Newsgroup: it.comp.sicurezza.windows
Titolo: backdoor-g-1

tra un portscan e un altro(a distanza di pochi secondi) c'e' stata una
connessione da me non richiesta attraverso la porta backdoor-g-1 al sito
206.253.217.8 cosa significa?
inoltre il mio ip e' dinamico quindi non
capisco come possa 'trovarmi' a meno che faccia portscan su oltre un
milione di indirizzi
ringrazio chiunque mi possa aiutare
PS questo
computer e' dotato di norton antivirus e firewall dalla prima connessione
alla rete
--------------------------------
Inviato via 
http://usenet.iol.it

 206.253.217.8 cosa significa?
spiegati meglio, era il tuo sistema che tentava di collegarsi a quell'IP
oppure il contrario? Nel primo caso probabilmente a bordo hai un bel
trojano, nel secondo nessun problema. (magari riposta il messaggio in
questione del tuo firewall)
canonical name 
v8.go2net.com
.
aliases addresses 206.253.217.8
Domain Name: 
GO2NET.COM
Registrar: NETWORK SOLUTIONS, INC.
Go2net Inc. (NETBLK-PNAP-SEA-GO2NET-DC-8) PNAP-SEA-GO2NET-DC-8
      206.253.217.0 - 206.253.217.31

 ha
scritto: 

innanzitutto
grazie per la risposta
il norton mi segna tutte le connessioni effettuate
e le comunicazioni alle porte non utilizzate; comparando temporalmente le
due tabelle ho trovato contemporaneamente a 2 portscan (con netbus se non
sbaglio)un accesso al sito che mi ha insospettito perche' dopo ':' non
indica il numero di una porta ma c'e' scritto backdoor-g-1, ho notato altri
accessi allo stesso ip ma con porte non sospette tutti molto brevi mentre
quello ha ricevuto 15k e spedito 5k;
inoltre mi segna anche i siti
visitati e tra quelli non c'e' quello 'incriminato'.
riepilogando il
computer si e' collegato ad un sito che non rientra nella lista di quelli
visitati attraverso una porta un po' sospetta mentre subiva un portscan, si
e' collegato altre volte allo stesso sito ma non lo avevo notato perche
utilizzava porte segante con numeri in momenti non particolari con volumi
di traffico inveriori ai 600 byte.
Ma il troiano non dovrebbe essere
individuato dall'antivirus?????


 individuato dall'antivirus?????
se davvero hai questo trojan e l'AV (tieni aggiornato le firme?) non lo
vede (non mi hai convinto sul fatto che è il tuo pc che tentava di
collegarsi a quell'IP e non viceversa visto che non hai postato l'avviso
in questione del tuo firewall, scusa ma sono in molti che interpretano
male quanto riportato da questi software) prova una di queste utility
shareware per trovarlo e rimuoverlo.
http://www.moosoft.com/download.php
 (The Cleaner)
http://www.agnitum.com/download/tauscan.exe
http://tds.diamondcs.com.au/html/frameset_download.htm
 (TDS-3 v3.2.0)
oppure cerca qualche info su
http://www.symantec.com/avcenter/vinfodb.html
http://www.avp.ch/avpve/

 206.253.217.8 cosa significa?
Significa che stai navigando da parecchio.
La porta di g-1 e'. se non sbaglio, la 1243.
Le connessioni uscenti per la navigazione sul web usano, a salire, porte 
dalla 1024 in su.
e' facile che dopo un apio di centinaia di accessi a siti diversi (tutti i 
banner vengono normalmente aperti su connessioni concorrenti, pertanto si
contano nel mucchio) arrivi ad usare la porta in oggetto.
L'indirizzo destinatario era seguito da :80, per caso?