Newsgroup: it.comp.sicurezza.windows
Titolo: Strano comportamento di IE5

Salve,
da un po' di tempo mi sono accorto di una cosa strana:
ho settato come pagina iniziale del mio Explorer la pagina about:blank, cosě
poi scelgo io da dove partire.
Orbene, quando vado a cliccare sul menu dropdown per vedere gli ultimi siti
a cui mi sono collegato, l'explorer si blocca, e le lucine del modem
lampeggiano, come se andassero a prendere/inviare dati.
Dopo 5/10 secondi, mi compare finalmente la lista.
Perchč dovrebbe accadere questo? A chi si collega il mio IE, e che dati
scambia?
Non č che sto spedendo da qualche parte, che so, i miei link preferiti, le
ultime pagine visitate?
Sono preoccupato. Comincero' a cercare in giro quei programmini che mi
aiutano a capire cosa succede.

 aiutano a capire cosa succede.
AAAARGHHH! Mi auto-rispondo, ma ci capisco ancora meno....
Mi è venuta una intuizione:
clicco sulla lista degli ultimi link, ed IE5 si ferma per i famosi 5
secondi, con le spie del modem che lampeggiano...
Rapido come un fulmine, faccio netstat -n e cosa vedo?
  TCP    
151.25.1.173:1365
 
146.186.130.4:21
       ESTABLISHED
Cioè praticamente io che faccio FTP all'indirizzo 146.186.130.4.
Allora, incuriosito, faccio a manina ftp 146.186.130.4 e dove vado a finire?
Nel Penn State Math Department, come si puo' notare!!!!
C:\users\default>ftp 146.186.130.4
Connected to 146.186.130.4.
220 
descartes.math.psu.edu
 FTP server (Version wu-2.5.0(1) Mon Jun 21
10:03:21 E
DT 1999) ready.
User (146.186.130.4:(none)): anonymous
331 Guest login ok, send your complete e-mail address as password.
Password:
230-Hello 
ppp-173-1.25-151.libero.it
, you are number 3 out of 25 maximum
number
230-of users in your class allowed on simultaneously.
230-
230-This is the anonymous FTP area for the Penn State Math Department.
230-Be sure to visit our WWW site, at 
http://www.math.psu.edu
SONO SEMPRE PIU' PREOCCUPATO!!!!

Cioè praticamente io che faccio FTP all'indirizzo 146.186.130.4.
Aspetta ancora un po' a bloccare quella porta e vedrai che finiranno
di scaricare tutto il tuo hd.
Auburn

 Nel Penn State Math Department, come si puo' notare!!!!
tu hai mai avuto contatti con il sito loro?
se la risposta è si potrebbe e dico POTREBBE essere che si scarica
l'iconcina del file .url... possibboli?
free

 l'iconcina del file .url... possibboli?
Non mi pare di avere mai avuto il piacere (?) di visitare il loro sito.
Eh, ca**o, adesso voglio andare a fondo a 'sta storia, se mi date una mano.
Ovviamente prima vorrei arrivarci da solo, se poi non riesco ad uscirne
vorrei proprio contattare quei signori a Penn...
Dunque, le lucine lampeggiano per poco, quindi non penso che mi scarichino
una gran roba. Forse hai ragione tu e manda solo pochi dati. Infatti,
rispondendo anche ad Auburn, non noto attività sospetta in seguito.
E poi, perchè mai dall'Internet Explorer? Forse ho installato qualche
plug-in infetto?
A questo punto, è possibile in qualche modo auto-sniffarmi i pacchetti
(bleah!) e vedere COSA diavolo sto spedendo? C'e' un SW apposta?
In tal modo riuscirei a vedere con che login e password entra, se fa cd in
qualche directory e se fa il put di qualche file.
UN MOMENTO!!! E se invece di mandare files me li mette sul mio PC? Orrore!
adesso controllo le date dei files...
... eccomi di ritorno.
Dall'istante in cui mi sono connesso ad internet ed ho scatenato il
collegamento al sito sospetto, mi sono cambiati i seguenti files:
(Io uso Windows NT)
software, software.log, ntuser.dat, ntuser.dat.log, system.alt, system,
security, security.log, rasphone.pbk,
La cosa sospetta ai miei occhi da semi-profano è che sia cambiato anche il
rasphone.pbk. Il resto mi sembra normale.
Vabbè... attendo nuove. La cosa mi acchiappa, mi sembra anche un bel mistero
da risolvere. Sembra anche innocuo, però...
Un preoccupatissimo Enrico.

adesso controllo le date dei files...
Ho i miei dubbi, LORO hanno un server ftp, non tu.
E se visiti il server FTP ovviamente netstat lo segnala.
Ecco il mio:
tcp  
151.33.123.76:1095
 
146.186.130.4:21
        ESTABLISHED
ed ecco anche due belle richieste di autenticazione 
Dec  3 18:23:10 - 
146.186.130.4:44640
 - 
151.33.123.76:113
Dec  3 18:23:10 - 
146.186.130.4:44641
 - 
151.33.123.76:113
 
direi assolutamente normali, molti siti ftp consultano la porta 113,
e forse sono queste "richieste" che ti fanno "lampeggiare" il modem.
anche 
http://146.186.130.4
 mi sembra a posto.
-- 
Ciao, Mario.
http://members.xoom.it/mccmario/

 Ho i miei dubbi, LORO hanno un server ftp, non tu.
...mmmh... ma essendo io collegato a LORO, se eseguono una GET dal mio PC,
riescono a farmi ciucciare un file....
Comunque è successa un'altra cosa strana:
Ho downloadato ed installato ZoneAlarms per vedere se vedeva qualcosa, ma...
LO STRANO COMPORTAMENTO E' FINITO!!!
Allorchè, stupito, ho disinstallato il software, ma niente da fare, il
comportamento era definitivamente sparito!
Eppure non sono un mitomane, ho visto tutto con i miei occhi (e con il
netstat). E' come se si fosse accorto che mi ero accorto... ei era vivo!
Tornerò a farmi vivo sull'argomento se mi ricapita, terrò gli occhi aperti e
non toccherò le prove.
Nel frattempo reinstallo ZoneAlarms...
P.S.
a cosa servono le porte 1025, 1029, 1047, 1050 ?

> a cosa servono le porte 1025, 1029, 1047, 1050 ?
cerca SuperScan 2.06 su 
www.astalavista.com
\en, è utile per scannare
tutte le porte tue e di altri ;)

 a cosa servono le porte 1025, 1029, 1047, 1050 ?
Sono porte temporanee, se le ha aperte il tuo computer verso qualche
macchina remota e' tutto normale. Ah, ovviamente la relativa riga che
netstat ti manda sulla console deve terminare in ESTABLISHED e non in
LISTENING!
-- 
Attenzione: questo messaggio ti e' arrivato dalla rete e
in qualche modo si e' insinuato nel tuo hard disk...
SecurFaq             : 
http://members.nbci.com/gouldukat/
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

 LISTENING!
err... io temo di avere la 1030, 1025 e 1045 in listening.
giusto or ora me lo ha detto.
ho aperto nappesterre, ma non credo c'entri... o si?
free

 free
ma perche' m'č venuto in mente questo?
hanno ragione tutti: mi faccio troppi problemi.
infatti ora una delle tre elencate č in established... ha iniziato un
download nuovo da nap. :)
devo farlo quando tutto č disattivo, sto belin di netstat! :)
scusate il masturbo.

 devo farlo quando tutto è disattivo, sto belin di netstat! :)
e-satto! 8-)