Newsgroup: it.comp.sicurezza.windows
Titolo: Reinstallare tutto (IP 212.52.82.27)?

Il problema del "virus" non si risolve anzi peggiora, il computer non riesce a
mandare email perchè questa infezione ridirige tutte le connessioni 995 verso
l'IP 212.52.82.27, come da immagine allegata.
Ho provato vari antivirus che non rilevano alcunché...
Cosa fare, desistere e reinstallare tutto il S.O.?
Davvero non so cosa fare. A presto!
http://img839.imageshack.us/img839/5577/immaginevirus995.jpg
-- 

 Cosa fare, desistere e reinstallare tutto il S.O.?
che sistema operativo usi?

Cane Rabbioso ha scritto:

Quale virus non lo so. Fino ad ora nessun antivirus lo rileva. Uso xp pro.
Suggerimenti?
-- 

> connessioni 995 verso l'IP 212.52.82.27
Toh, che coincidenza
;; QUESTION SECTION:
;27.82.52.212.in-addr.arpa.     IN      PTR
;; ANSWER SECTION:
27.82.52.212.in-addr.arpa. 86400 IN     PTR     
ar.libero.it
.
:-P

ObiWan ha scritto:

Scusa ma che significa? Puoi essere più esplicito?
Poi il primo numero dell'indirizzo è diverso anche se il dominio è lo stesso.
Ciao!
-- 

"Glauco2008" <12...@lim.iy> ha scritto nel messaggio 
news:i45ete$l6g$1...@news.nonsolonews.it...

ma spiegami una cosa
se io nel browser digito quel numero IP mi ritrovo a questo sito
http://ar.libero.it/de1.htm
che riguarda Libero.it
cosa c'entrano i virus, che non hai neppure trovato ?

 Scusa ma che significa ? 
Che l'indirizzo IP in questione (212.52.82.27) ha una risoluzione
inversa (basta rovesciare l'IP) che punta ad un host di nome
"
ar.libero.it
" che sospetto abbia poco a che fare con questo
eventuale e *fantomatico* malware

eventuale e *fantomatico* malware
Purtroppo richiede anche connessioni su porte 137, 445 etc che poco hanno che
fare con la navigazione... :(
Altri suggerimenti? Non so come gestire la situazione.
Ciao!
-- 

 l'IP 212.52.82.27, come da immagine allegata.
L'impressione e' che - nonostante la linea sia su rete Telecom - tu stia
comunque usando server DNS di Libero/Wind per la risoluzione dei nomi
host, e che intervenga tale redirezione in seguito alla mancata
risoluzione host/IP per alcune risorse (e.g. per errata immissione del
nome-host).
Sarebbe quindi utile che da prompt di comandi digitassi ipconfig /all e
riportassi l'output completo = in questo modo potremmo capire se le
errate impostazioni DNS fossero a livello del client XP oppure nelle 
impostazioni DNS server del tuo Smoothwall (qualora usassi quest'ultimo
come DNS proxy per le risoluzioni dei tuoi client).
-- 
|Ż \/Ż | /Ż\ /Ż__/Ż__|<|> *FAX/Mail Server  : 
+39 - 02700426582
 <|
|Ż|\/|Ż|/Ż_Ż\|(__\__ \<|> *Casella Vocale   : 
+39 - 0230312251
  <|
|_|  |_/_/ \_\___|___/<|> *FAQ ITGF 
http://plany.fasthosting.it
 <|
|>- RST - Plany/MACS -<|> *FAQ GCN  
http://faq.news.nic.it/
 ____<|


Appena sottomano ho il pc in questione lo faccio. Mi spieghi cosa c'entrano
allore le chiamate verso l'indirizzo famelico di porte come la 445, 137, 138
etc che propriamente di navigazione non sono?
Ciao!
-- 

 navigazione non sono?
Sono relative alle comunicazioni Netbios - SMB/CiFS & a come e'
(mal)configurato il client XP per gestire le relative risoluzioni, per
cui il client effettua i lookup anche sui DNS usati dalla connessione
sia per le comunicazioni dirette che per quelle in broadcast (ved. auto
browsing per esempio).
Quando a livello DNS vi e' la redirezione per i KO di lookup, questa
si riscontra anche in questo caso.
Ergo, se nella tua rete locale sono presenti solo sistemi Windows 2000 e
versioni successive + Linux/*nix-like con versione SAMBA 3.x, allora
puoi mantenere la condivisione delle risorse in rete solo su SMB/CiFS
(TCP/UDP 445), disabilitando Netbios su TCP/IP dalle opzioni WINS della
scheda di rete :
==
- 
http://www.petri.co.il/whats_port_445_in_w2k_xp_2003.htm
In secondo luogo puoi disabilitare l'auto-browsing delle risorse di rete
del client XP : 
==
- Apri una finestra di Risorse del computer
- Menu Strumenti \ Opzioni Cartella \ Visualizzazione
- Togli lo spunto da Cerca automaticamente cartelle e stampanti di rete 



