Newsgroup: it.comp.sicurezza.windows
Titolo: Uhm

Secondo vari link trovati da Google, il servizio "BITSgroup" (Component
Service, svchost -k BITSgroup) fa parte di Windows.
E a me sta bene.
"Serve a Windows Update", dicono.
L'ho disattivato e Windows Update va lo stesso, ma a me sta bene.
Tale servizio sostiene di effettuare un "trasferimento intelligente dei
file usando la banda inutilizzata".
Ora, oggi su una macchina Windows 2000 fully patched codesto "servizio"
ha inviato approssimativamente 25 megabyte di dati a 195.141.86.84, che
risulta appartenere a Sunrise.ch. "INVIATO", non "RICEVUTO".
Su quella rete c'e' un load balancer della Sandpiper che ridirige tutto
il traffico sulla porta 8808, mentre Sunrise di suo usa un aggeggio che
non conosco (banner: "sunrise TDC Switzerland AG").
Purtroppo non posso mettere uno sniffer sulla rete, c'e' uno switch, e,
per buona misura, quel PC esce direttamente sullo switch/router.
Qualcun altro ha lo stesso problema:
http://groups.google.com/groups?selm=beb4fbc2.0301220637.373953b3%40posting.google.com&oe=UTF-8&output=gplain
Ho scoperto anch'io che QUALSIASI figghiebbottana di spyware (o peggio)
puo' graziosamente chiedere al servizio BITS di coprirgli il culo, e il
servizio BITS generosamente lo fara', limitando la banda in modo che l'
utente non si accorga del trasferimento di dati (salvo che quando vengo
io e, per curiosita', do un'occhiata ai data counter del router).
Capisco BENISSIMO che il "server" e' una grossa ditta, visto che usa la
rete di distributors, e quindi POTREBBE essere anche Windows Update.
Ma il punto e' che quel server si e' fatto _MANDARE_ 25 mega di dati, e
parecchio alla zitta. 25 mega di dati _variabili_ e _non personali_, su
quel PC, non ci sono. O il server e' _CRETINO_ e si fa mandare i dati a
ripetizione, oppure chiede di farsi inviare il kernel di Windows che e'
sempre lo stesso su tutte le macchine... o si fa inviare dati personali
di qualche tipo, e pure parecchi.
E questo non mi sta piu' tanto bene.
(Si', ho pensato a un AV in linea. Ma non ce ne sono che usino BITS, e,
del resto, funzionerebbero solo per Windows 2K. Magari sbaglio, eh. Ma,
piu' che altro, su quel PC ci sono sui 5-6 Gb di dati e programmi - non
mi torna che uno scanner riesca a cavarsela con 25 Mb. Oltretutto in un
caso del genere e' molto meglio downloadare un CAB ActiveX che esegua i
dovuti controlli, con enorme risparmio di banda per il provider).
Leonardo
-- 
In nessun caso Microsoft, o i suoi fornitori, saranno responsabili per
[...] omissione di rispetto di obblighi, incluso quello di comportarsi
in buona fede o ragionevole diligenza
                                     -- Contratto di Licenza Microsoft

 per buona misura, quel PC esce direttamente sullo switch/router.
Domanda idiota:
Non è possibile 'taroccare' momentaneamente il pc in questione e 
fargli credere che 195.141.86.84 sia in realtà un ipotetico 
192.168.0.100 (una macchina a disposizione in ascolto sulla LAN) e 
grabbare quel che invia?
-- 
No extensible language will be universal.  - T. Cheatham
News 2000 [v 2.06] - 
http://www.akapulce.net/socket2000

                                      -- Contratto di Licenza Microsoft
...hai provato a fare una ricerca su google con "evil empire"?
=;D
Grazie per l'eventuale risposta e per la pazienza
a presto
Momo

 =;D
Non la sapevo ma avevo sospetti sul risultato..

