Newsgroup: it.comp.sicurezza.windows
Titolo: Un giorno in balia di tutti

Beh, non è stato proprio un giorno, ma diciamo un'oretta e mezza, due.
Praticamente, dopo aver fatto l'immagine del sistema, cosa faccio?!
Decido di vedere cosa accade se lascio Windows in balia della rete,
senza protezioni. Decido, oltre a togliere il firewall e il packet
filter, di abilitare tutte le condivisioni, togliere la password a
tutti gli account e impostarli come amministratori, abilitare il
netbios, più tutta una serie di azioni-suicidio tipo abilitare i
server telnet e ftp, assistenza remota, le condivisoni delle
connessioni e altro, che ora non ricordo. Fatto questo, ovviamente
elimino dal sistema il mio account, piallo tutte le informazioni
sensibili (tutte?!), stacco tutte le periferiche attaccate, mi assicuro
che quello che andrà su internet sarà un sistema completamente vuoto
e...mi collego.
In siffatte condizioni il sistema non dura neanche 5 minuti.
Primo: dopo meno di cinque minuti, l'ultima volta dopo soli 30 secondi,
il sistema si riavvia per un errore del file lsass.exe. Okkei, mi dico,
ci siamo.
Riavvio, ctrl+alt+canc, ma in task manager non si vede nulla. Boh.
Pensavo apparisse qualcosa tipo blaster.exe ma nulla. Provo tcpview,
nulla. Tutto sembra normale. Passano altri dieci minuti. Il disco fa
crrr crrr. Di nuovo ctrl+alt+canc. Tcpview era ancora aperto perciò
vedo due sessioni ftp attive: una ftp e una ftp-data. Mi hanno inviato
qualcosa e infatti Procexp mi mostra stavolta un file del tipo
cfoppxdl32.exe. Tcpview, questa volta, mostra una marea di porte
aperte, tentativi di connessione, e in meno di cinque minuti da quando
qualcuno mi ha inviato questo coso mi ritrovo circa dieci computer
collegati al mio. Porte 21/23, 443, 445, netbios e via dicendo.
Continuo a vedere che succede. Premetto che ho condiviso tutto, anche
tutto C:
Lsass.exe crasha di nuovo. Riavvio. ctr+alt+canc, nulla. A parte quel
file strano, non ho cosi tipo blaster.exe (ma perchè?!). La
connessione cade. Vabbè. Mi riconnetto. Il sistema diventa lento.
Lento. Cerco di aprire Risorse del computer, ci mette una vita. Mi
chiedo quanti, in quel momento, si staranno facendo i fatti miei.
Vabbè. Lsass.exe crasha ancora. Che palle. Riavvio. Ricade la
connessione. Mi riconnetto. Il sistema è lentissimo. Si blocca il
menù start. Spengo, riaccendo, mi riconnetto. Tutto normale, il
sistema si riprende. Cinque minuti. Dieci minutI. lsass.exe sembra non
crashare più (il worm si sarà stancato), tcpview mostra tantissime
porte aperte, e di nuovo mi ritrovo un sacco di connessioni in
ESTABLISHED. Anche di vicini di ip.
Faccio un controllo. In C: non c'è niente. Nei documenti personali e
condivisi (è tutto condiviso, ma vabbè) nemmeno. Ma che stanno
facendo la fuori, anzi qua dentro?! Il sistema ridiventa lento.
lsass.exe crasha di nuovo. Riavvio, riconnetto, la connessione cade
dopo poco, mi riconnetto, il sistema è sempre lento, si blocca,
riavvio...etcc....etcc....
Alla fine, passate quasi due ore, mi rompo e ripristino l'immagine del
sistema.
Insomma, ho lasciato il mio pc in balia di chiunque per due ore e
l'unico risultato che ho ottenuto è stato quello di vedere il mio
sistema inutilizzabile. Allora mi sono chiesto: ma se un sistema
compromesso si comporta così, a chi torna utile?! A nessuno, immagino.
Ho riavviato un sacco di volte, forse di quelli che sono entrati e ne
hanno preso possesso nessuno lo avrà utilizzato vista
l'ingovernabilità.
E questo non è proprio un male. A ben pensarci, un pc compromesso,
essendo inutilizzabile, non fa danni a nessuno.
Ho anche cercato di vedere se fosse stato usato come veicolo di
attacchi DDos, ma nada. Nessuno ne ha avuto il tempo, la possibilità,
o ci ha pensato.
Tra le altre cose, ho visto quante persone, la fuori, non hanno altro
da fare che entrare nei pc altrui. Ma che gusto ci provano, che
vogliono?! Sarebbe stato bello se, mentre erano connessi, avessi avuto
modo di comunicare con loro e chiedergli: We, ma che minchia vuoi?! Ma
non sapendo come si fa, ho semplicemente spento e ripristinato tutto.

