Newsgroup: it.comp.sicurezza.windows
Titolo: TRAFFICO SOSPETTO!

Aiuto, aiutooo!
Ho scoperto che il mio PC da alcuni mesi si connette a mia insaputa ad
alcuni IP a me sconosciuti anche per diverse ore al giorno generando un
sacco di traffico nella rete aziendale, mentre io lavoro tranquillamente! I
tecnici hanno minacciato di formattarmi l'HD entro 2 gg se non risolvo la
cosa, aiutooooooooooooooooooooo!
Ecco alcuni IP contattati:
- 
www.hinet.net
- 60.248.211.166 (porta 21)
- 82.171.55.131 (porta 443)
- 80.195.140.77 (porta 443)
- 82.3.197.242 (porta 443)
e ce ne sono molti altri!
Qualcuno può gentilmente suggerirmi cosa fare? Ho sempre avuto Symantec
antivirus (non rileva alcun virus, tranne una volta forse LinkOptimizer già
rimosso) e un firewall a livello di rete aziendale.
Vi prego, aiutatemi.. non voglio morire!! :-(
Mhaxx

 antivirus (non rileva alcun virus
Togli Norton e usa un antivirus decente; controlla la macchina con 
Ad-Aware, SpyBot S&D e Hijackthis.
Ciao
Luca

