweb che magari potrebbe aver bisogno di idee su come far
andare un po' meglio la baracca :)
Scherzo naturalmente. Ma a volte, anche solo sapere che le idee possono
esistere puo' risultare illuminante...
FS

Da piccolo le vaccinazioni te le hanno fatte, no?
Pessimo esempio: gli antivirus per windows non ti proteggono dai virus
futuri, se non marginalmente.
-- 
ciao,
Marco

 futuri, se non marginalmente.
Non mi sembra un paragone errato. Li chiamano virus perché infettano.
Le vaccinazioni vengono *create* solo dopo aver identivicato il virus e
trovato il modo per debellarlo.
Ergo: prima arriva il problema, quindi lo si studia e si trova la cura,
quindi si curano i malati e si vaccinano i sani.
Un antivirus ti protegge dai virus sconosciuti e cerca di aggiornarsi per
vaccinarti in caso di nuovi virus.
Lavorare prima che un virus venga creato non è possibile, o almeno: a me la
sfera di cristallo il corriere non l'ha ancora portata! :)
V²


LOL!!  :-)
SM

 
Non e' completamente esatto!
Tutti gli antivirus dell'ultima generazione (e anche della penultima)
monitorano con attenzione tutti i files eseguibili e avvertono se
qualcosa sta cercando di modificarli.
Questa difesa risale al periodo in cui i virus tentavano di infilarsi
all'interno di files eseguibili presenti sul disco.
Oggigiorno questo tipo di virus e' stato praticamente debellato proprio
perche' tutti gli antivirus hanno questa funzionalita'.
Proliferano invece i worms e i trojans che non alterano gli eseguibili
esistenti ma creano dei files nuovi o vanno a modificare delle righe del
registry.
E comunque sono molto rari i nuovi virus: sono molto piu' frequenti le
varianti di virus gia' esistenti.
Scrivere un nuovo virus da zero e' molto complesso.
Prendere un virus esistente e modificarlo in modo da aggirare le ultime
difese e' molto piu' semplice e fattibile.
Questo da una parte permette il proliferare di molte varianti di virus
noti, ma dall'altra parte ne rende piu' semplice il riconoscimento.


Lavorare prima che un virus venga creato non č possibile, o almeno: a me la
Č possibile progettare e sviluppare sistemi operativi che non siano
cosě facilmente vulnerabili.
-- 
ciao,
Marco

 puo' fare qualcosa per Windows. 
scusate se mi intrometto anche se anche io ritengo l'argomento OT, ma
saro' telegrafico:
il modo per avviare i servizi nell' ordine voluto da NT in su' c'e e
sta nelle opzioni dei services (boot, system etc) e nelle dependencies
(che possono essere usate anche se non vi e' reale dipendenza).
Consultate la KB (quella inglese e' ovviamente la migliore) della
mamma e trovate tutto. E' sintomatico che gli utenti linux/unix
aguzzino giustamente l' ingegno, mentre quelli MS che spesso hanno la
pappa pronta in termini di support e gruppi dedicati, ignorino queste
cose e non si prendano la briga di consultare il
sito....mollaccioni??? spero di no :-))))
Un saluto a tutti cordialmente
Taloon

 (che possono essere usate anche se non vi e' reale dipendenza).
Beh, non e' che uno ci possa arrivare di fantasia :) Le dipendenze sono
ritenute generalmente qualcosa di semplice e per nulla modificabile...
grazie dell'informazione, lo guardero'.
FS