...hai provato a fare una ricerca su google con "evil empire"?
O', guarda che unn'ischerzo: quella E' DAVVERO la licenza MS, l'ho letta
giusto ieri tirando giu' il SP di IE.
Leonardo
-- 


grabbare quel che invia?
Teoricamente si'. In pratica, preferisco non toccare troppo la macchina
o avvelenargli la rete. Un rapido stacca-riattacca dei cavi servira' in
modo mirabile alla bisogna; devo solo configurare una linux box perche'
si spacci per il rùter.
Leonardo
[1] Come no. Su un W2K dietro a un NAT, sarebbe utilissssssimo.


 traffico _sbilanciato_, cioe' _upload_ puro).
[snip]
Scusa la banalità, se ho capito escludi di avere worms, spywares, trojans,
o altro malware sul PC in questione, ma come puoi esserne sicuro? 
Inoltre, non potrebbe esserci di mezzo un applicativo p2p o qualcosa di
simile?
Ciao
Marco
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 "ha inviato approssimativamente 25 megabyte di dati a 195.141.86.84"
inetnum:      195.141.86.80 - 195.141.86.111
netname:      DIGITAL-ISLAND
descr:        Digital Island
descr:        45 Fremont Street
descr:        San Francisco, CA 94105
country:      US
admin-c:      MM25760-RIPE
tech-c:       MM25760-RIPE
status:       ASSIGNED PA
notify:       
ip-...@sunrise.ch
mnt-by:       AS6730-MNT
changed:      
robert.gue...@sunrise.ch
 20001222
source:       RIPE
route:        
195.141.0.0/16
descr:        CH-SUNRISE-970513
descr:        sunrise / TDC Switzerland AG
origin:       AS6730
notify:       
b...@sunrise.net
mnt-by:       AS6730-MNT
changed:      
b...@sunrise.net
 20020523
source:       RIPE
-- 
Never underestimate the bandwidth of a station wagon full of tapes.  - Jackson
News 2000 [v 2.06] / StopDialer / PopDuster - 
http://www.socket2000.com


:Provate a guardare gli ingredienti del famoso Labello che si usa per
:le labbra screpolate: Butirrospermum Parkii (sperma di maiale).


Ma su che OS č?
Io su XP pro SP1 ce l'ho impostato manual di default, e non lo vedo attivo.
Da me viene lanciato cosě, perň:
svchost.exe -k netsvcs
"Uses idle network bandwidth to transfer data."
Duck

 wrote in
news:tbv3nv0p84ipoijb6...@L.Serni: 
[... non quoto perchè non ho il tempo di tagliare e non vorrei 
ripostare tutto il messaggio di Leonardo. Scusate per il disagio ...]
Da MSDN:
About BITS
Use Background Intelligent Transfer Service (BITS) to transfer files 
asynchronously between a client and an HTTP server. BITS continues job 
transfers after the application exits, as long as the user who 
initiated the transfer remains logged on, and a network connection is 
established—BITS will not force a connection.
BITS suspends the transfer if a connection is lost or if the user logs 
off. BITS persists transfer information while the user is logged off, 
across network disconnects, and during machine restarts. When the user 
logs on, BITS resumes the user's transfer job. For more information, 
see Users and Network Connections.
Quindi il transfer (qui non fa differenza tra download e upload) 
potrebbe anche essere stato avviato parecchio tempo addietro (se 
l'utente non si è riloggato per un po').
BITS mette a disposizione delle API che permettono di enumerare i job 
in coda.
La cosa che non mi quaglia (ma la documentazione in locale sul mio PC è 
stagionata) è che BITS dovrebbe prevedere solo download.
Forse il traffico in upload potrebbe essere generato da un servizio che 
prova a riconnettersi continuamente e senza successo da parecchio 
tempo... quanto saliva il totale dei byte in upload?
-- 
Valter Minute
vmi...@inwind.it
 (the reply address of this message is invalid)

