Newsgroup: it.comp.sicurezza.windows
Titolo: Connessioni: queste sconosciute :-)

Ciao a tutti,
vi scrivo sperando di trovare un po' di consigli sui primi passi nel mondo
della sicurezza...Ecco la mia situazione:
Utilizzo Emule con una connessione ADSL 24h, ho provato vari firewall ma
non sono mai riuscito a farli funzionare bene con il programma...allora è
capitato che abbassassi la guardia. Ed è stato un errore madornale. Mi
vergogno un po' ad ammettere che sono stato poco accorto per ben due volte:
in queste due volte qualcuno è entrato nel mio PC e mi ha cancellato la
prima volta tutto l'HD, la seconda solo una metà. Questa seconda volta i
dati li ha proprio tritati, perché non sono stato in grado di recuperarne
una briciola, con Easy Recovery.
Mi è stato a questo punto consigliato di aprire bene gli occhi e dotarmi di
- antivirus
- antitrojan
- firewall
- browser più serio di IE
Allora, nella mia ricerca di programmi *freeware* per la sicurezza ho
trovato: 
 - antivirus: avast32, nonché un "On Access Scanner" che dovrebbe tutelarmi
da eventuali intrusioni...
 - antitrojan: non pervenuto :-D Avete consigli?
 - firewall: Kerio
 - browser: Mozilla
Ho poi preso un programmino per monitorare le porte, si chiama Proport, lo
conoscete? Mi fa vedere tutte le connessioni del mio PC...ed è qui che ho
incominciato a sudare freddo! Nel pannello ci sono indicati gli IP, anche
con l'indirizzo risolto, ed il numero di porta. Quello che mi ha lasciato
fortemente perplesso è che, insieme agli indirizzi che presumo giusti
(finiscono con "
tiscali.de
", e io mi connetto con loro, dalla Germania), ci
sono qua e là altre connessioni che non capisco da dove provengano! Per
esempio, robe del tipo:
cable2117.class.net
user.dialup.mindspring.net
dialup.Atlanta.level3.net
phil.east.verizon.net
Insomma, che cosa mi rappresentano queste connessioni a questi IP? Se tento
di andare all'indirizzo col browser, la connessione viene
rifiutata...Inoltre la scansione antivirus (aggiornata) ha dato risultato
negativo: nessun virus trovato. Io però ho il sospetto di essere fortemente
a rischio...
Vi sarei grato se voleste dirmi i vostri commenti in proposito,
suggerimenti, quant'altro possa aiutarmi a diventare un utente tranquillo e
al sicuro!!!
Grazie,
Michele

 conoscete? . . . . .
Se usi proport mentre chatti od usi emule è chiaro che vedrai gli  
indirizzi di quelli che sono connessi alla rete del servizio di  
messaggeria o di emule
-- 
GIT/O d- s: a C++$ U-- P L- !E W++ N++ o? K? w+$ O !M V PS++ PE-- Y+++ PGP  
t+ 5- X++ R- tv++ b+ DI- D G e h! r-- !z+

 messaggeria o di emule
Si certo, ma io non sono né in chat né sto usando Emule!!! Ho solo la
connessione internet! E' per questo che sono allarmato. Cosa pensi possa
essere? Ho solo Mozilla e Dialog attivati, nient'altro!
Proprio ora Proport mi ha rilevato una possibile attacco trojan:
IP 62.134.100.181, Port: 139
per ben due volte...
M

 M
Port: 139 = Servizio NETBIOS
Vai nelle impostazioni di rete di windows e disabilita il netbios su tcp/ip
In ogni momento ci sono un sacco di cazzoni che usano un portscanner
per sapere se qualcuno ha delle porte aperte su cui tentare un attacco.
Comunque è  più importante quello che dal tuo computer
vuole comunicare con l' esterno di cioe  che dall' esterno
vuole chiamare il tuo pc.
Infatti trovare strani servizi cha vogliono chiamare l' esterno
significa che il tuo pc si è beccato un trojan horse  un virus od uno  
spyware.
Ma il kerio lo usi ?


