Newsgroup: it.comp.sicurezza.windows
Titolo: Aiuto con l'ADSL sono diventato un tiro al piccione! lungo scusate!

penso che questo sia il ng giusto...
Allora win2kpro ....ADSL USB MAnta il pacchetto BBB per intenderci( Bravo
Bischero Bis)...
Installo Norton Internet Security ed Antivirus norton...macello...
soluzione stabile...Zone ALarm Pro e Norton Antivirus..
Da qui mi riconfiguro piano piano il pc..un solo pc via la scheda di
rete...disabilitata la condivisione file..tutto bene...
finche non mi installo il pws di Win2k...il norton segnala che ho
trojan.VirtualRoot però sembra che non abbia il coderedII e che quindi
segnali la falla tipica di IIS...sarà?!
solo che adesso Zone Alarm non fa altro che andare in alert...un sacco di
gente vuole "venirmi a trovare" addirittura 5 min fa schermata blu per
tentata connessione rpc ...
Se mi disconnetto sto cazzo di adsl mi ridà lo stesso ip alla faccia del
dhcp...da quando scrivo questo msg 54 alert:
aspetta però sono tutti sulla porta 6346 ma io gnotella non l'ho in
esecuzione (controllato nel task manager)...allora sono altri client p2p che
cercano di contattare? come posso ovviare a ciò....a me con win98 non mi era
mai successo...ma forse non lo vedevo...pero con un netstat mi viene fuori
sto macello
  TCP    casa:1783              213.253.44.95:http     SYN_SENT
  TCP    casa:1784              213.70.170.101:http    SYN_SENT
  TCP    casa:1785              213.45.65.36:http      SYN_SENT
  TCP    casa:1786              130.241.217.125:http   SYN_SENT
  TCP    casa:1788              213.45.106.41:http     SYN_SENT
  TCP    casa:1789              213.45.142.234:http    SYN_SENT
  TCP    casa:1790              r-rm121-2-922.tin.it:http  SYN_SENT
  TCP    casa:1791              213.45.243.136:http    SYN_SENT
  TCP    casa:1792              213.216.141.152:http   SYN_SENT
  TCP    casa:1793              213.45.127.7:http      SYN_SENT
  TCP    casa:1794              120.194.131.107:http   SYN_SENT
  TCP    casa:1795              a-na18-58.tin.it:http  SYN_SENT
  TCP    casa:1796              213.45.241.219:http    SYN_SENT
  TCP    casa:1797              213.45.84.222:http     SYN_SENT
  TCP    casa:1798              a-nv2-91.tin.it:http   SYN_SENT
  TCP    casa:1799              213.45.205.231:http    SYN_SENT
  TCP    casa:1800              213.13.3.109:http      SYN_SENT
  TCP    casa:1802              213.31.251.140:http    SYN_SENT
  TCP    casa:1803              r-ba025-2-311.tin.it:http  SYN_SENT
  TCP    casa:1804              r-to057-2-398.tin.it:http  SYN_SENT
  TCP    casa:1805              r-na057-1-570.tin.it:http  SYN_SENT
  TCP    casa:1806              213.132.228.203:http   SYN_SENT
  TCP    casa:1807              213.81.110.103:http    SYN_SENT
  TCP    casa:1808              221.127.27.121:http    SYN_SENT
  TCP    casa:1809              a-bn13-8.tin.it:http   SYN_SENT
  TCP    casa:1810              r-rm121-1-1285.tin.it:http  SYN_SENT
  TCP    casa:1811              r-bo043-8-1.tin.it:http  SYN_SENT
  TCP    casa:1812              65.204.53.106:http     SYN_SENT
  TCP    casa:1814              213.251.109.201:http   SYN_SENT
  TCP    casa:1815              213.45.93.102:http     SYN_SENT
  TCP    casa:1816              ipd54b7dc3.free.wxs.nl:http  SYN_SENT
  TCP    casa:1817              a-lg4-32.tin.it:http   SYN_SENT
  TCP    casa:1818              213.139.26.20:http     SYN_SENT
  TCP    casa:1819              213.171.121.10:http    SYN_SENT
  TCP    casa:1820              213.2.43.235:http      SYN_SENT
  TCP    casa:1821              213.45.207.157:http    SYN_SENT
  TCP    casa:1822
ua-213-115-55-237.cust.bredbandsbolaget.se:http  SYN_SENT
  TCP    casa:1823              a-re21-30.tin.it:http  SYN_SENT
  TCP    casa:1824              213.247.243.183:http   SYN_SENT
  TCP    casa:1825              213.194.177.94:http    SYN_SENT
  TCP    casa:1826              172.235.220.201:http   SYN_SENT
  TCP    casa:1827              a-mz27-8.tin.it:http   SYN_SENT
  TCP    casa:1828              a-ii4-62.tin.it:http   SYN_SENT
  TCP    casa:1829              c213.200.145.102.cm-upc.chello.se:http
SYN_SENT
  TCP    casa:1830
ua-213-112-87-73.cust.bredbandsbolaget.se:http  SYN_SENT
  TCP    casa:1831              d38248.upc-d.chello.nl:http  SYN_SENT
  TCP    casa:1832              A48da.pppool.de:http   SYN_SENT
  TCP    casa:1833              r-rm121-5-713.tin.it:http  SYN_SENT
e poi ho stoppato perchè mi veniva male!
Non sono un super esperto ho fatto l'upgrade di win2k a sp1 stanotte farò
quello a sp2 ma davvero pws ha fatto sto macello???!
Grazie  a tutti per la pazienza e di più a chi mi risponderà!
:-(

