Newsgroup: it.comp.sicurezza.windows
Titolo: Collegamenti sospetti

Alcuni giorni fa mentre ero collegato al mio provider (TIN) mi sono accorto
di una forte attività del modem che rallentava il funzionamento il normale
funzionamento del PC, malgrado stessi semplicemente consultando una pagina
gia' completamente scaricata. Insospettito dal fatto ho aperto la finestra
della connessione internet ed ho notato che il contatore dei byte inviati
aumentava in modo vertiginoso malgrado non stessi trasmettendo niente. Ho
provato a chiudere il browser (Microsoft Explorer) ma l'attività di
trasmissione non ha cessato fino a quando non ho deciso di chiudere il
collegamento. Cio' si e' ripetuto anche in data odierna.
Vorrei sapere se qualcuno dalla rete ha modo di collegarsi direttamente al
mio PC a mia insaputa oppure se cio' avviene solo collegandosi anche
brevemente ad alcuni siti oppure se ho scaricato inavvertitamente qualche
file che pur non creando problemi nel normale funzionamento del PC, invia a
mia insaputa dei file in rete.
E' possibile per me verificare a chi e' diretto questo flusso di dati? Ci
sono dei software per verificare l'eventuale destinatario e bloccare il
collegamento? Siete a conoscenza di altri episodi di questi tipo?
Grazie a tutti.


da come descrivi il problema parrebbe proprio che qualcuno ti stia "visitando"
Ciao

 wrote in message
9380976...@master.cdc.polimi.it...

Si prova con i vari Firewall ma prima controlla di non avere programmi tipo
ICQ , C6 ... etc ...
Ciao Ciao
PS: Non accettare mai files sospetti ..
.

 sono dei software per verificare l'eventuale destinatario ...
La versione dimostrativa di Jammer ti consente, con poco sforzo, di vedere quali sono le sessioni
aperte.
E' un buon punto di partenza.
Lo trovi all'indirizzo 
http://jammer.comset.net/
--
Beppe
Firenze
l.sa...@fi.flashnet.it