 Ad-Aware, SpyBot S&D e Hijackthis.
Ad-Aware: sto facendo
SpyBot: aggiornato e fatto => trovato nulla di rilevante
Hijackthis: riporto sotto, ma non mi sembra di trovare nulla di
particolarmente pericoloso
E' per questo che sono preoccupato, sembra esserci qualcosa che "non trovo":
č possibile? Cosa si fa in questi casi, davvero di formatta tutto? :-(((((
Mhaxx
Logfile of HijackThis v1.99.1
Scan saved at 13.09.28, on 10/01/2007
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\Ati2evxx.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\Programmi\WIDCOMM\Software Bluetooth\bin\btwdins.exe
C:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
C:\Programmi\Symantec AntiVirus\DefWatch.exe
C:\WINNT\SYSTEM32\DWRCS.EXE
C:\WINNT\system32\svchost.exe
C:\Programmi\File comuni\Microsoft Shared\VS7Debug\mdm.exe
C:\WINNT\system32\regsvc.exe
C:\Programmi\Symantec AntiVirus\SavRoam.exe
C:\Programmi\Analog Devices\SoundMAX\SMAgent.exe
c:\winnt\system32\winlogon.exe
C:\Programmi\Symantec AntiVirus\Rtvscan.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\svchost.exe
C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\system32\Ati2evxx.exe
C:\WINNT\Explorer.EXE
C:\WINNT\SYSTEM32\DWRCST.exe
C:\Programmi\Analog Devices\SoundMAX\SMax4PNP.exe
C:\Programmi\Analog Devices\SoundMAX\Smax4.exe
C:\Programmi\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programmi\Java\jre1.5.0_10\bin\jusched.exe
C:\Programmi\iTunes\iTunesHelper.exe
C:\Programmi\File comuni\Symantec Shared\ccApp.exe
C:\PROGRA~1\SYMANT~1\VPTray.exe
C:\Programmi\iPod\bin\iPodService.exe
C:\Programmi\ICQLite\ICQLite.exe
C:\WINNT\system32\ctfmon.exe
C:\Programmi\Skype\Phone\Skype.exe
C:\Programmi\Spybot - Search & Destroy\TeaTimer.exe
D:\Programmi\Microsoft ActiveSync\wcescomm.exe
C:\Programmi\WIDCOMM\Software Bluetooth\BTTray.exe
C:\Programmi\Microsoft Office\Office10\OUTLOOK.EXE
C:\Programmi\AnalogX\NetStat Live\nsl.exe
D:\PROGRA~1\MICROS~1\rapimgr.exe
C:\Programmi\Outlook Express\msimn.exe
C:\Programmi\SkypeMate\SkypeMate.exe
C:\PROGRA~1\WIDCOMM\SOFTWA~1\BTSTAC~1.EXE
C:\Programmi\Symantec AntiVirus\VPC32.EXE
D:\Programmi\Microsoft ActiveSync\WCESMgr.exe
C:\Programmi\Internet Explorer\IEXPLORE.EXE
C:\WINNT\system32\wuauclt.exe
C:\Programmi\HijackThis\HijackThis.exe
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet
Settings,ProxyServer = 
192.168.4.101:8080
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
Collegamenti
O2 - BHO: Adobe PDF Reader Link Helper -
{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat
7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Skype add-on (mastermind) -
{22BF413B-C6D2-4d91-82A9-A0F997BA588C} -
C:\PROGRA~1\Skype\Phone\IEPlugin\SKYPEI~1.DLL
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} -
C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} -
C:\Programmi\Java\jre1.5.0_10\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} -
c:\programmi\google\googletoolbar2.dll
O3 - Toolbar: @msdxmLC.dll,-1@1033,&Radio -
{8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} -
c:\programmi\google\googletoolbar2.dll
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Programmi\Analog
Devices\SoundMAX\SMax4PNP.exe
O4 - HKLM\..\Run: [SoundMAX] "C:\Programmi\Analog
Devices\SoundMAX\Smax4.exe" /tray
O4 - HKLM\..\Run: [ATIPTA] "C:\Programmi\ATI Technologies\ATI Control
Panel\atiptaxx.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched]
"C:\Programmi\Java\jre1.5.0_10\bin\jusched.exe"
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programmi\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [QuickTime Task]
"C:\Programmi\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [ccApp] "C:\Programmi\File comuni\Symantec
Shared\ccApp.exe"
O4 - HKLM\..\Run: [vptray] C:\PROGRA~1\SYMANT~1\VPTray.exe
O4 - HKLM\..\Run: [Windows Defender] "C:\Programmi\Windows
Defender\MSASCui.exe" -hide
O4 - HKLM\..\Run: [ICQ Lite] "C:\Programmi\ICQLite\ICQLite.exe" -minimize
O4 - HKCU\..\Run: [ctfmon.exe] ctfmon.exe
O4 - HKCU\..\Run: [Skype] "C:\Programmi\Skype\Phone\Skype.exe" /nosplash
/minimized
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programmi\Spybot - Search &
Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [H/PC Connection Agent] "D:\Programmi\Microsoft
ActiveSync\wcescomm.exe"
O4 - Startup: Microsoft Outlook.lnk = C:\Programmi\Microsoft
Office\Office10\OUTLOOK.EXE
O4 - Startup: NetStat Live.lnk = C:\Programmi\AnalogX\NetStat Live\nsl.exe
O4 - Startup: Outlook Express.lnk = C:\Programmi\Outlook Express\MSIMN.EXE
O4 - Startup: SkypeMate.lnk = C:\Programmi\SkypeMate\SkypeMate.exe
O4 - Global Startup: Avvio veloce di Adobe Reader.lnk =
C:\Programmi\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: BTTray.lnk = C:\Programmi\WIDCOMM\Software
Bluetooth\BTTray.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft
Office\Office10\OSA.EXE
O8 - Extra context menu item: Download all with Free Download Manager -
file://C:\Programmi\Free Download Manager\dlall.htm
O8 - Extra context menu item: Download selected with Free Download Manager -
file://C:\Programmi\Free Download Manager\dlselected.htm
O8 - Extra context menu item: Download web site with Free Download Manager -
file://C:\Programmi\Free Download Manager\dlpage.htm
O8 - Extra context menu item: Download with Free Download Manager -
file://C:\Programmi\Free Download Manager\dllink.htm
O8 - Extra context menu item: E&sporta in Microsoft Excel -
res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Invia a &Bluetooth -
C:\Programmi\WIDCOMM\Software Bluetooth\btsendto_ie_ctx.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} -
C:\Programmi\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console -