Domani provo e ci aggiorniamo. Ciao!
-- 


Provato ma continua a chiedere di connettersi. Ora al secondo riavvio, fino a
questo momento, pare non chieda connessioni "esterne" verso questo IP.
Vediamo come va. Ciao!
P.S.:ma 
ar.libero.it
 cosa č? E perchč proprio verso questo indirizzo?
-- 

- Togli lo spunto da Cerca automaticamente cartelle e stampanti di rete 
Illusione... ha cominciato di nuovo... uffa...
http://yfrog.com/jbimmagine2vuj
Boh... non saprei.. 
ipconfig /all
Microsoft Windows XP [Versione 5.1.2600]
(C) Copyright 1985-2001 Microsoft Corp.
C:Documents and Settingsmiacartella>ipconfig /all
Configurazione IP di Windows
        Nome host . . . . . . . . . . . . . . : MioPC
        Suffisso DNS primario  . . . . . . .  :
        Tipo nodo . . . . . . . . .  : Sconosciuto
        Routing IP abilitato. . . . . . . . . : No
        Proxy WINS abilitato . . . . . . . .  : No
        Elenco di ricerca suffissi DNS. . . . : NETCD
Scheda Ethernet VMware Network Adapter VMnet8:
        Suffisso DNS specifico per connessione:
        Descrizione . . . . . . . . . . . . . : VMware Virtual Ethernet
Adapter
for VMnet8
        Indirizzo fisico. . . . . . . . . . . : xx-xx-xx-xx-xx-xx
        DHCP abilitato. . . . . . . . . . . . : No
        Indirizzo IP. . . . . . . . . . . . . : 192.168.80.1
        Subnet mask . . . . . . . . . . . . . : 255.255.255.0
        Gateway predefinito . . . . . . . . . :
Scheda Ethernet VMware Network Adapter VMnet1:
        Suffisso DNS specifico per connessione:
        Descrizione . . . . . . . . . . . . . : VMware Virtual Ethernet
Adapter
for VMnet1
        Indirizzo fisico. . . . . . . . . . . : xx-xx-xx-xx-xx-xx
        DHCP abilitato. . . . . . . . . . . . : No
        Indirizzo IP. . . . . . . . . . . . . : 192.168.190.1
        Subnet mask . . . . . . . . . . . . . : 255.255.255.0
        Gateway predefinito . . . . . . . . . :
Scheda Ethernet Connessione alla rete locale (LAN):
        Suffisso DNS specifico per connessione: NETCD
        Descrizione . . . . . . . . . . . . . : Atheros L1 Gigabit Ethernet
10/1
00/1000Base-T Controller
        Indirizzo fisico. . . . . . . . . . . : xx-xx-xx-xx-xx-xx
        DHCP abilitato. . . . . . . . . . . . : Sě
        Configurazione automatica abilitata   : Sě
        Indirizzo IP. . . . . . . . . . . . . : 192.168.0.200
        Subnet mask . . . . . . . . . . . . . : 255.255.255.0
        Gateway predefinito . . . . . . . . . : 192.168.0.1
        Server DHCP . . . . . . . . . . . . . : 192.168.0.1
        Server DNS . . . . . . . . . . . . .  : 192.168.0.1
        Lease ottenuto. . . . . . . . . . . . : martedě 17 agosto 2010
12.19.15
        Scadenza lease . . . . . . . . . . .  : martedě 17 agosto 2010
13.19.15
Scheda Ethernet VirtualBox Host-Only Network #2:
        Suffisso DNS specifico per connessione:
        Descrizione . . . . . . . . . . . . . : VirtualBox Host-Only Ethernet
Ad
apter #2
        Indirizzo fisico. . . . . . . . . . . : xx-xx-xx-xx-xx-xx
        DHCP abilitato. . . . . . . . . . . . : No
        Indirizzo IP. . . . . . . . . . . . . : 192.168.56.1
        Subnet mask . . . . . . . . . . . . . : 255.255.255.0
        Gateway predefinito . . . . . . . . . :
Scheda Ethernet Connessione alla rete locale (LAN) 3:
        Stato supporto . . . . . . . . . . . : Supporto disconnesso
        Descrizione . . . . . . . . . . . . . : Bluetooth PAN Network Adapter
        Indirizzo fisico. . . . . . . . . . . : xx-xx-xx-xx-xx-xx
Scheda PPP {11D87B01-0B5B-4C7F-A18F-E44FB913450A}:
        Suffisso DNS specifico per connessione:
        Descrizione . . . . . . . . . . . . . : WAN (PPP/SLIP) Interface
        Indirizzo fisico. . . . . . . . . . . : xx-xx-xx-xx-xx-xx
        DHCP abilitato. . . . . . . . . . . . : No
        Indirizzo IP. . . . . . . . . . . . . : 192.168.167.228
        Subnet mask . . . . . . . . . . . . . : 255.255.255.255
        Gateway predefinito . . . . . . . . . : 192.168.167.228
        Server DNS . . . . . . . . . . . . .  : 168.143.113.201
                                            168.143.113.202
-- 

