Newsgroup: it.comp.sicurezza.windows
Titolo: urgente porta 5000 sockets de trois

Dopo una approfondita scansione con Norton Antivirus sono stati rilevati 2
adware maligni:
1- gain 4104.exe  - Adware.Gator - Eliminazione non riuscita
2- imesh 336.exe - Adware.NDotNet - Eliminazione non riuscita
Cliccando su questi file mi si apriva la pagina della Symanthec Security
Response che mi permetteva di fare una scansione delle porte del pc e dei
virus/trojan.
Il resoconto è stato che tutte le porte erano sicure tranne una, con annessa
definizione:
5000 UPnP (Universal Plug and Play). Questo servizio è utilizzato per
comunicare con qualsiasi dispositivo UPnP collegato alla rete utilizzata.
E di seguito:
Sockets de Trois v1. Tale virus è un programma che si diffonde come una
backdoor di amministrazione remota. La sua installazione coincide con un
errore DLL e, dopo essersi installato nella directory \windows\system,
modifica le chiavi del registro di configurazione.
Ho sia l'anitvirus Norton 2004 che il firewall ZoneAlarm, Spybot e Ad-Aware,
ma vedo che nonostante tutto non bastano.
Cosa devo fare per rendere sicura questa porta 5000 ed eventualmente
"disinfestare" il mio pc?
Grazie, Queenlamu


desumo che tu abbia WinXP.
Se non hai elettrodomestici 'intelligenti' per casa
collegati in rete, puoi tranquillamente fare così:
Pannello di Controllo->Strumenti di Amministrazione->
Servizi->Host di periferiche Plug & Play Universali -
devi prima di tutto arrestare il servizio, dopo ciò, nella
opzione 'tipo di avvio' inserisci un bel 'Disabilitato'.
Saluti.
-- 
Toto

 opzione 'tipo di avvio' inserisci un bel 'Disabilitato'.
Grazie,ho fatto come hai detto. Spero che non ci sia altro.... :P
Saluti, Queenlamu

 "disinfestare" il mio pc?
Beh ... _prima_ di tutto, come dice un mio caro amico
"practice safe hex" ossia .. evita di eseguire qualsiasi
cosa sia a portata di mouse inclusi allegati email, prog
scaricati da siti "crakz/hakz" e simili; inoltre, se hai un
pgm antivirus.. tienilo aggiornato, altrimenti disinstallalo
dato che senza aggiornamenti (frequenti) non serve ad
una beneamata cippa... detto questo (ci voleva)
0) Usa la TESTA (la tua non un'altra)
1) Togli ZA ed installa un firewall decente (anche XP ICF)
2) 
http://housecall.trendmicro.com/housecall/start_corp.asp
3) 
http://security.kolla.de
 (scarica Spybot, aggiornalo ed usalo)
4) Usa windowsupdate e scarica/installa _tutte_ le patches
5) Installa un'antivirus decente, se lo vuoi free 
http://www.free-av.com
6) Usa la testa prima di cliccare con il mouse
Ciao
PS: thorin .. ma possibile che tu debba sempre prendere a martellate
        tutti quelli che postano :-) ? Qualche volte prova con la
dolcezza...
        a volte č meglio un barattolo di vaselina che un cazzottone in bocca
:-)

 :-)

opzione 'tipo di avvio' inserisci un bel 'Disabilitato'.
Ho sentito parlare della porta 5000, ma ho capito che e' una porta
naturalmente 'aperta' nei sistemi windows, ovvero, se non hai il
firewall attivato.
Ho fatto i test standard di sygate con il port scanning con e senza:
*con* le porte risultavano <bloccate>, *senza* semplicemente <chiuse>
tranne una... la 5000. I trojan 'addetti' a tale porta vengono
elencati, fra cui il socket de trois, ma il test di sygate non sta a
significare di averceli, solo che il pc senza protezione firewall e'
aperto ad un attacco sulla porta 5000. Credo per default. E, pure
chiusa come tu descrivi, l'azione di un eventuale socket de trois (se
te lo becchi) la potrebbe aprire ugualmente.
E' cosi' o sbaglio?
####################################
...-   <chiedo assistenza>
...    <sto dando macchine indietro>
####################################

in Uindous 98 non lo troverai.
Certo, non puoi mettere sullo stesso piano i servizi di rete di win98
(pure SE) con quelli piu' recenti. Erano mie riflessioni: questa porta
5000, come si diceva su, farebbe riferimento ad un servizio host di
periferiche plug&play, e mettendomi nella testa di chi vende uindous
ho pensato che in condizioni di default possa essere settata come
'aperta', per facilitare questi servizi ai clienti piu' 'user'. Poi,
se la vuoi settare 'chiusa', con un intervento da admin come diceva
toto (scusa se ti cito, non ci siamo presentati) lo devi fare
attivamente.
Ovviamente, se non la 'blocchi' con un firewall, hai voglia a
impostare i criteri di amministrazione, un eventuale trojan te la puo'
resettare ad 'aperta'.
Tuttavia, questa storia della porta 5000 e dei risultati dei vari
port-scanning test, e' molto frequente leggerla se giriamo sui ng: o
siamo stati tutti attaccati dallo stesso trojan (dagli stessi tre),
sulla stessa porta (!) oppure e' una vulnerabilita' tecnicamente
necessaria, che puo' essere protetta da un appropriata gestione admin.
Oramai i trojan stanno a simboleggiare le porte e viceversa,
esattamente come i virus (veri, biologici) vengono identificati con
una determinata patologia: esserne predisposti non significa beccarsi
il virus corrispondente per forza, significa piuttosto dover stare
piu' in guardia.
Chiaro che potresti avere ragione ed io ho un trojan di cui non voglio
ammettere la presenza, ma mi sembra un ragionamento sensato. E lo
proponevo giusto per entrare nell'argomento dei meccanismi della
sicurezza di windows, vorrei cominciare a capirci qualcosa seriamente.

Non c'e' niente su cui elucubrare: si e' parlato a lungo...
e va bene.
lo disabilito, riavvio e rifaccio lo scanning test di 
sygate.com
: se
la vede chiusa, ho la dimostrazione che non avevo il socket de trois,
si trattava di una indicazione generica di vulnerabilita'... come
sopra. se risulta di nuovo aperta, vuol dire che ce l'ho.
 :-) elucubro, ergo sum