{08B0E5C0-4FCB-11CF-AAA5-00401C608501} -
C:\Programmi\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra button: Create Mobile Favorite -
{2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - D:\PROGRA~1\MICROS~1\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} -
D:\PROGRA~1\MICROS~1\INetRepl.dll
O9 - Extra 'Tools' menuitem: Create Mobile Favorite... -
{2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - D:\PROGRA~1\MICROS~1\INetRepl.dll
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} -
C:\PROGRA~1\Skype\Phone\IEPlugin\SKYPEI~1.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} -
C:\Programmi\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite -
{B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programmi\ICQLite\ICQLite.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} -
C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links -
{c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra button: @btrez.dll,-4015 -
{CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programmi\WIDCOMM\Software
Bluetooth\btsendto_ie.htm
O9 - Extra 'Tools' menuitem: @btrez.dll,-4017 -
{CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programmi\WIDCOMM\Software
Bluetooth\btsendto_ie.htm
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage
Validation Tool) - 
http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan
Control) - 
http://download.ewido.net/ewidoOnlineScan.cab
O16 - DPF: {1F2F4C9E-6F09-47BC-970D-3C54734667FE} (LSSupCtl Class) -
https://www-secure.symantec.com/techsupp/asa/LSSupCtl.cab
O16 - DPF: {31150A86-0BBA-409F-BEB4-F3922D10BF34} (Gif89 Class) -
http://www.natatorium.it/xplug.ocx
O16 - DPF: {3451DEDE-631F-421C-8127-FD793AFC6CC8} (ActiveDataInfo Class) -
https://www-secure.symantec.com/techsupp/asa/ctrl/SymAData.cab
O16 - DPF: {44990200-3C9D-426D-81DF-AAB636FA4345} (Symantec SmartIssue) -
http://www.symantec.com/techsupp/asa/ctrl/tgctlsi.cab
O16 - DPF: {44990301-3C9D-426D-81DF-AAB636FA4345} (Symantec Script Runner
Class) - 
http://www.symantec.com/techsupp/asa/ctrl/tgctlsr.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) -
http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1149520084234
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) -
http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1150109783726
O16 - DPF: {8EC18CE2-D7B4-11D2-88C8-006008A717FD} (NCSView Class) -
http://ww3.pcn.minambiente.it/ecwplugins/ncs.cab
O16 - DPF: {EAE11EB6-E1C6-43B7-AF23-1DBC52C80FD6} -
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = giovelan.local
O17 -
HKLM\System\CCS\Services\Tcpip\..\{2D7736C7-54AD-42E1-99A4-2396D1BF8D61}:
NameServer = 192.168.4.111,192.168.4.112
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = giovelan.local
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = giovelan.local
O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} -
C:\Programmi\File comuni\Microsoft Shared\Help\hxds.dll
O18 - Protocol: widimg - {EE7C2AFF-5742-44FF-BD0E-E521B0D3C3BA} -
C:\WINNT\system32\btxppanel.dll
O20 - Winlogon Notify: ActiveSync - C:\WINNT\SYSTEM32\WcesWlgn.dll
O20 - Winlogon Notify: NavLogon - C:\WINNT\system32\NavLogon.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. -
C:\WINNT\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINNT\system32\ati2sgag.exe
O23 - Service: Bluetooth Service (btwdins) - Broadcom Corporation -
C:\Programmi\WIDCOMM\Software Bluetooth\bin\btwdins.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation -
C:\Programmi\File comuni\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec
Corporation - C:\Programmi\File comuni\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation -
C:\Programmi\File comuni\Symantec Shared\ccSetMgr.exe
O23 - Service: Symantec AntiVirus Definition Watcher (DefWatch) - Symantec
Corporation - C:\Programmi\Symantec AntiVirus\DefWatch.exe
O23 - Service: Servizio amministrativo di Gestione disco logico (dmadmin) -
VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: DameWare Mini Remote Control (DWMRCS) - DameWare Development
LLC - C:\WINNT\SYSTEM32\DWRCS.EXE
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision
Corporation - C:\Programmi\File comuni\InstallShield\Driver\11\Intel
32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. -
C:\Programmi\iPod\bin\iPodService.exe
O23 - Service: SQL Server FullText Search (MSSQLSERVER) (msftesql) - Unknown
owner - D:\Programmi\Microsoft SQL
Server\MSSQL.2\MSSQL\Binn\msftesql.exe" -s:MSSQL.2 -f:MSSQLSERVER (file
missing)
O23 - Service: SQL Server (SQLEXPRESS) (MSSQL$SQLEXPRESS) - Unknown owner -
C:\Programmi\Microsoft SQL
Server\MSSQL.1\MSSQL\Binn\sqlservr.exe" -sSQLEXPRESS (file missing)
O23 - Service: SQL Server (MSSQLSERVER) (MSSQLSERVER) - Unknown owner -
D:\Programmi\Microsoft SQL
Server\MSSQL.2\MSSQL\Binn\sqlservr.exe" -sMSSQLSERVER (file missing)
O23 - Service: SQL Server Analysis Services (MSSQLSERVER)
(MSSQLServerOLAPService) - Unknown owner - D:\Programmi\Microsoft SQL
Server\MSSQL.3\OLAP\bin\msmdsrv.exe" -s "D:\Programmi\Microsoft SQL
Server\MSSQL.3\OLAP\Config (file missing)
O23 - Service: SAVRoam (SavRoam) - symantec - C:\Programmi\Symantec
AntiVirus\SavRoam.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec
Corporation - C:\Programmi\File comuni\Symantec Shared\SNDSrvc.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) -
Analog Devices, Inc. - C:\Programmi\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: SQL Server Agent (MSSQLSERVER) (SQLSERVERAGENT) - Unknown
owner - D:\Programmi\Microsoft SQL
Server\MSSQL.2\MSSQL\Binn\SQLAGENT90.EXE" -i MSSQLSERVER (file missing)
O23 - Service: Symantec AntiVirus - Symantec Corporation -
C:\Programmi\Symantec AntiVirus\Rtvscan.exe

