Newsgroup: it.comp.sicurezza.windows
Titolo: Svchost e strani pacchetti

9.34.14	svchost.exe	OUT 	TCP	206.24.172.62	http	localhost(any)	1112	Download Manager		00:00:01	0 Bytes/s	0 Bytes	0 Bytes
Qualcuno ha qualche suggerimento in proposito?
--
Gabriele Orlando ---> 
pierro...@people.it
 
pierro...@despammed.com
<<Homo sum humani nihil a me alieno puto>>
(Publio Terenzio Afro, Heautontimoroumenos)

 Qualcuno ha qualche suggerimento in proposito?
non hai un fw ??

 Qualcuno ha qualche suggerimento in proposito?
nslookup 
download.windowsupdate.com

non hai un fw ??
Sì, Outpost, ma uso anche Peerguardian2 e Protowall. Sto pensando di
bloccare le "uscite" sospette, ma è un lavoro delicato. Se ci fosse la
possibilità di capire perchè un file di sistema di Windows cerca di
comunicare con la Savvis...
Ho Ethereal, ma non essendo un esperto non sono sicuro di poter trarre
qualche conclusione sicura dal monitoraggio dei pacchetti.
Bye bye


# Enter ? for additional hints on searching ARIN's WHOIS database.


 comunicare con la Savvis...
Ok, proviamo ad essere piu' espliciti:
C:\>nslookup 
download.windowsupdate.com
[...]
Nome:    
download.windowsupdate.com.c.footprint.net
Addresses:  208.174.60.61, 213.200.99.30, 206.24.172.62
                                          ^^^^^^^^^^^^^
[...]
Quell'ip appartiene al cluster per lo scaricamento degli aggiornamenti
di windows. Non sempre la query indicata risolve negli stessi ip: puo'
essere che tra qualche ora siano cambiati.
Fabio

;; MSG SIZE  rcvd: 104
In conclusione?


 In conclusione?
http://www.google.com/search?q=microsoft+savvis
Fabio
PS: correggi il delimitatore della signature.

 ...
non fai prima a bloccare qualunque tipo di traffico in/ou per svchost.exe ??

 svchost.exe ??
Bella mossa.
Poi mi dici come funziona in rete, windows senza svchost.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net


funziona ugualmente
----
# linux counter
# 387461

 funziona ugualmente
Ho dei grossi dubbi, al riguardo.
svchost e' lo strato di servizio cui i programmi che debbono
comunicare in rete si appoggiano.
Blocchi lui, e in rete non ci vanno piu'.


 
non mi risulta... esempio: su tutti i pc di questa rete qualunque 
traffico in/out è bloccato per svchost.exe eppure in rete vi va ugualmente.


Ti ringrazio per le spiegazioni, purtroppo le poche conoscenze che ho
sul computer derivano dal metterci mano su e provare.
Ti chiedo un'ultima cosa: non c'č modo di sapere se questi passaggi
siano tutti al di sopra di ogni sospetto relativamente ai miei dati
personali, vero?
Bye bye !!
--
Gabriele Orlando ---> 
pierro...@people.it
<<Homo sum humani nihil a me alieno puto>>
(Publio Terenzio Afro, Heautontimoroumenos)

 personali, vero?
Il protocollo e' chiuso. A prima vista non si vede niente di tragico ma
non ci vorrebbe molto a nascondere informazioni qua e la. AFAIK, ad ora
nessuno ha ancora scoperto niente di particolarmente sospetto (bisogna,
pero', vedere anche cosa si intende con "dati personali").
Fabio

 ugualmente.
Dipende da cosa intendi per "andare in rete", che di per se non 
vuol dire nulla. Serve il servizio windowsupdate? Ti serve RPC?
Fabio

 vuol dire nulla. Serve il servizio windowsupdate? Ti serve RPC?
ripeto: per mezzo di un pfw qualunque tipo di traffico in/out per 
svchost.exe e lsass.exe
la condivisone delle risorse (cartelle, files e stampanti) funziona 
windows update funziona
rpc funziona (e non potrebbe essere altrimenti)

 svchost.exe e lsass.exe viene negato
mancava  un pezzo...

Fabio


 rpc funziona (e non potrebbe essere altrimenti)
L'endpoit mapper (rpcss) viene eseguito da svchost. Se blocchi
correttamente svchost (e le relative dll caricate), l'endpoint
mapper non puo' rispondere alle richieste. Esistono servizi di
rete, poi, che usano rpc su smb o anche su smb, ma e' un altro
discorso. Cosa intendi con "non potrebbe essere altrimenti"?
Fabio

 discorso. Cosa intendi con "non potrebbe essere altrimenti"?
quando _per errore_ su un pc ho bloccato anche rpc la macchina ha 
iniziato a comportarsi come se fosse stata infettata da msblast (la 
maschera che ti avvisa che la macchina sarà riavviata entro 60 sec.).

 Evidentemente *tu* non usi le funzionalita' legate alla rete ne
e quali sarebbero queste funzionalità, ad esempio...

 e quali sarebbero queste funzionalità, ad esempio...
La prima che mi viene in mente e' ipsec. La seconda il sistema di
accodamento messaggi, o le applicazioni DCOM/COM+ in generale. Ma
e' perche' non ho voglia di pensarci.
Fabio 

 maschera che ti avvisa che la macchina sarà riavviata entro 60 sec.).
E' perche' si e' interrotta la comunicazione tra winlogon ed i processi
lsass o services. Ma non ha nulla a che fare con il funzionamento dell'
endpoint mapper, il componente gestito da svchost di cui si parlava.
Fabio

 e' perche' non ho voglia di pensarci.
sarebbe interessante verificare quante sono le lan che in casa o nelle 
piccole/medie aziende utilizzano questi o altri servizi avanzati, oltre 
alla condivisione di files e stampanti e - al massimo - il backup dei 
dati...