Newsgroup: it.comp.sicurezza.windows
Titolo: bombardamento ICMP

Salve a tutti, utilizzo windows 2000 server con un firewall Zonealarm PRO
2.6.362. Da alcune ore subisco un vero e proprio bombardamento di messaggi
ICMP, che il firewall blocca. Tutto e' iniziato con una strana richiesta da
parte di tftp.exe di accedere alla rete (che io non ho accettato
ovviamente):
PE,2001/12/18,23:12:36 +1:00 GMT,Trivial File Transfer Protocol
App,
151.29.197.169:69
,N/A
Immediatamente dopo:
FWIN,2001/12/18,23:12:44 +1:00 GMT,
192.106.1.138:0
,
151.29.243.30:0
,ICMP
(type:3/subtype:1)
FWIN,2001/12/18,23:12:44 +1:00 GMT,
151.5.64.35:0
,
151.29.243.30:0
,ICMP
(type:3/subtype:13)
FWIN,2001/12/18,23:12:44 +1:00 GMT,
145.145.166.6:0
,
151.29.243.30:0
,ICMP
(type:11/subtype:0)
FWIN,2001/12/18,23:12:45 +1:00 GMT,
151.5.206.9:0
,
151.29.243.30:0
,ICMP
(type:3/subtype:1)
FWIN,2001/12/18,23:12:45 +1:00 GMT,
204.123.2.244:0
,
151.29.243.30:0
,ICMP
(type:3/subtype:1)
FWIN,2001/12/18,23:12:45 +1:00 GMT,
195.3.0.42:0
,
151.29.243.30:0
,ICMP
(type:3/subtype:13)
FWIN,2001/12/18,23:12:45 +1:00 GMT,
213.13.135.117:0
,
151.29.243.30:0
,ICMP
(type:3/subtype:1)
FWIN,2001/12/18,23:12:49 +1:00 GMT,
139.130.7.138:0
,
151.29.243.30:0
,ICMP
(type:3/subtype:13)
FWIN,2001/12/18,23:12:51 +1:00 GMT,
38.166.227.1:0
,
151.29.243.30:0
,ICMP
(type:3/subtype:1)
FWIN,2001/12/18,23:12:53 +1:00 GMT,
151.5.206.241:0
,
151.29.243.30:0
,ICMP
(type:3/subtype:1)
FWIN,2001/12/18,23:13:06 +1:00 GMT,
207.179.172.102:0
,
151.29.243.30:0
,ICMP
(type:11/subtype:0)
FWIN,2001/12/18,23:13:06 +1:00 GMT,
148.240.253.86:0
,
151.29.243.30:0
,ICMP
(type:3/subtype:1)
FWIN,2001/12/18,23:13:06 +1:00 GMT,
216.68.3.206:0
,
151.29.243.30:0
,ICMP
(type:3/subtype:1)
(omissis)
FWIN,2001/12/19,03:07:18 +1:00 GMT,
151.5.206.9:0
,
151.29.194.192:0
,ICMP
(type:3/subtype:1)
FWIN,2001/12/19,03:07:19 +1:00 GMT,
198.180.219.131:0
,
151.29.194.192:0
,ICMP
(type:3/subtype:13)
FWIN,2001/12/19,03:07:20 +1:00 GMT,
141.92.72.2:0
,
151.29.194.192:0
,ICMP
(type:3/subtype:13)
FWIN,2001/12/19,03:07:21 +1:00 GMT,
192.106.1.167:0
,
151.29.194.192:0
,ICMP
(type:3/subtype:1)
FWIN,2001/12/19,03:07:22 +1:00 GMT,
151.5.206.241:0
,
151.29.194.192:0
,ICMP
(type:3/subtype:1)
FWIN,2001/12/19,03:07:26 +1:00 GMT,
163.120.254.254:0
,
151.29.194.192:0
,ICMP
(type:11/subtype:0)
FWROUTE,2001/12/19,03:07:32 +1:00 GMT,
151.5.64.47:0
,
224.0.0.13:0
,
FWIN,2001/12/19,03:07:34 +1:00 GMT,
192.221.41.198:0
,
151.29.194.192:0
,ICMP
(type:3/subtype:13)
FWIN,2001/12/19,03:07:36 +1:00 GMT,
208.51.134.14:0
,
151.29.194.192:0
,ICMP
(type:3/subtype:1)
FWIN,2001/12/19,03:07:41 +1:00 GMT,
202.217.216.4:0
,
151.29.194.192:0
,ICMP
(type:3/subtype:1)
FWIN,2001/12/19,03:07:53 +1:00 GMT,
149.153.1.253:0
,
151.29.194.192:0
,ICMP
(type:3/subtype:13)
Questi indirizzi IP corrispondono a server di ogni provenienza: cina,
giappone, edu, it, qualunque cosa.
Qualcuno ha idea di cosa stia succedendo??
Grazie per l'attenzione
blurp76

 App,
151.29.197.169:69
,N/A
Le scelte sono 2:
1- ignora gli ICMP (cioe' disabilita gli alert di ZA)
2- butta via ZA perche' e' penoso
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

Qualcuno ha idea di cosa stia succedendo??
Apparentemente stai inviando dati verso il mondo, e gran parte di questo
mondo ti sta filtrando con i suoi firewall.
Viene da domandarsi cosa tu stia trasmettendo e perche'. Ma soprattutto,
COSA nel tuo computer stia trasmettendo, e se tu sei d'accordo. Qualcosa
mi dice che non lo sei <grin>
Leonardo "
www.avp.it
"
-- 
ftp://warez.slashdot.com:12345
 - Warez for nerds. Stuff that matters.

 (type:3/subtype:1)
[ecc]
Avete mai sentito parlare di Nimda. Scollega subito la tua macchina e passala
ad un antivirus aggiornato.
Al 99% la prima richiesta era il tentaivo di download di Admin.dll, gli altri
sono gli icmp di risposta delle macchine sotto attacco.
Fabio

 sono gli icmp di risposta delle macchine sotto attacco.
O delle macchine lungo la strada, ove applicabile.
Fabio

 ha scritto nel
messaggio news:BW3U7.335531$sq5.16...@news.infostrada.it...


Centrato in pieno! Nimda individuato con trend micro ed eliminato. Non
pensavo di essere vulnerabile, visto che uso IE6. Da allora pero' ho
sperimentato dei crash di Internet Explorer. Che il virus abbia danneggiato
qualche componente?
grazie
blurp76