 wrote in message,
eo2lee$hof$
1...@tdi.cu.mi.it
tu sai che sul tuo pc
è installato questo
http://www.dameware.com/products/dmrc/
 ?
-- 
Edoardo Benussi - 
e...@mvps.org
Microsoft® MVP - Windows Server
http://mvp.support.microsoft.com
 

 
http://www.dameware.com/products/dmrc/
 ?
Sě, dev'essere il controllo remoto del CED: sono in Azienda e talvolta si
collegano a noi per sistemare alcune cose senza venire di persona.
Altri problemi?
Mhaxx

 Altri problemi?
dal log di hjt non sembra ci siano altri problemi.
hai qualche informazione aggiuntiva ?
quando ci sono queste connessioni
hai verificato quali processi hai in esecuzione
sulla tua macchina  ?


 sulla tua macchina  ?
Forse ho trovato!!! Mi sa che i tecnici hanno preso un bel grancio: io uso
Skype, ICQ e a volte anche Messenger, e tutti (soprattutto ICQ) si
collegando periodicamente per ricevere ads su piccole finestrelle.. quindi
gli IP sconosciuti potrebbero essere quelli, mentre il grosso traffico mi sa
che è normale, io ne faccio tanto via FTP per ragioni di lavoro. Ora
controllo, vediamo se ho ragione.. (come faccio a sapere se quel tale IP è
quello degli ads degli instant messengers? anzi, come faccio a rimuovere la
finestra di ads da ICQ?!)
Mhaxx

 C:\Programmi\SkypeMate\SkypeMate.exe
[...]
Intanto, per sapere a chi appartengono gli indirizzi IP (o almeno a 
quale compagnia sono registrati)
www.dnsstuff.com
poi, detto questo, tu hai ICQ e Skype attivi.
Le connessioni HTTPS (che non sono porte strane, ma porte che supportano 
il protocollo HTTP con crittografia) possono essere utilizzate da ICQ 
per passare attraverso il firewall aziendale. Probabilmente anche Skype 
fa così.
La porta 21 è invece un FTP (probabilmente hai scaricato qualcosa da un 
sito di FTP)
Per sapere quali connessioni sono aperte e da quali programmi, ti 
consiglio di guardare il programma TCPView (scaricabile gratuitamente da 
sysinternals, e che non necessita di installazione)
In ogni caso sia ICQ che Skype (come altri sw di chat) risultano essere 
compatibili con il profilo di "tanto traffico verso ip sconosciuti"
Luca

"buoni" o "cattivi"..
E' molto semplice: se te lo devi chiedere, vuol dire che sono cattivi.
Leonardo
-- 
Geordie - he's a man, there's little doot about't,
He's done all he can, wha' can do withoot't?
Doon there cam a blade, linkin' like me lordie,
He wad drive a trade, a' the loom of Geordie.

 ha scritto nel messaggio 
news:eo2igu$dqe$1...@tdi.cu.mi.it...

TOGLI SUBITO NORTON E METTI AVAST! 

 E' molto semplice: se te lo devi chiedere, vuol dire che sono cattivi.
questa č da SIGNATURE !

 finestra di ads da ICQ?!)
Dal momento in cui hai skype generi traffico verso porte strane, spesso
443 o 80 perchè i firewall di solito sono piu' permissivi per le
connessioni "web".
Contando inoltre che senza il tuo controllo il tuo skype potrebbe fare
relay di altre connessioni o trasferimenti file la soluzione sembra facile.
Per quanto riguarda la pubblicità di icq puoi usare uno tanti client
open source (gaim per esempio) che non hanno queste "features".
Gufo
-- 
  ,___,          Armageddon means never having to say you're sorry.
  (9v9)
  (_^((\                    .: May the owl be with you :.
-^-"-"-\\-^-                  
http://gufo.dontexist.org
 

 open source (gaim per esempio) che non hanno queste "features".
Grazie..
Mhaxx

 Detto in parole più semplici?
In parole semplici il tuo client non gestice solo il tuo traffico, ma
anche il traffico di altri client per cui fa relay di file transfert e
delle chiamate (in casi particolari).
Per ingannare i firewall inoltre le comunicazioni sono spesso instaurate
su porte normalmente aperte verso l'esterno (80, 443), e ne vengono
attivate contemporaneamente un buon numero. 
Se cercho un po' su google puoi trovare degli studi approfonditi sul
protocollo per capire meglio come funziona skype.
Ciao,
