Newsgroup: it.comp.sicurezza.windows
Titolo: Help sicurezza trojan firewall ....

Usando Norton Personal Firewall ho riscontrato che quasi tutte le volte che
mi connetto intercetta degli accessi al mio pc ... nelle statistiche
risultano Blocked:2 riferite al Backdoor/Subseven Trojan e Passed
Along:15-17-20 e via dicendo .... ma la cose che piů mi stupisce e che di
tutta un'altra lista di Trojan il valore Passed Along continua a crescere e
non risultano piů bloccati, cioč nella colonna Permitted: 0 perň nella
colonna Passed Along : valori che continuano a crescere per quasi tutti i
Trojan della lista di Personal Firewall nomi che non avevo neanche mai
sentito allego una parte del Log .... la priam
Default Block Back Orifice 2000 Trojan 0 0 21
  Default Block NetBus Trojan 0 0 21
  Default Block GirlFriend Trojan 0 0 21
  Default Block WinCrash Trojan 0 0 21
  Default Block DeepThroat Trojan 0 0 21
  Default Block Hack 'A' Tack Trojan 0 0 21
  Default Block Backdoor/SubSeven Trojan 0 2 19
  Default Block Master Paradise Trojan 0 0 19
  Default Block Bla Trojan 0 0 19
  Default Block Donald Dick Trojan 0 0 19
  Default Block Portal of Doom Trojan 0 0 19
  Default Block NetSphere Trojan 0 0 19
  Default Block NetMonitor Trojan 0 0 19
  Default Block TransScout 0 0 19
  Default Block Doly Trojan 0 0 19
  Default Block FC Infector Trojan 0 0 19
  Default Block Dmsetup Trojan 0 0 19
  Default Block FireHotcker Trojan 0 0 19
  Default Block RASmin Trojan 0 0 19
  Default Block Stealth Spy Trojan 0 0 19
  Default Block Attack FTP 0 0 19
  Default Block Dark Shadow Trojan 0 0 19
  Default Block Silencer Trojan 0 0 19
  Default Block Netspy Trojan 0 0 19
  Default Block Extreme Trojan 0 0 19
  Default Block Ultor's Trojan 0 0 19
  Default Block Whack-a-Mole Trojan 0 0 19
  Default Block WhackJob Trojan 0 0 19
  Default Block FTP99CMP Trojan 0 0 19
  Default Block Shiva Burka Trojan 0 0 19
  Default Block Spy Sender Trojan 0 0 19
  Default Block ShockRave Trojan 0 0 19
  Default Block Remote Explorer Trojan 0 0 19
  Default Block Trojan Cow Trojan 0 0 19
  Default Block Ripper Trojan 0 0 19
  Default Block Bugs Trojan 0 0 19
  Default Block Striker Trojan 0 0 19
  Default Block Phinneas Phucker Trojan 0 0 19
  Default Block Rat Trojan 0 0 19
  Default Block Filenail Trojan 0 0 19
  Default Block Sokets de Trois v1. Trojan 0 0 19
  Default Block Blade Runner Trojan 0 0 19
  Default Block SERV-Me Trojan 0 0 19
  Default Block BO-Facil Trojan 0 0 19
  Default Block Robo-Hack Trojan 0 0 19
  Default Block 'The Thing' Trojan 0 0 19
  Default Block Indoctrination Trojan 0 0 19
  Default Block GateCrasher Trojan 0 0 19
  Default Block Priority Trojan 0 0 19
  Default Block Remote Grab Trojan 0 0 19
  Default Block ICKiller Trojan 0 0 19
  Default Block iNi Killer Trojan 0 0 19
  Default Block Acid Shivers Trojan 0 0 19
  Default Block COMA Trojan 0 0 19
  Default Block Senna Spy Trojan 0 0 19
  Default Block Progenic Trojan 0 0 19
  Default Block GJammer Trojan 0 0 19
  Default Block Keylogger Trojan 0 0 19
  Default Block Proziack Trojan 0 0 19
  Default Block EvilFTP, UglyFTP Trojan 0 0 19
  Default Block Delta Source Trojan 0 0 19
  Default Block Trin00 DDoS Trojan 0 0 19
  Default Block SubSeven 2.1/2.2 Trojan 0 0 19
  Default Block QaZ Trojan 0 0 19
  Total 946 2 8547
 ... spulciando tra le statistiche della history di Personal Firewall penso
di aver capito quel č l'IP incriminato dal Blocked non ho ancora riscontrato
se č sempre lo stesso cmq .... cosa potrei fare ? Con tracert ho capito che
si tratta di un ip di 
flat.galactica.it
 ma ad esempio per tutti gli altri
Passed Along ???? Con netstat non mi č mai risultato niente adesso il
Personal Firewall giustamente mi fa sentire accerchiato e sotto attacco
continuo !!! Io lo uso da poco e forse non sono molto pratico potreste darmi
qualche delucidazione in merito ?
Grazie anticipatamente
Cordiali saluti
Marco