Bhè parlare di persone è prematuro. Nel 99% dei casi si saranno collegati 
altri pc infetti,
quindi programmi automatizzati per "effettuare scansione delle porte dei 
vari pc in rete, verificare quello che è aperto e in caso di semaforo verde 
usare un exploit per depositare il file infetto" e cioè nient'altro che 
virus.
Spesso l'unica utilità che cercano i creatori di virus dai pc che infettano 
è che diventino veicoli di infezione.
Infatti con molta probabilità in quelle due ore il tuo pc infetto ha tentato 
di infettare altri computer attraverso la rete.
Saluti
Daniele

 ha scritto nel messaggio 
news:1138705606.0...@g49g2000cwa.googlegroups.com...
....bello....
per un attimo mi sembrava di leggere Gibson... :-D
Diego 

 di infettare altri computer attraverso la rete.
Ma a che pro?! Se l'unico risultato è rendere inutilizzabile una
macchina, a che pro?!

 ...
'un giorno vissuto pericolosamente'
amante del brivido o voglia di sentirti honeypot ??
-- 
# Linux counter
# 387461

 
Spero che nessuno dei suoi *vicini di IP* cerchi di fargli passare
qualche brutto momento.
Perche' quello che ha fatto giulio in italia e' reato, da quel che ne so
io.
Le honeypot le si costruisce a senso unico.
Si fanno sistemi che possono ricevere robaccia, ma non mandarne a
nessuno.
Cosi', giulio ha consapevolmente sperimentato il 615 quinqiues del
codice penale.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

Una prova più sensata che avresti potuto fare sarebbe stata quella di 
lasciare un sistema completamente PATCHATO alla stregua di chiunque.
Buona l'idea del server telnet e ftp ma è ovvio che se non patchi contro 
sasser e blaster (giusto per dirne 2) il sistema lo exploitano in una 
manciata di minuti.
(molto) Teoricamente un sistema "open" patchato non dovrebbe subire le 
intrusioni che hai descritto. 

guarda, quando imparai cos'era una backdoor, in chat trovai qualcuno con il 
server già installato, mi collegai con il suo pc, e cominciai a giocarci 
;-)) ma il tipo era consapevole di tutto ciò...(di sicuro l'aveva installato 
lui il server e il pc non era suo :-)), e ci facemmo una simpatica 
conversazione :D, del tipo
"ciao, la smetti di far aprire e chiudere il lettore cd?" uahahaha
poi "se non mi togli quell'immagine porno dal desktop mi sparo na s....." 
uahahhahahaah (non sapevo neanche come ce l'avevo messa li uahahahahh e non 
riuscivo piu a toglierla :))). Simpatico esperimento il tuo...anche se hai 
trasformato il tuo pc in uno zombie....cosi impegnato a infettare gli altri 
che non riuscivi nemmeno ad utilizzarlo. Pochi sono gli hacker/lamer che si 
divertono a sterminare partizioni.....oggi è tutto automatizzato -_-

Che cos'è il 615 quinquies?! Comunque Daniele mi ha fatto pensare che
in effetti sono stato sprovveduto, non tanto per me che non avevo nulla
nel pc ma in quanto avrei potuto (e forse l'ho fatto) infettare
qualcuno che inconsapevole aveva il pc non patchato. Mah...

 Una prova piů sensata che avresti potuto fare sarebbe stata quella di 
Ehm, sbagliato mira?


 Che cos'è il 615 quinquies?!
Un articolo del codice penale.
Ma come al solito, google te lo avrebbe detto ben prima di me.


 connessioni e altro, che ora non ricordo.
Che Windows ? Era "full patched" ?
Comunque se ti interessa molti PC pieni di virus vengono usati dagli
spammer per spedire tonnellate di posta o anche per navigare chissà su
che siti (es: backdoor che fanno da proxy)
Evita questi esperimenti perchè sei responsabile del tuo PC e chi ne
prende il controllo potrebbe usarlo per fare cose non proprio legali

Ma come al solito, google te lo avrebbe detto ben prima di me.
Finché ci siamo, consigliamogli anche di inserire le keywords
"Per quotare bene da google groups"
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

 e ripristino l'immagine del sistema.
<snip>
A parte tutte le considerazioni che si potrebbero
fare sul discorso "615 quinquies" ecc... credo che
tu abbia commesso un grosso errore ripristinando
cosě di botto l'immagine di sistema, personalmente
se volessi fare un esperimento del genere metterei
in piedi uno sniffer di rete per catturare tutto il traffico
ed alla fine dell'esperimento, andrei ad analizzare
il contenuto del disco...
si trovano cose molto interessanti a volte :)

