Newsgroup: it.comp.sicurezza.windows
Titolo: Ma è normale che appena mi collego con Virgilio...?

Ciao a  tutti,
mi piacerebbe sapere se anche a qualcun altro capita qualcosa del
genere. Come da soggetto, appena mi collego con una connessione
Virgilio, dopo poche decine di secondi il fw (Outpost 2.0 Pro) rileva
attacchi Netbios, Rpc nei confronti di svchost.exe (cui ho negato
diritti di connessione) System, scansione porte 445, 135, 5000...
E che c*****...
Con Libero non accade _nulla_ del genere: il provider si limita a
pingare e a inviare unknown protocols.
E' mai possibile che Virgilio diriga o addirittura consenta simili
scansioni? Questo accade _ogni_volta_ , lo ripeto.
Non ho ADSL nè IP fisso.
Mi sento leggermente seccato...
Qualcuno può dirmi cosa ne pensa?
Grazie in anticipo a chi mi risponderà.
================================================
"Io dico che decolliamo, e nuclearizziamo: e' piu' sicuro."
================================================

Comunque se hai le patch regolari,  fregatene.
Infatti ho applicato le patch più importanti in tema di sicurezza, e
Outpost fornisce un'ottima protezione. Mi dava comunque fastidio
rilevare una simile incuria da parte di Virgilio. Fino a qualche mese
fa rilevavo una chiamata Rpc a svchost da parte sempre del medesimo
sito hosts.interbusinessnonricordopiù, e sempre con Virgilio.
Bah...:((
Tnx a lot. :)

ciao a tutti
no, non sono proprio d'accordo
l'utente deve provvedere alla sicurezza del proprio pc esattamente nella
stessa misura in cui il provider deve assicurarsi che simili attacchi non
raggiungano i propri utenti.
aggiungo qualche informazione in più...
le "patch regolari" non sono sufficienti: la mia macchina è quotidianamente
aggiornata per s.o. (xp pro), antivirus, antispyware e firewall, ciò
nonostante avevo un bel processo scvhostsys.exe (al momento non mi è nota
l'origine) che "trafficava" come un ossesso.
ho un accesso adsl tin. avevo anch'io outpost, l'ho sostituito con sygate
personal firewall (gratuito) a causa di continui crash di sistema su xp
(peraltro noti ai programmatori di outpost ma non ancora risolti).
mi sono ritrovato con un ottimo firewall che mi ha comunicato che le
continue scansioni delle porte provengono tutte da indirizzi di proprietà
telecom italia s.p.a. (sygate può eseguire un bel back trace con successivo
whois di cui riporto il risultato più sotto).
visti i tipi di porte indagate ho disabilitato il "client per reti
microsoft" dalla connessione (impostazioni di default del pacchetto tin) e
la frequenza delle scansioni si è azzerata; se ciò sia casuale o no lo saprò
solo tra un po' di tempo, nel frattempo... sto meditando di chiedere
informazioni sia a tin sia a telecom.
salutoni!
---
tipico avviso di scansione da sygate personal firewall:
Somebody is scanning your computer.
Your computer's TCP ports:
1025, 135, 2745, 80 and 139 have been scanned from 82.48.216.137.
...ed il back trace + whois mi dà:
inetnum:      82.48.210.0 - 82.48.219.255
netname:      TELECOM-ADSL-3
descr:        Telecom Italia S.p.A.
descr:        E...@sy.ip service
descr:        Wholesale service for ISP
country:      IT
admin-c:      BS104-RIPE
tech-c:       BS104-RIPE
status:       ASSIGNED PA
remarks:      Please send abuse notification to 
ab...@telecomitalia.it
notify:       
net...@telecomitalia.it
mnt-by:       TIWS-MNT
changed:      
net...@telecomitalia.it
 20040101
source:       RIPE
route:        
82.48.0.0/16
descr:        INTERBUSINESS
origin:       AS3269
notify:       
net...@cgi.interbusiness.it
mnt-by:       TIWS-MNT
mnt-routes:   INTERB-MNT
changed:      
net...@telecomitalia.it
 20031016
source:       RIPE
person:       BBBEASYIP STAFF
address:      Via Val Cannuta, 250
address:      I-00100 Roma
address:      Italy
phone:        
+39 06 36881
e-mail:       
ripe-...@telecomitalia.it
nic-hdl:      BS104-RIPE
notify:       
ripe-...@telecomitalia.it
changed:      
net...@telecomitalia.it
 20001019
source:       RIPE
---
"Crusader" <nospam.a...@inwind.it.invalid> ha scritto nel messaggio
news:h9d9e0thonrmaa90j...@4ax.com...