be se hai il firewall di che ti preoccupi ?
serve proprio a quello ! :-)
ciao
--
Saluti, Roby [
ro...@aruba.it
]
--------------------------------------------
Secondo alcuni autorevoli testi di tecnica
aeronautica; il calabrone non può volare,
a causa della forma e del peso del proprio
corpo in rapporto alla superficie alare. Ma
il calabrone non lo sa e perciò continua a volare.
-------------------------------------------------------

non risultano più bloccati, 
Mi sembra che non hai ben chiaro cosa significa Passed along.
Le rules sono in ordine, se il programma si accorge che si verifica la
condizione relativa a quella rule blocca o permette la ricezione/invio
di quel pacchetto. Se invece non si verifica la condizione relativa a
quella rule il pacchetto viene passed (passato) alla rule successiva,
che permettera'/blocchera' o se ne freghera' facednolo controllare
alla rule sucessiva. 
Cosi' vedrai che il numero di passed along diminuisce quando arrivano
alla rule a loro relativa (cioe' quando i pacchetti vengono bloccati o
permessi) 
Lapalissiano
Icq 57269703

 wrote in message
news:8ql0au$3gl$1...@fe2.cs.interbusiness.it...

No bhe io facevo per capire quanto in realtà rischio .... come posso fare a
capire qual è l'IP che sta tentando la connessione ?! E poi scusa ma è
possibile che io sia a rischio da parte di tutti quei Trojan se sono come il
Back Orifice o Netbus vuole dire che io ho installato nel mio sistema ( a
mia insaputa ) tutte le versioni server di quei Trojan ?! Oppure che stanno
solo facendo scansioni per cercare quei Trojan e solo del SubSeven hanno
trovato il server ( dato che solo di quello è stato bloccato l'accesso ) nel
mio sistema ma la connessione è stata bloccata dal Firewall ?! In ogni caso
come posso fare per capire chi è il simpaticone ?!
Ringrazio ancora per l'aiuto e le spiegazioni e mi scuso per la mia
ignoranza ...
Saluti

 wrote in message
news:gi4ssssm4q2bt9ra1...@4ax.com...

Ti ringrazio per la spiegazione ma, scusa la mia ignoranza ma non mi è
chiara una cosa ... ad esempio la voce relativa al Backdoor/SubSeven Trojan
ha avuto come risultati Permitted:0 ( quindi non è stato permesso l'accesso
giusto ? ) Blocked:2 ( ossia è stato bloccato 2 volte il tentativo di
accesso ? ) e Along:19 ( Ossia passato 19 votee a rules successive ?! ) ....
mentre per esempio prendiamo il BackOrifice2000 Trojan ha avuto Passed:0 (
stesso discorso di prima ) Bloacked:0 ( quindi non ci sono stati tentativi
di acesso da parte del BackOrifice sul mio sistema che sono stati
eventualmente bloccati ? ) però ci sono stati 21 passagi a rules successive
per mancato verifica della condizione .... cioè il Firewall controlla e
verifica che tutte le regole relative al Back Orifice non vengono chiamate
in causa e quindi incremente il contatore del regole che verifica ?! Ma
anche se il Back Orifice non viene mai usato contro di me ?! Passa in
rassegna tutte le regole tutte le volte ?!  Quindi in totale l'unica cosa di
cui mi dovrei preoccupare è il valore relativo al permitted ?! Ossia se
fosse stato permesso l'accesso al Backdoor/SubSeven Trojan .... ma significa
che io ho installato nel mio sistema la versione server di questo e tentano
di accederci dai rispettivi client ?! Oppure si tratta solo di una scansione
alla ricerca di un possibile versione server ?! E come potrei fare per
identificare meglio il tizio ?!
ti ringrazio ancora per le istruzioni e la pazienza e mi scuso per
l'ennesima volta della mia ignoranza.
Grazie
Cordiali saluti
Marco

