Newsgroup: it.comp.macintosh
Titolo: era BackOrifice

Molti di voi conoscono lo scompiglio che il gruppo cDc
(
http://www.cultdeadcow.com
) ha causato nel mondo PC. L'ultima volta che
mi sono collegato al loro sito davano quasi il 70% per pc australiani
infetti dal loro trojan BO server, una pacchia per noi utenti mac per
potevammo anche divertirci con MacBackOrifice Client PPC 1.0 a bloccare
e riavviare i pc con W95 e W98. Ma soprattutto credevammo di essere
immuni.
Tragedia.
WDT Remote Admin 1.2b2 PPC il "grande" WeeDo ha emulato il culto della
vacca morta ed ha creato il primo tool undergound di amministrazione
remota per Mac. E' prevedibile quindi che a breve vi vediate recapitare
email con un allegato che si chiama (WDTech RA Extension 1.2b2 PPC o
rinominato ma di 748k circa).
Prestate la massima attenzione perché l'installazione di questa
estenzione permette alla gentile persona che ve lo ha inviato di
accedere al vostro mac ogni qualvolta siete in internet.
Meditiamo... ed occhio alla porta 550 del nostro amato Macintosh.
Ciao

Puoi tranquillamente modificare la porta, inserire la password ed
altrettanto facilmente puoi inserire in un installer, magari fatto con
stuffit l'estensione "pericolosa" da passare anche ai meno stolti. In
fondo sono gli stolti le persone più soggette anche con BO server.
Ho già ricevuto 8 mail private che mi chiedevano dove scaricare il
programma... complimenti!
Io speravo che il S.O. della mela fosse meno facile da aprire a backdoor
o accessi di questo genere.
Staremo a vedere
Ciao
P.S. mentre scrivo questo post eudora ha segnalato l'arrivo di un altro
messaggio su nfmail.com... altra richiesta: "...scusa vorrei provare
l'applicazione, mi dici dove scaricarla....?" ...mmmmOOffff

 poi collegarti in Rete, cosa BEN DIVERSA dal Trojan server del PC.

hanno contattato.
mmmOOOfff
Ciao alla prossima.
-------------
LeoSpamm Cleb
 m e m b e r
-------------
ICQ: 24838846
AIM: Nizolius

]rUdY[ ha scritto nel messaggio <1dm0d7k.5grv4a1x0ffy8N@[193.70.96.48]>...
:Non e' per niente vero, soprattutto se parliamo degli inizi (certo,
:sarebbe da stolti essere boservizzati adesso, dopo tutte le info
:circolate) dove non c'era nessun tool/antivirus PC che potesse
la differenza sostanziale e' che in win NON TE NE RENDI CONTO e se noti una
porta aperta, pensi che IE abbia fatto casino
su MacOS invece vedi l'init nella cartella estensioni (ci sono dentro almeno
una volta al mese) e se noti una porta aperta o il disco che si avvia
inspiegabilmente SUBITO capisci che c'e' qlcs che non va.
:P.S.: credo proprio che azzeccherei i nomi di almeno 4 degli 8 che ti
:hanno contattato.
io sono uno. non volevo alimentare il thread sul NG (che mi parre un poco OT
e sconsigliabile per un NG, se volete settiamo un a ML :) ma vediamo un po'
se scopri gli altri. :))))
PS: non e' assolutamente difficile nascondere l'INIT cmq.
in un installer qualsiasi fai copiare l'init server che preventivamente ha
rinominato OT/ExtLib (per esempio) e gli hai messo una bella iconcina tipo
OT/PPP  >:-[

 wrote:
Ragazzi, se ne sentono di piu' su questo NG in una settimana che in 10
anni di abbonamenti a 3 o 4 riviste...Brrrrrrrr
Ma dove si possono approfondire questi discorsi sulla sicurezza del Mac?
Ciao e grazie
Roby
-- 
TOGLIERE "ROBERTO" PER LA RISPOSTA EMAIL
REMOVE "ROBERTO" IF REPLIYNG BY EMAIL
  "ROBERTO" ENTFERNEN  UM DURCH EMAIL ZU ANTWORTEN

...
:Ma dove si possono approfondire questi discorsi sulla sicurezza del Mac?
it.comp.sicurezza.*

Non portarmi esempi cosi' "sconci"  =;) 
Sconci sa sega... permette anche la software distributione, è
eccezionale, speriamo che lo facciano che per il Mac...
mmOOff!
Ciao alla prossima