...sto continuando a ricevere scansioni di porte dai medesimi indirizzi
telecom: credo che sarebbe giusto "farsi sentire"...

salutoni!
E fai benissimo, ca**o! Bisogna farsi sentire, eccome. Dove è scritto
che dobbiamo beccarci robaccia non da esterni, ma proprio da chi ci
fornisce il servizio?
Non bastano gli exploit di Windows, ora abbiamo anche chi gli regge il
sacco! Sono d'accordo con te che le patch non bastano: non so quali
problemi ti abbia creato Outpost, ma a me ha sempre funzionato
ottimamente (carino, però il whois di Sygate...)

 raggiungano i propri utenti.
Il provider NON puo' sapere a priori che quelli sono attacchi.
Se a me impedisse di ricevere da quelle porte, peraltro lecite, io mi
inca%%erei come una biscia.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

giusto, il punto è che quelle scansioni partono proprio da server 
telecom! mi spiego? è telecom che le genera! sono le mie porte che 
vengono scansionate!
perchè? vediamo un po'... se io scansiono le porte del tuo pc e trovo 
aperte quelle giuste, magari non voglio farti del male... magari mi 
basta fare qualche statistica:
1) che abbonamento hai? adsl? analogico? isdn?
2) sei un abbonato ma di quale provider?
3) ...
magari non sono virus ma informazioni commercialmente utili che sto 
ottenendo a tua insaputa e senza il tuo consenso, alla faccia della privacy!
in ogni caso, apro un altro thread in questo ng perchè voglio andare a 
fondo della cosa, se c'è qualcunaltro che ha verificato la presenza di 
queste scansioni lo faccia sapere, farò una statistica delle porte 
coinvolte e cercherò di capire quale può essere il motivo o lo scopo, 
poi mi relazionerò con il servizio di assistenza tecnica e legale telecom...


 telecom! mi spiego? è telecom che le genera! sono le mie porte che 
Dimmi che cosa ti fa pensare che arrivi da un *SERVER* telecom.
82.48.216.137
e' uno degli oltre 4000 IP che stanno in questa sottorete assegnata ai
*CLIENTI* delle ADSL di Telecom.
inetnum:      82.48.210.0 - 82.48.219.255
E questa e' UNA delle sottoreti assegnate ai clienti telecom.
E' come se ti lamentassi che il comune di Modena ti sta rispondendo al
post, visto che io abito a Modena.
Del resto, tu posti da 82.50.174.108
che se chiedi al RIPE, risponde:
inetnum:      82.48.0.0 - 82.63.255.255
org:          ORG-TIN1-RIPE
netname:      IT-TIN-20030807
descr:        Telecom Italia Net
descr:        Provider Local Registry
Tu allora, sei un SERVER di TIN?


vero, forse mi sbaglio ed esagero, se è così sono pronto ad ammetterlo, 
figurati...
spiegami però perchè ricevo queste scansioni solo da quelle sottoreti e 
non da altre. con tutti i provider che ci sono...


 non da altre. con tutti i provider che ci sono...
Perche' siete vicini di casa, perche' statisticamente le adsl di telecom
sono abitate da imbranati piu' di altre, perche' quella specifica
sottorete e' impestata da macchine con worm a raffica, perche' tu sei 
sfigato, perche' il provider da cui ti servivi prima si era arrogato
il diritto di tagliare le connessioni in ingresso, perche' ...
Non lo so di preciso il perche', ma so che quello NON e' un *server* di
telecom.
Pertanto, se proprio vuoi, puoi avvisare l'abuse di telecom che un suo
utente ha qualche problema di virus, e se possono avvisarlo di fare
una passata di antivirus, ma non andare a dirgli che un loro server ti
bersaglia, perche' rischi una di queste due risposte:
Una grassa risata.
Una denuncia per diffamazione.


Internet.
Come hai ragione...:((
Ma forse si potrebbe pretendere che almeno il provider sia un po' meno
gruviera.
Sconforto...

E cosa vuoi che facciano? Ma riesci ad immaginare quante risorse ci
Infatti hai perfettamente ragione: però devi ammettere che con altri
provider (Libero per esempio) non si riscontrano affatto questi
problemi.
Avevo anzi già fatto notare che con Libero tutto si riduce all'invio
di protocolli PIM e IGMP, mentre con Virgilio gli attacchi sono
molteplici, tutti su porte 'sensibili' e tutti potenzialmente
pericolosi, come chiamate Netbios e Rpc, parecchi provenienti dai
medesimi indirizzi (ad es 
host7-141.pool21345.interbusiness.it
. fino a
qualche tempo fa, con molteplici varianti).
Non che mi preoccupi tantissimo, dal momento che ho fw, antivirus,
file hosts per reindirizzare indirizzi seccanti a localhost, oltre
alle patches più recenti in tema di sicurezza.
Ripeto che la sola cosa che mi da' fastidio è questo rischio
accresciuto...
Va be'...

reti.
Verissimo, anche se devo ammettere che la situazione resta
sconfortante. Giusto l'altro ieri il rivenditore vicino casa mia stava
catechizzando un cliente circa la scarsa utilitŕ, anzi la potenziale
instabilita' causata al sistema dall'uso dei firewall...
E qui č meglio tacere...
Ciao.
[cut]

conducono alla perdizione eterna !!"?
Siiiiě, giuro! Sosteneva che (parole quasi testuali) "devi essere
davvero bravo per beccarti un virus", e che "se non hai niente di
segreto sul tuo comp che ti frega del fw, che ti puň anche incriccare
il sistema?".
Non farmi dire altro.
Ciao.