identificare meglio il tizio ?!
Non identificherai mai il tizio come desideri. Puoi conoscere solo il
suo provider e con un po' di fortuna la localita' da cui chiama usando
questo il programma visualroute o questo servizio
http://visualroute1.datametrics.co.uk/
Lapalissiano
Icq 57269703

 wrote in message
news:nqpssscjia15u753n...@4ax.com...

Ti ringrazio ancora per le spiegazioni ... ho controllato nell'Event LOG di
Personal Firewall e risultano queste voci in merito ....
24/09/2000 21.41.11 Rule "Default Block Backdoor/SubSeven Trojan" blocked
(Arien-i1,27374).  Details:
Inbound TCP connection
Local address,service is (Arien-i1,27374)
Remote address,service is (151.26.250.68,2604)
Process name is "N/A"
24/09/2000 21.00.06 Rule "Default Block Backdoor/SubSeven Trojan" blocked
(Arien-i1,Backdoor-g-1).  Details:
Inbound TCP connection
Local address,service is (Arien-i1,Backdoor-g-1)
Remote address,service is (213.167.201.195,1995)
Process name is "N/A"
24/09/2000 21.00.03 Rule "Default Block Backdoor/SubSeven Trojan" blocked
(Arien-i1,Backdoor-g-1).  Details:
Inbound TCP connection
Local address,service is (Arien-i1,Backdoor-g-1)
Remote address,service is (213.167.201.195,1995)
Process name is "N/A"
I " Remote address, service " indicano l'ip di costui giusto ? E quelle dopo
le virgole nell'ip sono le porte ? Usando visualroute e whois mi risulta
Libero-Infostrada di Genova come provider del primo ip in alto e Galactica
per gli altri 2 di Milano, ma controllando anche qualche evento meno recente
mi figura anche Tiscalinet come provider sempre di Milano ( pensi che sia la
stessa persona che usa provider diversi e soltanto dell' evento in alto
visualroute ha indicato con più precisione Genova ? Oppure potrebbe
cammuffare il suo vero Ip anche al Firewall ?!?! ) ... cmq per quale motivo
nell' evento in alto vengo identificato come Arien-i1 e la porta 27374
mentre negli altri 2 Arien-i1 Backdoor-g-1 ??
Ho cercato un po' di informazioni riguardo al Sub7, i file che usa
normalmente per il suo server non sono presenti nel mio sistema, non capisco
allora perchè costui insiste, ma la porta su cui agisce Sub7 mi si apre
anche se non ho la versione server installata ?! Perchè da netstat non
risulta mai niente ..... cercavo qualche fake server casomai per
rispondergli a tono ma non ho trovato molto per questo Trojan.
Ti ringrazio, mi scuso per la  lunghezza e per i la moltitudine di domande
che ti porgo.
Grazie ancora
Saluti
Marco

 rispondergli a tono ma non ho trovato molto per questo Trojan.
Se vuoi essere sicuro che non hai dentro il server di Sub7 devi controllare
nel registro (menu avvio, esegui Regedit) sotto Local_Machine- Software-
Microsoft- Windows- Current Version- e controlli tutte le stringhe che
iniziano con Run.
Controlla se c'è qualche nome strano che non conosci e che non fa parte dei
files di sistema (tipo scheda video etc) e cerca in particolare Winloader.
Poi controlla il win.ini.
Se non trovi niente dovresti essere al sicuro (dovresti).
Ciao
Antares

 Poi controlla il win.ini.
Ti ringrazio per le indicazioni, ho controllato ed ho controllato anche di
non avere installati i file indicati come server del Sub7, inoltre con
netstat non mi risulta aperta nessuna delle porte usate dal server di Sub7 e
nessuna porta anomala aperta quindi non dovrei avere nessun server in
ascolto sul mio sistema giusto ?!

 ascolto sul mio sistema giusto ?!
Penso di sě: sai non si č mai sicuri al 100%.
Antares