Newsgroup: it.comp.sicurezza.windows
Titolo: Nuovi trojan?

Ieri sera problemi con il msblast.exe che ho risolto con successo
installando la patch e attivando il firewall.
Oggi pomeriggio mi son ritrovato all'avvio i programmi iedll.exe e
loader.exe.
Ma che stà succedendo??

 Ma che stà succedendo??
In tanti ancora non lo hanno capito, Blaster è un esercitazione.
Il buco c'è e Blaster lo ha dimostrato, aspetta che esce fuori il worm 
che fa danni veramente e vedrai quanta gente piangerà...
Intanto Trend Micro stamattina già aveva scovato una variante di Blaster 
e un nuovo giocattolino di nome WORM_RPCSDBOT.A
Ora hanno deciso di tirare fuori un altro pattern ufficiale solo per lui 
(il nome già dice molto e infatti sfrutta sempre quel baco)
Pattern: 606
Version: 00
Release: New Malware Threat
Notes:   WORM_RPCSDBOT.A
http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=WORM_RPCSDBOT.A&VSect=T
Anche questo *ancora* non è distruttivo

 Anche questo *ancora* non è distruttivo
Una mia cliente ha beccato qualcosa di simile, ma non è lo stesso (non ci
sono i file winlogin.exe ecc., nè sono invocati in HKLM/.../Run o RunOnce).
Il caso sembra identico a quello di Marino ("Nagir Ekalli", vedi thread
"svchodt.exe si impianta"), che non ha (o non aveva) exe in attività (vedi
il suo log di Hijack).
Anche la mia cliente non ha exe strani in giro. Pensa che è una che usa
internet con un 56k, si collega una volta ogni morte di papa, ed il worm
l'ho beccato io proprio sotto i suoi occhi mentre le cercavo dei driver. Ero
collegato da si e no 5 minuti ed è uscito il classico messaggio relativo
all'impiantamento di svchost.exe. Poi tutto ha cominciato a dare i numeri
(impossibilità di scaricare il driver suddetto, impossibilità di stampare
(!), niente drag'n'drop, niente copia/incolla, ecc.).
Ho risolto installando la ormai famosa quanto indispensabile patch
http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/
bulletin/MS03-026.asp
Marco.

 dei driver. 
Guarda, questa mattina mi sono collegato in via del tutto eccezionale con 
una connessione analogica dal portatile (da una settimana la adsl di 
tin.it
 
non funziona, bontà loro). Cinque minuti di distrazione, la connessione 
senza il fw attivato e sia il portatile che l'altro pc (ovviamente in rete 
locale) si sono riavviati. Erano infetti del w32.blaster.worm.
E' una fortuna che questi worm siano tanto evidenti negli effetti quanto 
poco dannosi. Potrebbero essere più subdoli e assai più catastrofici. 
Tuttavia mi sento di dire che la rapidità con cui si diffondono, l'evidenza 
con cui si manifestano con un DoS, siano un modo abbastanza convincente di 
far installare la patch a un buon numero di persone (compreso il 
sottoscritto, ovvio).

 sottoscritto, ovvio).
Sulla newsletter di Paolo Attivissimo c'è scritto che è una coordinazione
per attaccare il sito degli update della microsoft..
I pc infetti cercano in rete a casaccio altre vittime e il 16 Agosto è
programamto che tutti i pc infetti si colleghino al sito per intasarlo..
Boh

 intasarlo.. Boh
Questo non lo so. Se Attivissimo dice questo avrà disassemblato 
l'eseguibile.
Stando così le cose il sintomo dell'attacco è che il pc non sta su manco 
mezzo minuto, non so quanti riescono a resistere fino al 16 in queste 
condizioni. Comunque staremo a vedere.

 condizioni. Comunque staremo a vedere.
Beh, una possibilità è che il worm _smetta_ di agire il 16/8, lasciando così
che tutti si colleghino alla Microsoft per scaricare patch, updates, e
service pacchi vari, mandando il server in crisi.
Marco.

 locale) si sono riavviati. Erano infetti del w32.blaster.worm.
ma come lo si becca? hai aperto posta?
---
Non prendete la vita troppo sul serio comunque vada non ne uscirete vivi
(J.R. Hoppenheimer)
Checked by AVG anti-virus system (
http://www.grisoft.com
).
Version: 6.0.509 / Virus Database: 306 - Release Date: 12/08/2003

> ma come lo si becca? hai aperto posta?
No, entra da solo!
Leggi la risposta di "Nicolas" nel thread "msblast.exe" di
it.comp.sicurezza.virus
Marco



c'e' una vulnerabilita' grave in un sistema operativo di massa come
windows e ci sono tanti utenti che non prendono le minime misure di
sicurezza. basterebbe il piu' idiota dei firewall per impedire a worm e
fessi di sfruttare questa e tante altre falle presenti passate e future
senza patch, service pack, cazzi e mazzi vari tanto astrusi per l'utente
medio e salottiero.
-- 
a torino siamo piu' fighi: i nostri cantieri sono eventi culturali, mica
dei semplici buchi polverosi da cui esce un rumore assordante!
http://www.comune.torino.it/cantieri/manuale/index.htm

Forse è fallato anche il firewall integrato in windows Xp attivo sia sulla
rete ethernet che sulla connessione a internet?


 sulla rete ethernet che sulla connessione a internet?
non ne ho idea ma non vedo perche' usarlo quando ci sono alternative
migliori e piu' collaudate.
intanto leggi qua:
=> 
http://www.freewebs.com/iosononiubbo/iosononiubbo.htm#quotare


 ma come lo si becca? hai aperto posta?
No. E' un worm che sfrutta un "baco" del RPC di Windows. E' sufficiente 
avere esposto il servizio su internet, in altre parole avere una 
connessione senza un firewall. E naturalmente il servizio non patchato.

 sulla rete ethernet che sulla connessione a internet?
Il firewall "attivo sulla rete ethernet" me lo dovresti spiegare. Comunque 
per la cronaca il firewall integrato *SE* é attivo sulla connessione 
internet non hai problemi di infezione. Quindi il problema non è se è 
fallato, ma se è disattivato... <grin>