 ma 
ar.libero.it
 cosa č?
L'IP 212.52.82.27 a cui corrisponde tale nome-host e' l'indirizzo a cui
i server DNS Libero/Wind effettuano ora il redirect (indipendentemente
dal protocollo e dalla porta remota TCP/UDP di destinazione) in caso di
KO lookup (NXDOMAIN) -> in precedenza si incontrava 
p.es
. 195.210.87.131
come IP di redirect per tutte le richieste di risoluzione DNS su server
DNS Libero/Wind, che comportavano NXDOMAIN :
==
- 
http://www.fedoraonline.it/modules/newbb/viewtopic.php?topic_id=7831
==
dovute ad errata digitazione o mancata risoluzione nome/IP di url/host
per risorse Internet e/o a lookup non dovuti sui server DNS Libero/Wind
per i nomi host/Netbios di risorse locali/LAN.
Se infatti da browser vai su 
http://212.52.82.27
 ti compare la pagina
http://ar.libero.it/nxd2_1.htm
 , che corrisponde appunto alla pagina di
avviso Libero/Wind per siti non trovati.


riporti gli IP dei server DNS indicati nella configurazione Smoothwall.
Adesso sembra tutto a posto!!!! Grazie 1000!
-- 

 che poco hanno che fare con la navigazione... :(
Disabilita NetBios su TCP/IP e togli la spunta sulla registrazione
automatica del nome host in DNS, quindi riavvia a controlla; tieni
presente che il traffico netbios (ed il traffico broad/multi cast)
dovrebbe essere bloccato anche in USCITA sul tuo router

 P.S.:ma 
ar.libero.it
 cosa è? E perchè proprio verso questo indirizzo?
Se hai una connessione Libero o usi i DNS di Libero apri un browser e 
digita un indirizzo inesistenze tipo 
http://non.valido
 e osserva cosa 
succede.
Invece di rispondere che non ha trovato l'host, il dns di libero 
restituisce l'indirizzo 212.52.82.27 dove c'è un server web che 
reindirizza al motore di ricerca Arianna.
Prova da prompt dei comandi a fare ping fsgsrgrsgrsg.gsgrgrsgrsgrsg. e 
guarda che indirizzo pinga. Ergo, è probabile che ci sia qualche host 
nella tua rete che tenta di connettersi a un servizio locale, però non 
riesce a risolvere il nome dell'host e finisce per chiederlo al server 
DNS di libero, che prontamente gli risponde con quell'indirizzo IP.

Fossile Animato ha scritto:


Si confermo. Quindi lo posso bloccare senza problemi!? Ma per evitare proprio
che non ci vada esiste un metodo? Ogni tanto continua ad apparire lo stesso
messaggio indice del fatto che c'è qualche processo che continua a tentare di
andare su un indirizzo non valido. Sostituirlo con un messaggio di errore non
è possibile? Ciao!
-- 

 che non ci vada esiste un metodo?
Non saprei. Io verificherei che non ci siano errori di configurazione 
software.
Dopo ogni tanto capita che il dns non riesca a risolvere correttamente 
un nome legittimo, purtroppo i server di Libero hanno questa 
simpatica(?) caratteristica del reindirizzamento automatico su Arianna.