 quel PC, non ci sono. 
Ma in quanto tempo sono passati questi 25 megabait? Non e' che il counter
non viene resettato da mesi o anni? Ok ok... hai gia guardato, sto zitto.
...e le notifiche dei crash delle applicazioni? Useranno BITS anche loro?
Se ce ne sono tante... (ma tante), magari anche non di microsoft.
Comunque, a parte le succitate banalita', proprio stamattina, come se non
avessi gia' abbastanza da fare di questi tempi, il firewall e' venuto nel
mio ufficio di persona, sulle sue rotelline pivottanti, pregandomi con le
lacrime agli occhi di andare da una deficente di utente per estirpare una
caccola nomata snnqab.exe (entrata via .hta e Scripting.FileSystemObject)
[1] perche' a questo punto gli stava parecchio facendo girare gli hardisk
con questi `grep SRC=192.168.1.20\ .*DPT=80\ |wc -l`[2] vani tentativi di 
connettersi a 207.44.244.61. Sara' mica qualcosa del genere?
Ah... la caccola non era presente nella lista dei processi, ovviamente, e
non viene riconosciuta da nessun antivirus noto nella galassia. Non posso
dire se usasse o meno BITS, visto che trattavasi di win98.
Fabio
[1] uno stupido amico della stupida gli ha fatto stupidamente modificare,
    per telefono, qualche stupida mattina fa, gli stupidi settaggi per la
    protezione degli script di IE per vedere uno stupido sito. Stamane e'
    finita chissa' come su 
www.artbookmark.com
, e... Stanotte pensero' ad
    una punizione adeguata (prevedo una lunga astinenza da internet o, se
    il suo capo intercede per lei, un filtraggio draconiano sul proxy).
[2] 1588 (in un paio d'ore: sarebbero diversi mega alla settimana solo di 
    SYN).
PS: sara' mica blaster, neh? Lui sputazza SYN a caccaiate verso vari host
    per la loro stessa natura, spesso, organizzati in load balancing... e
    quel provider mi sembra che faccia proprio di queste cosette.

 "Uses idle network bandwidth to transfer data."
Il problema e' quali sono questi dati ;)
Stef_Ozzy

 Ah... la caccola non era presente nella lista dei processi
cerca un certo programma chiamato ATM ("Another Task Manager"), fa pure 
il caffè (ma, soprattutto, visualizza tutti i processi). Altrimenti, ci 
sarebbe un programma chiamato wintop (ogni riferimento a ecc. ecc. ecc. 
è esplicitamente voluto) nel Resource Kit gratuito sul CD di Windows 98 
(se c'è ancora nelle ultime edizioni), di poche pretese ma utile (anche 
perchè può forzare un EndTask immediato, senza quel timeout imposto dal 
coso del CTRL-ALT-CANC)
-- 
  < 
http://www.reactos.com/
 >  Open source clone of Windows NT. Current
      Don't stand, REACT!      version 0.1.3. C, C++ and ASM developers
                               and beta testers are welcome!

 serie
sai cosa mi puzza? BITS fa gli upload solo dalla versione 1.5 in poi, e 
Windows 2000 monta la 1.0 (aggiornamento disponibile, comunque). Tu sei 
più che sicuro che sia stato BITS? se c'è un IIS, sei sicuro che non si 
tratti di un download nell'altro senso, complice un IIS compromesso sul 
vostro lato?


 coso del CTRL-ALT-CANC)
Grazie, sto cercando di estirpare gli ultimi residui dell'architettura
win9x, ma una decina di client resistono tenacemente. Questo aggeggino
potrebbe tornarmi utile. In questo caso specifico penso, pero', che si
sarebbe rivelato inutile: il processo non si vedeva perche' quell'exe,
il cane, caricava una dll all'interno del processo di explorer.
Comunque la caccola era un irc bot chiamato AFlooder ed e' entrato per
via d'un sito spamvertized. Se il nome e' un indice delle sue feature,
vista la provenienza, visto quel che accade oggi a vari host legati al
mondo dell'antispam...
Fabio

 il cane, caricava una dll all'interno del processo di explorer.
... e la dll era il vero trojano. L'exe defungeva e spariva dalla lista
dei processi.
F