Roby
Su 
http://weedo.blackout.org
 trovi il materiale sul quale stiamo
discutendo. Scaricati il programma e leggiti con attenzione i due file
readme. Visto che sei in zona ti consiglio anche
http://www.blackout.org
Su 
http://web.cip.com.br/flaviovs/boproto.html
 ci trovi il protocollo
di comunicazione fra BO server ed il client.
Su 
http://www.cultdeadcow.com
 trovi il "culto della vacca morta"
online e qualche informazione
Su 
http://www.antionline.com
 c'è un po' di materiale relativo alla
sicurezza
Soprattutto segui il ns it.comp.sicurezza.varie è una miniera di
consigli e suggerimenti. Non parlano mai del mac ma riesci a farti una
panoramica della situazione.
mmOOff


mmOOff...
Avevo dimenticato 
http://jambo.blackout.org
, leggi Happle, si imparano
tante cose interessanti, basta saperle scegliere.


 identificabile.
FinderPop. Oltre a rendere piu' facili i menu contestuali -attivabili
con un solo click - mostra tutti i processi attivi, compresi quelli
"nascosti". IMHO un pannello di controllo che non dovrebbe mancare a
nessun Mac user. E poi e' free ( o meglio, pintware; grazie, Turly).
Ciao
Dario

un bell'exploit).
Poveretti!
mmOOff
Ciao alla prossima!



Contents:
1. WDTech Remote Admin Extension Description
2. How to use WDTech Admin Extension
3. How much does WDTech RAE cost?
4. Disclaimer
5. Closing Notes
Annex A. Commands list and syntax examples
Annex B. How to configure the WDTech RAE manually
WDTech Remote Admin Extension Description
WDTech RAE allows you to control the computer on which it is installed
and do basic file maintenance through TCP/IP using any Telnet
terminal. WDTech RAE is an Extension that runs 100% in background so
it doesn't annoy the users while it is running. 
Some of the features are deleting files, copying files, moving files,
shutting down, restarting, browsing the computer, reading text files
and data forks, fading down the screen, fading in the screen
andejecting volumes. There are many more.
How to use WDTech Admin Extension
WDTech is incredibly easy to use. Just put the Extension in your
Macintosh's Extensions folder and restart. Whenever your computer is
connected to the internet, you will be able to connect to your
computer from anywhere in the world using a Telnet terminal client.
(default telnet on windows machines is on c:\windows\telnet.exe).
If you connect to a default Extension, the default port is 550 and
there is no default password, just press enter when you are prompted
for password. It is NOT recommended to keep the default settings since
this would allow any malicious user to access your computer. WDTech RA
Config. allows you to change your WDTech Remote Admin Extension's port
and password. Read the enclosed documentation (document called RA
Config. contains Important Information).
When you log in to your computer, you will be prompted for a password.
Once you have entered the password, wait for the 127.0.0.1> (or any
other numbers, its the computer's IP address) prompt and type
'commands', this will display a list of available commands with WDTech
Remote Admin.
As the default, WDTech Extension displays its name and the current
date when a user first connects. You can change this to anything you
like by putting a text file called 'login.msg', containing the text
you want displayed at login time.
How much does WDTech Remote Admin Extension cost?
WDTech RAE package is shareware. For a small 10$ US fee, you will
receive the full version of the application and you will be notified
as each updates becomes available and will receive them free of
charge. Until the application is registered it will only allow you to
connect one time only, until the computer is restarted.
To register WDTech RAE, send check  or money(*) by mail to:
Guillaume Belanger
1775 Du Manoir, Outremont
Quebec, Canada
H2V 1B7
Your mail must contain this information:
-------------------------------------------------------
1. Your name
2. Your email address(**)
3. The version of the WDTech RAE (current version is 1.2b1, first
public release)
-------------------------------------------------------
(*) Sending cash through ordinary mail services  is not a smart thing
to do and chances are the author would never receive it.
(**) An email address is necessary,  since it is the only way you can
receive the application, serial number and software updates.
DISCLAIMER
WD Technologies and/or the author are NOT responsible for any
malicious use or misuse of this software. If you  use of this
Extension wisely, your Macintosh should be secure, although the
Extension, installed without your knowledge, would allow a remote user
to access your computer. It is your job to make sure no malicious user
has access to your computer.
Closing Notes
WDTech Remote Admin Extension and WDTech RA Config. must be
distributed in the ORIGINAL and UNTOUCHED package complete with its
two documents. If your package is incomplete, please refer the
location where you downloaded it to the author and we will send you a
complete package. Distribute this package freely on non-lucrative
shareware or underground archives. To distribute on commercial or
lucrative archive, contact the author for a written permission.
Commands list
Command
commands                 Shows a list of avaible commands.
ls [<Directory Path>]    List the content of a directory.
qls [<Directory Path>]   Quick list of the content of a directory.
currdir                  Current directory.
launch <File Path>       Launches an application/file.
quit <File Path>         Quits an application.
getinfo <File Path>      Gives informations about a file
edit <File Path>[:<port>]Edits a text file or file data fork.
del <File Path>          Deletes a certain file or folder.
makedir <File Path>      Creates a folder.
copy <File Path> to  [<New Path>]  Copies a file (default is current
dir).
alias <File Path> to  [<Full Path>] Creates an alias (default is curr.
dir).
cat <file path>          Displays the Data Fork of a file.
msg <message string>     Display a message on the user's computer.
smsg <message string>    Full screen message on the user's computer.
volumes                  Displays all mounted volumes.
eject                    Ejects all ejectable volumes.
ae <AppType> <AeType> <Creator>  Sends an AppleEvent.
restart                  Restarts the computer.
shutdown                 Shuts down the computer.
fadedown                 Fades the screen to black.
fadeup                   Fades the screen back to normal.
freeze                   Freezes (Crashes) the computer.
clear                    Clears the terminal screen.
logout                   Leave WDTech Remote Admin.
Commands Syntax
(127.0.0.1> represents the prompt and should not be typed.)
127.0.0.1>ls Macintosh HD:documents:
//This will list the 'Macintosh HD:documents:' folder.
127.0.0.1>cd Macintosh HD:
//This will bring you into the Macintosh HD: folder, type currdir to
know where you are at any time.
127.0.0.1>launch Macintosh HD:applications:SimpleText
//This will launch the application or open the document found at
Macintosh HD:applications:SimpleText, other commands which work with
the same syntax are: quit, getinfo, cat, makedir and del.
127.0.0.1>copy simpletext to Macintosh HD:documents:new text stuff:
//If you are in the folder where the file named 'Simpletext' is, this
command will copy 'SimpleText' to Macintosh HD:documents:. If you are
not in SimpleText's folder either get in it using the cd command or
type the full path of the file.
127.0.0.1>msg Slow down on the downloads you're lagging the network!
//Will display a mesage box with the given message.
127.0.0.1>smsg Important meeting 3:30PM
//Will set all the screen to black and display your message in big,
easily viewable red characters.
127.0.0.1>ae aevt ejct MACS
//This sends the AppleEvents of type 'aevt', the data is 'eject' and
the creator of the target is 'MACS' (the Finder).
*IMPORTANT* 
- The Fadein and Fadeout commands do not work on powerbook
macintoshes.
- You may get syntax errors sometimes due to a time-out lag.. if you
are sure you have used the correct syntax, verify that the command has
been executed (i.e. you created a directory, check if the directory
was indeed created.) in most cases the commands will still work but
you will get an annoying Syntax error message from time to time.
How to configure the WDTech RAE manually
It may append that the WDTech RAE Config. application will not work
and the interface will be left blank. Or maybe you just didn't have
enough space to put both the extension and the config. app on a disk..
etc. So here is how to easily change your settings using any resource
editor.
1. Open your extension in ResEdit (or any other resource editor)
2. Find the resource 'data' NOT 'DATA' be careful resources are case
sensitive. If there is no 'data' resource, create one using Command-k.
3. The 'data' resource with the ID #1 is your password, the second
one, ID #2, is the extensions port. The third one, #3, will appear if
you registered your extension and will contain the serial number used.
If you need to create these resources, press command-k then get info
on each resource to change their resource ID#.
4. Now change any resources you wanted to change/create. Just type
your data in the ASCII field (just make sure its typing what you
type.. if its not you must be in the Hex field.). Remember if the
resource dont have the correct ID, WDTech RAE will ignore them.
5. Close and save changes, restart.
WeeDo
we...@bigfoot.com
http://weedo.blackout.org/
-------------
LeoSpamm Cleb
 m e m b e r
-------------
ICQ: 24838846
AIM: Nizolius
diab...@nfmail.com
inqui...@hotmail.com