 andare in alert...un sacco di gente vuole "venirmi a trovare"
Mi spieghi che differenza ci sarebbe tra CodeRed II e trojan.VirtualRoot?
Nessuna.
Quindi giassai cosa fare...
Embe'? Ancora qui a leggere???
Non eri sul sito M$ a scaricare la patch e il removal tool?
-- 
           ~~ ICQ#: 8761263 ~~ 
http://www.delymyth.net/
 ~~
            E-Mail Addy: DElyMyth [at] delymyth [dot] net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=
GnuPG Fingerprint: F6D3 E002 C55A 0B58 7BD4  70CE A69B CCFC 741D 3099

  TCP    casa:1786              130.241.217.125:http   SYN_SENT
Se "netstat -a" da' un gran numero di righe che terminano in
		:http SYN_SENT
oppure "netstat -na" da' righe che terminano con
		:80 SYN_SENT
allora _hai_ con certezza CodeRed, o qualche altro virus che
usa lo stesso sistema per diffondersi.
1) Installare la patch (
www.microsoft.com
)
2) Verificare che non ci siano cartelle condivise, per esempio
   andando su 
www.grc.com
 ("Test my shields", mi pare).
Leonardo
-- 
ftp://warez.slashdot.com:12345
 - Warez for nerds. Stuff that matters.

 Non eri sul sito M$ a scaricare la patch e il removal tool?
Corro, corro, ....aehm?.. e se mettessi un server basato su LISP?
--
  Saluti
Żmassimo_
"... e se non erro, non mi sbaglio affatto." 
http://snail.utenti.org/
ServerFreeNet? 
http://localhost:8081/

 Corro, corro, ....aehm?.. e se mettessi un server basato su LISP?
Mah, come server web ormai tutto meglio di IIS :|
Quello sfruttato da CR e' un baco vecchio e mai risolto, venuto fuori solo
adesso...
La cosa non lascia intendere nulla di buono :(
PS:
La patch pare buggata [leggere icow.win2000]
--


 
infatti se ho letto bene su PI, ripara solo da CR 2 e non 1...
-- 
Pascal-X - mICQ 25553477 - 
www.pascalbrax.com
Responsabile Pubbliche Relazioni del SIACD
Profeta del Sommo C_R_O_S_S__B_O_N_E_S
Nemico dichiarato del Kyle Jordan Klan

 infatti se ho letto bene su PI, ripara solo da CR 2 e non 1...
Non solo...
Leggi quel gruppo che c'e' gente che ha casini dopo aver disinfestato
:((((