 Ma il kerio lo usi ?
Si! Lui perň mi informa di processi che vogliono lanciarne altri...sul
versante attacchi non mi ha ancora segnalato niente...Bisogna perň
ammettere che non ho letto ancora una riga di manuale, anche perché sto
andando in rete solo per spedire messaggi e controllare la
posta...dopodiché stacco..sono traumatizzato!!
Il buon Proport, comunque, nel frattempo mi ha segnalato i seguenti
attacchi:
***
Attack #1 -- 31/07/2004 14.15.48
Remote IP: 201.9.38.170
Local Port: 139
Possible Trojan: Common Nuke Port
--------------------------------------------------------
Attack #2 -- 31/07/2004 14.48.17
Remote IP: 83.129.165.184
Local Port: 139
Possible Trojan: Common Nuke Port
--------------------------------------------------------
Attack #3 -- 31/07/2004 14.53.15
Remote IP: 200.207.55.169
Local Port: 139
Possible Trojan: Common Nuke Port
--------------------------------------------------------
Attack #4 -- 31/07/2004 15.02.15
Remote IP: 201.4.140.125
Local Port: 139
Possible Trojan: Common Nuke Port
--------------------------------------------------------
Attack #5 -- 31/07/2004 15.04.47
Remote IP: 83.129.23.238
Local Port: 139
Possible Trojan: Common Nuke Port
--------------------------------------------------------
Attack #6 -- 31/07/2004 15.04.51
Remote IP: 83.129.23.238
Local Port: 139
Possible Trojan: Common Nuke Port
ttack #1 -- 01/08/2004 15.56.35
Remote IP: 195.113.150.16
Local Port: 4321
Possible Trojan: BoBo
--------------------------------------------------------
Attack #2 -- 01/08/2004 18.36.00
Remote IP: 219.248.206.221
Local Port: 139
Possible Trojan: Common Nuke Port
--------------------------------------------------------
Attack #3 -- 01/08/2004 18.36.05
Remote IP: 219.248.206.221
Local Port: 139
Possible Trojan: Common Nuke Port
--------------------------------------------------------
Attack #4 -- 01/08/2004 18.36.09
Remote IP: 219.248.206.221
Local Port: 139
Possible Trojan: Common Nuke Port
--------------------------------------------------------
Attack #5 -- 01/08/2004 18.36.13
Remote IP: 219.248.206.221
Local Port: 139
Possible Trojan: Common Nuke Port
--------------------------------------------------------
Attack #6 -- 01/08/2004 18.36.16
Remote IP: 219.248.206.221
Local Port: 139
Possible Trojan: Common Nuke Port
--------------------------------------------------------
Attack #7 -- 01/08/2004 18.36.19
Remote IP: 219.248.206.221
Local Port: 139
Possible Trojan: Common Nuke Port
--------------------------------------------------------
Attack #8 -- 01/08/2004 18.36.22
Remote IP: 219.248.206.221
Local Port: 139
Possible Trojan: Common Nuke Port
--------------------------------------------------------
Attack #9 -- 01/08/2004 18.36.26
Remote IP: 219.248.206.221
Local Port: 139
Possible Trojan: Common Nuke Port
***
...Mi sai dire qualcosa a riguardo?
M
-- 
email: manchee...@THIStiscali.it


Qualcuno vuole comunicare con il trojan horse di tipo BoBo
credo sia una variante del back orifice.
Se è presente sulla tua macchina sono guai visto che
il tizio può prendere il controllo del tuo pc.


 il tizio può prendere il controllo del tuo pc.
E anche questa mi suona tremendamente verosimile...L'unica cosa che mi
perplime è che con Avast32 non mi ha trovato niente...Ora: o ho fatto uno
scanning a pesce, ho sbagliato qualcosa, oppure non c'è niente...
Grazie ancora per le spiegazioni!
Michele
-- 
email: manchee...@THIStiscali.it

 perplime è che con Avast32 non mi ha trovato niente.
Gli antivirus a volte fanno cilecca con i trojan horse.
Meglio usare A2 e Ad-Aware.
Inutile ricordare che A2 e Ad-Aware vanno aggiornati
periodicamente via internet.


In data Tue, 03 Aug 2004 20:55:01 +0200, 
geek.it
 ha scritto:
[cut]
Grazie mille Geek! Mi hai dato un bel tot di informazioni...Ora non mi
resta che digerirle e sperimentare col firewall...Poi vedremo a che punto è
la notte :-)
Grazie ancora,
Michele
-- 
email: manchee...@THIStiscali.it