Newsgroup: it.comp.sicurezza.windows
Titolo: intruso su porta 119?!

Salute, carissimi! E' la prima volta che scrivo a questo NG, e sapete perche'? 
Iersisera ero tranquillamente collegato al mio ISP quando mi sono allontanato dal PC (W98). Al mio ritorno l'iconetta dello stato della rete indicava una massiccia attivita'...siccome non avevo download in pendenza, mi sono allarmato, e ho controllato con il netstat... ho visto cosi' che ero attaccato a un host remoto sulla porta 119. Ho interrotto  in fretta e furia la connessione; riprovando a connettermi in seguito, e controllando lo stato delle connessioni con netstat e tdimon (un programmino reperibile su sysinternals, che permette di associare le socket aperte ai programmi che le utilizzano), ho verificato che rundll32 (ma non e' un pezzo di Windows?!) cerca di connettersi a degli indirizzi remoti.... 
  TCP    
212.171.77.83:1027
 
203.157.0.134:119
      SYN_SENT
  TCP    
212.171.77.83:1028
 
194.27.128.110:119
     SYN_SENT
  TCP    
212.171.77.83:1029
 
203.157.0.132:119
      SYN_SENT
  TCP    
212.171.77.83:1035
 
195.208.252.2:119
      SYN_SENT
  TCP    
212.171.77.83:1048
 
208.149.207.201:119
    ESTABLISHED
  TCP    
212.171.77.83:1048
 
208.149.207.201:119
    FIN_WAIT_2
  TCP    
212.171.77.83:1049
 
157.25.149.2:119
       SYN_SENT
  TCP    
212.171.77.83:1052
 
212.141.246.16:119
     SYN_SENT
  TCP    
212.171.77.83:1076
 
207.183.249.87:119
     SYN_SENT
  TCP    
212.171.77.83:1077
 
208.139.96.113:119
     ESTABLISH
  TCP    
212.171.77.83:1077
 
208.139.96.113:119
     FIN_WAIT_1
  TCP    
212.171.77.83:1077
 
208.139.96.113:119
     FIN_WAIT_2
  TCP    
212.171.77.83:1077
 
208.139.96.113:119
     SYN_SENT
  TCP    
212.171.77.83:1085
 
129.69.1.59:119
        ESTABLISHED
  TCP    
212.171.77.83:1085
 
129.69.1.59:119
        SYN_SENT
  TCP    
212.171.77.83:1102
 
196.38.167.8:119
       SYN_SENT
  TCP    
212.171.77.83:1107
 
193.190.198.46:119
     SYN_SENT
208.139.96.113  -> 
imsp026.netvigator.com
129.69.1.59     -> 
infosun2.rus.uni-stuttgart.de
208.149.207.201 -> ---
Questa e' invece parte della traccia di tdimon:
307  460.42604240  Rundll32  0D00000C  TDI_CONNECT  TCP:
0.0.0.0:1048
 
208.149.207.201:119
  TDI_PENDING  
TDI_PENDING  SUCCESS  
308  460.83466160  Rundll32  0D00000C  TDI_QUERY_INFORMATION  TCP:
0.0.0.0:1048
 
208.149.207.201:119
  SUCCESS  Query Address  
309  464.35373280  Rundll32  001E001D  TDI_EVENT_RECEIVE  TCP:
0.0.0.0:1048
 
208.149.207.201:119
 
208.149.207.201:119
  MORE_PROCESSING  Length:146 Flags: ENTIRE_MESSAGE LOOKAHEAD   
310  464.35532560  Rundll32  0D00000C  TDI_SEND  TCP:
0.0.0.0:1048
 
208.149.207.201:119
  TDI_PENDING  Length:22  
311  464.76917520  Rundll32  001E001D  TDI_EVENT_RECEIVE  TCP:
0.0.0.0:1048
 
208.149.207.201:119
 
208.149.207.201:119
  MORE_PROCESSING  Length:24 Flags: ENTIRE_MESSAGE LOOKAHEAD   
Length:24 Flags: ENTIRE_MESSAGE LOOKAHEAD   SUCCESS-312  
313  465.13753920  Rundll32  0D00000C  TDI_SEND  TCP:
0.0.0.0:1048
 
208.149.207.201:119
  TDI_PENDING  Length:6  
Length:6  SUCCESS  
314  465.55203120  Rundll32  0D00000C  TDI_DISCONNECT  TCP:
0.0.0.0:1048
  TDI_PENDING  
TDI_PENDING  SUCCESS  
315  468.47458480  Rundll32  001E001D  TDI_EVENT_RECEIVE  TCP:
0.0.0.0:1048
 
316  468.47463680  Rundll32  0D00000C  TDI_CLOSE_CONNECTION  TCP:
0.0.0.0:1048
  TDI_PENDING  
TDI_PENDING  SUCCESS-317  Length:35 Flags: ENTIRE_MESSAGE LOOKAHEAD   
Ora, non pensavo che 'sto rundll32 fosse un newsreader...
Ragazzi, scusate per la lunghezza del post...spero che il mio sia un problema ben noto, cosi' che possa risolverlo in fretta...senno' sono costretto a rifare la macchina, con in piu' il problema di non sapere da dove sia arrivato l'intruso!
ciao,
	Marcelo
Find the best deals on the web at AltaVista Shopping!
http://www.shopping.altavista.com
-- 
Posted from 
c012-h004.c012.sfo.cp.net
 [209.228.13.95] 
via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 cerca di connettersi a degli indirizzi remoti.... 
A meno che tu non vada a leggere le news in turchia, in russia, a
stoccarda e in altri posti ameni, hai beccato hybris che cercava i suoi
plug-in in giro per i server news di mezzo mondo.
-- 
           |Save our planet!
  Ciao     |Save wildlife;
  roberto  |For your E-MAIL use only recycled Bytes !!
           |roberto poggi  
rpo...@softhome.net