Non eri sul sito M$ a scaricare la patch e il removal tool?
Hai dimenticato una mossa che, se pur dolorosa, e' INDISPENSABILE nel
momento in cui ci si accorge di aver ospitato un root-kit, anche se per
soli pochi minuti: Formatta & Reinstalla.
[uso il tu senza riferimenti personali, ovviamente]
No, non sono paranoico (beh, sto mentendo) ma se hai un root-kit a bordo
non puoi sapere che cosa chiunque abbia potuto infilarti nel gufo.
E non parlo di virus o trojan conosciuti, ti potrei indicare parecchi
oggettini non riconoscibili da antivirus (se non da AV dotati di
euristiche piu' paranoiche di me, e non sono poi molti) che possono
essere installati, una volta avuto accesso.
E non ci vogliono che poche decine di secondi.
Meditate, gente. Meditate.
-- 
           |Save our planet!
  Ciao     |Save wildlife;
  roberto  |For your E-MAIL use only recycled Bytes !!
           |roberto poggi  
rpo...@softhome.net

 Corro, corro, ....aehm?.. e se mettessi un server basato su LISP?
Credo che EMACS possa fare anche questo. 8-)
Max "cioe', insomma, se gli hanno fatto fare pure da mail e news
reader..."
-- 
Abrogato l'art. 21 della Costituzione Italiana:
 
http://punto-informatico.it/petizione.asp
SecurFaq             : 
http://www.agora.it/M.Baldinelli/securfaq/
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

 Leggi quel gruppo che c'e' gente che ha casini dopo aver disinfestato
Si sono trovati iscritti al CCD? =8-O


 soli pochi minuti: Formatta & Reinstalla.
Mi pare che qui non vi sia il problema del root-kit, ma solo un code
red.
Certo per maggiore sicurezza, ripartirei anche io da un
format+install... 
-- 
Ciao!
HappyCactus

format+install... 
Ah, ecco, mi sembrava.:-)
IO, poi, sarei per il format+reinstalla[qualcos'altro], ma non si puo'
avere tutto, dalla vita.


 
e da client irc, ricorda! :)
avevo letto da qualche parte...
Tizio: hey! perche' non usi emacs?
Caio: No grazie, ce l'ho gia' un sistema operativo!


 avere tutto, dalla vita.
Soprattutto se le applicazioni che la tua azienda ha sviluppato
(spendendo milioni) girano in asp o necessariamente sotto Win.
BTW, esiste un emulatore ASP per apache?
-- 
Ciao!
HappyCactus

BTW, esiste un emulatore ASP per apache?
Esistere, esiste. 
Che poi qualcuno riesca anche a ricreare i comportamenti di IIS con asp,
va al di la' delle conoscenze attuali della fisica delle particelle.[*]
[*] Cosa dici? Cosa c'entra la fisica delle particelle con IIS e asp?
Perche', IIS e' un web server?


 Perche', IIS e' un web server?
Di nuovo: che c'entra la fisica delle particelle con gli strumenti da
cucina e i virus?
-- 
Ciao!
HappyCactus

segnali la falla tipica di IIS...sarà?!
Di sicuro, visto il tuo log, CodeRed ce l'hai.
Se ti puo' consolare, la velocita' con cui infesta le macchine e'
semplicemente sconvolgente.
L'altro giorno, per curiosita', ho installato di proposito un IIS su un 2000
da riformattare... dopo *34 secondi* (!!!) era gia' infetto e stava
cominciando a sparare fuori i primi SYN.
Roba da non credere...
-- 
BlueRaven
Scrivi su USENET? Allora:
# kill -HUP html_posting && modprobe quoting.o

 e da client irc, ricorda! :)
Ah, questa mi mancava.
-- 
Abrogato l'art. 21 della Costituzione Italiana:
 
http://punto-informatico.it/petizione.asp
SecurFaq             : 
http://securfaq.usenet.eu.org