confrontabile con le rotture summenzionate, VERO??
Per carita', sono d'accordo su tutta la linea... Windows 95/98 e'
assurdo come livello di sicurezza, una cosa assolutamente
improponibile... tieni conto, pero', che ci aspetta un bel po' di
lavoro quando uscira' il MacOS X, dato che le "rotture summenzionate"
sono poca cosa a confronto dei tool che girano sotto Unix.
Non credo che i bravi programmatori della Apple riusciranno a breve a
portare tutti i tool sotto la GUI e a renderli immediati nell'uso
(mamma mia, gli altri sono 30 anni che ci provano...) per cui
aspettati alcune difficolta'...
Saluti,
Francesco

Risposta veloce veloce, poi torno con più calma.
Ho fatto un po' di prove ma "FinderPop" v.1.7.4 riconosce
tranquillamente l'estensione di WeeDo e la visualizza nella sezione
Processes (anche perché WeeDo non ha voluto renderla invisibile)
quindi come giustamente dici può essere "detectata".
Provo appena finisce il dowload anche l'altra applicazione che mi mi
hai suggerito e ti faccio sapere.
Ci risentiamo in serata.
Ciao
mmOOff
-------------
LeoSpamm Cleb
 m e m b e r
-------------
ICQ: 24838846
AIM: Nizolius
diab...@nfmail.com
inqui...@hotmail.com