Caro Leo,
probabilmente sei stato e sei tuttora soggetto ad attacchi di tipo NetBus e
Back Orifice.
E' molto probabile che qualcuno ti abbia inserito nel tuo PC un programmino
che faccia da server per BackOrifice affinche', interrogandolo da rete,
possa disporre di tutti i dati contenuti nel tuo PC e scaricarsi cio' che
piu' gli aggrada.
Come ti abbia conosciuto puo' dipendere da diversi modi, i piu' probabili
sono:
 - tramite ICQ (programma di Chat);
 - tramite qualsiasi programma di chat;
 - provando un IP a caso;
 - interrogando gli IP presenti e attivi di una data network.
Una volta ottenuto il tuo IP, non e' stato difficile spedirti un server BO
che consenta di accedervi dall'esterno.
A questo punto, il tuo assalitore, con un client BO, sfruttando il server
passato in precedenza, riesce ad aprire una finestra dove compaiono tutti i
tuoi files e directory e volendo puo' impartire comandi come reboot e
format, che avrebbero complicazioni maggiori.
Ovviamente, nessun attaccante ha molte intenzioni disastrose nei tuoi
confronti, altrimenti le conseguenze penali e civili a cui andrebbe incontro
sono ben piu' gravi delle quali gia' e' responsabile: voglio dire che nel
momento in cui una persona "entra" nel nostro PC frugando fra i nostri dati
alla ricerca di qualcosa che lo possa interessare e' gia' condannabile ai
sensi della Legge 675/96 sulla "privacy", se poi dovesse commettere anche
danni di qualsiasi entita' allora la sua situazione si aggraverebbe
comportando una lievitazione della richiesta danni e della probabile
condanna a cui va incontro.
Come e' possibile riscontrare se si possiede un server BO gia' installato
sul proprio PC ?
Beh, di solito i server BO (della dimensione di circa 480Kb) vengono
inseriti nella directory di avvio di windows e cioe' sotto C:\WINDOWS o
sotto C:\WINDOWS\SYSTEM
I nomi che possono assumere sono fra i piu' disparati, dunque occorre
controllarli tutti affinche', se c'e' qualcosa che non ci convince, lo si
possa esaminare e nel caso rimuovere.
A volte, e' presente con il nome PATCH.EXE : nel qual caso, rimuovilo subito
!
Siccome il server BO deve startare all'inizio come un qualsiasi processo, e'
molto probabile che venga inserito nella lista dei programmi che debbano
partire automaticamente all'avvio, ma che non troverai nella lista AVVIO -->
PROGRAMMI --> ESECUZIONE AUTOMATICA, ma devi lanciare il regedit (da
AVVIO --> ESEGUI) e guardare la chiave di registro :  HKEY_LOCAL_MACHINE -->
Software --> Windows --> Current Version --> Run .  Li' compare la lista dei
programmi eseguibili all'avvio ma non visibili all'utente, dunque
controllala attentamente e cancella tutto cio' che con certezza sai che non
sia di sistema e di non aver installato.
Un'altra prova che puoi fare e':
tieni premuto lo Shift e col tasto destro del mouse clicka su un'icona
qualsiasi, scegli la voce "Apri con...." nel menu' a tendina che ti si apre,
e a questo punto ti apparira' la finestra delle associazioni possibili, vale
a dire una lista dei programmi eseguibili presenti e riconosciuti dal
sistema operativo.
Se il primo in testa e' un'icona di un programma eseguibile senza alcun
nome, sei infetto !!!!
In questo caso pero' il problema e' di difficile soluzione in quanto il
server e' stato rinominato col nome " .exe" (spazio punto exe). Ora un file
chiamato cosi' non e' rilevabile con una ricerca e nemmeno cancellabile.
Perlomeno non ho ancora trovato il modo.
Per concludere, altrimenti diventa un libro, fai i dovuti controlli e la
dovuta pulizia, poi e' necessario installare qualcosa che ti difenda da
cio'.
Ti consiglio qualche buon programma di monitoring delle socket, che possa
essere un elemento passivo (solo controllo + avviso) o attivo (controllo +
avviso + risposta all'attaccante).
Saro' ben lieto di segnalarti qualcosa.
Comunque, facilmente troverai molto con una semplice ricerca sui motori di
ricerca piu' famosi con chiave "Back Orifice" oppure "Netbus".
Per qualsiasi chiarimento, consiglio o altro, contattatemi pure a
enric...@yahoo.it
Saluti e auguri.
                                        Henry Net.

 nome, sei infetto !!!!
Solo una rettifica: questa "particolarita'" c'e' sempre, anche nel mio primo
Windows installato (parlo sempre del 95, eh ^__^). Non dipende da BO, anche se
non so di preciso perche' ci sia.
Ciao, Max.
-- 
01/01/2000 l'evento: inizia l'ultimo anno del II Millennio.
----------------------------------------ICQ: 14816698------
Home Pages: 
http://www.agora.stm.it/M.Baldinelli/home.htm
 
http://www.tifonet.it/free/ancona/index.html
 
M.Bald...@agora.stm.it

Cioe', per fare un comando netstat -a c'e' bisogno di "ciucciarsi" la demo di jammer? mamma mia come
siamo messi male!!!
ciaoo
Leonardo Sapuppo ha scritto:

--
Andrea
(a whole stack of memories cannot equal a little hope...)
Snoopy ThE GrEaT WrItEr

Infatti, l'affermazione del post precedente e' del tutto falsa....
Basta aver installato sul pc una qualsiasi applicazione non "nominata" nel
registry, ma comunque eseguibile e la situazione si propone proprio come e' stata
descritta da Enrico...
Ciaoo
"Firebeam (Massimiliano Baldinelli)" ha scritto:

--


 descritta da Enrico...
Bisogna che la metta nella FAQ, visto che recentemente ho letto diversi post
proprio su questo fatto. 'Azz, dannato tempo, mi ci vorrebbero 28 ore in un
giorno...
Ciao, Max.
-- 
01/01/2000 l'evento: inizia l'ultimo anno del II Millennio.
----------------------------------------ICQ: 14816698----------



Beh.. Alzati 4 ore prima... ;)
--
Quasar.
Togliere OKKIO per rispondere via Mail

 Beh.. Alzati 4 ore prima... ;)
 8-)