Cioè?!?! Scusa, ho un disco esterno USB con l'immagine *pulita* del
sistema. Quando mi son rotto, ho avviato il BartPE e ho ripristinato
l'immagine su C: prendendola dal disco esterno F:
Così facendo qualsiasi cosa ci fosse stata su C: è stata cancellata
anche perchè ho un'unica partizione sul disco del portatile...
O no?! O intendevi il MBR?! Ma NOD32 non rileva nulla. Kerio
nemmeno...CHX-I sta li buono buono con i filtri....

 O no?! O intendevi il MBR?!
no .. mi hai frainteso, intendevo dire che sarebbe
stato interessante (ed istruttivo) sniffare/loggare il
traffico di rete e studiare quello che c'era sul disco
infetto *prima* di piallarlo :)

Aaaahhh :-) mi hai fatto prendere un colpo. Hai visto l'altro post?!
Kerio lascia uscire segmenti UDP attraverso le mie due porte 1038 /
1039, come mai?! Che ne pensi?!


A questo punto sarebbe stato più valido installare sebek e fargli
loggare tutto il traffico, cosi' facendo, come già emerso nel corso del
thread, avrebbe potuto controllare anche il traffico in uscita.
Nel caso non si disponga di più macchine (roo, il pot e compagnia) ci sono
dei documenti che spiegano come fare tutto con vmware, quindi aveva a
disposizione tutto il necessario per fare le cose bene. :-)
Gufo
-- 
  ,___,                    Never trust an operating system.
  (9v9)
  (_^((\		    .: May the owl be with you :.
-^-"-"-\\-^-

 Che ne pensi?!
beh .. senza entrare in dettaglio.. diciamo che
kerio (come anche altri prodotti simili) ha diverse
come definirle... pecche .. si ecco forse questo è
un termine appropriato :-)

Mo nemmeno Kerio è un buon prodotto?! Ma esistono buoni prodotti per
Windows o è proprio l' INTERO UNIVERSO Windows a fare schifo?!

Windows o č proprio l' INTERO UNIVERSO Windows a fare schifo?!
Niente di sotto inteso o personale (bene inteso) ma molto spesso č l'utenza 
che utilizza i sistemi Windows a fare schifo. :-)

Si, CHX-I mi piace. Mi ricorda ipchains / iptables (che non ho mai
utilizzato pur avendo letto qualcosa a riguardo). Però, se non erro,
con CHX-I io posso decidere *solo* a livello di pacchetto / segmento
dati e non anche a livello di applicazione. Quindi se per es. non
voglio ricevere alcun pacchetto TCP con flag SYN attivato in CHX-I
definisco la rispettiva regola, però in questo modo impedisco anche a
chiunque di connettersi a me. Se voglio che sia *solo* l'applicazione
XYZ a farlo come posso specificarlo in CHX-I?! Non posso, e quindi mi
serve un Personal Firewall. Più o meno.

 e quindi mi serve un Personal Firewall. Più o meno.
appunto :) installa e configura CHX-I per il filtraggio del traffico
(porte/protocolli ecc.. occhio ad attivare il filtraggio "stateful")
poi se vuoi il controllo sulle applicazioni, installa Kerio sulla
stessa macchina (si può fare, kerio neanche si accorge di
CHX visto che CHX lavora a livello MOLTO più basso) quindi
configura Kerio a livello "minimo" ed usalo SOLO per avere il
controllo sulle applicazioni
Ciao

 controllo sulle applicazioni
Eh, ho fatto proprio così solo che sono ancora troppo ignorante per
usare bene questi strumenti. In sostanza, anche con CHX-I attivo,
quella porta in UDP risulta aperta, infatti un sito me lo ha riportato.
Ora, che filtro devo impostare in CHX-I per chiudere tutte le porte al
protocollo UDP sia in entrata che in uscita?! E come posso far
bypassare questo filtro alle applicazioni che lo richiedono?! Essendo
un filtro a livello 3, Kerio non può farci niente, lavorando a livello
applicazione. Giusto?! Quindi, come risolvo?!
Grazie :-)

lavorando a livello applicazione. Giusto?! Quindi, come risolvo?!
Un pf non lavora solo a livello applicazione. Non conosco kerio ma un 
qualunque pf decente lavora e ti permette di impostare regole anche a 
protocolli più bassi quali IP ed Ethernet.

macchina, a che pro?!
spam ?