Newsgroup: it.comp.sicurezza.windows
Titolo: Qualcuno ha preso controllo del ns server?

Ragazzi, aiutatemi. Ho ragione di pensare che qualcuno
abbia preso controllo remoto del ns. server web.
La società che lo tiene in housing, ci ha comunicato che
da più o meno 3 gg la nostra macchina satura la banda
disponibile e l'utilizzo della rete è costantemente al massimo...
cosa che tra l'altro non è mai accaduta.
Premettendo la conf. del server:
W2000 standard server Service Pack 2
IIS 5
SQL Server 2000 Service Pack 2
e che non abbiamo nessun tipo di firewall...come posso
fare, con gli strumenti che ho(il sistema operativo in
Terminal Service e basta visto che non ho nemmeno
l'accesso fisico data la distanza di 150 km che ci separa
dalll'housing), a diagnosticare qualcosa???
netstat -a mi restutuisce alcuni IP connessi(established) al Mioserver\http
e penso sia normale in quanto è un server web, ma loro stanno ascoltando su
svariate porte.
Ho IP connessi established a 232 - 233 - 1544
Ho fatto delle ricerche e 232-233 dovrebbero essere porte riservate (ma x
chi?)
E la 1544 "aspeclmd"...che vuol dire?
Grazie in anticipo
fabriZio
--------------------------------
Inviato via 
http://usenet.libero.it

guarda che sono quelli dell'housing che devono fornirti questo tipo di
supporto... cioè, loro hanno accesso fisico alla macchina, loro pijano i
soldi, loro lo fanno di lavoro, sono li appositamente..
digli di muovere il ciapet
cmq quell'uso spropositato di banda, mi fa pensare che ti hanno fatto
zombie

 digli di muovere il ciapet
Assolutamente d'accordo. Poi quando hai risolto cambia sistema operativo :-)

 chi?)
per qualche trojan :-) (forse)
Bisognerebbe installare *subito* Zone Alarm, che perlomeno iniziera' a
visualizzarti messaggi
di tentativi in uscita.
Poi scaricar la Service Pack 3 ed installarla.
Poi... poi se lo fa ancora mi sa tanto che la formattata sara' d'obbligo,
anche
perche' non si sa esattamente se gli worm aprano delle backdoor.
Danny

 Danny
Non posso/voglio/ ASSOLUTAMENTE FORMATTARE
e se metto Zone Alarm non posso stare li tutto il giorno a vedere che
richieste vengono fatte non credi?
grazie anche alle atre 2 risposte.
fabriZio

 zombie
Cosa č zombie?
Come lo verifico?
Ciao

 richieste vengono fatte non credi?
Se satura la banda, la vedi subito, non c'e' bisogno di aspettare.
Ragazzi, non c'e' dubbio: un server compromesso, lo si stacca dalla
rete, e lo si reinstalla DA ZERO.
Se e' a 150 KM, si prende la macchinina, il trenino, o la bicicletta, e
si va in loco a vedere cosa sta succedendo, chiedendo prima a chi ti
fornisce l'housing di staccare il cavo di rete.
Poi, eventualmente, se ne analizza una copia per capire che cosa hanno
fatto. (in alcuni casi, PRIMA di rimetterlo in rete, per capire se la
vulnerabilita' c'e' ancora, e se rischi che, mentre stai tornando a
casa, il tuo server e' di nuovo li', a fornire spazzatura al resto del
mondo)
Contemporaneamente, si apre una bella denuncia contro ignoti per
violazione di sistema informatico, cosi' da pararsi le chiappe, ed
evitare accuse di connivenza, complicita', o semplicemente di
inattivita' dolosa, visto che ti hanno avvisato, e tu non hai preso
tutte le misure necessarie per evitare il perdurare della situazione di
pericolo per il resto della rete connessa.
Scusa se sono stato un po' duro, ma con i server esposti NON si puo'
scherzare.
-- 
          |Save our planet!
   Ciao   |Save wildlife!
  roberto |For your E-MAIL use ONLY recycled Bytes  !!
          |roberto poggi   
rpo...@softhome.net

 digli di muovere il ciapet
Mica vero dipende dal contratto........ molte delle aziende che offrono
housing ti danno solo la connettività..... il resto... problemi tuoi.
Se non espressamente specificato, tu devi aggiornare il web server, i
database, patchare tutto quello che c'è da patchare.... e correre quando
succedono casini.
Loro ti danno gli strumenti, ma sei tu che devi farli funzionare.....
Bat


Zone Alarm in questo caso serve *solo* per vedere se dal tuo
server ci sono tentativi di uscita, poi lo disinstalli pure, se pensi
che non serva.
Io mi sono accorto l'anno scorso di Nimda il giorno prima che
si venisse a sapere su tutti i siti che esisteva proprio grazie
al fatto che, avendo notato una fortissima attivita' sul router,
ho installato zone alarm e in 2 minuti mi ha bloccato *cinquecento*
tentativi di uscita verso altrettanti IP pubblici.
Danny

 ha scritto nel
messaggio news:aoel21$kho$1...@fe1.cs.interbusiness.it...


 Cmq io sono daccordo con la formattazione di "default" !
Grazie, io sarei ancora piu' d'accordo per il quoting di default.



Il Service pack 3 comprende tutte le patches precedenti,
quindi non serve installar patches & Security Package, e' solo una perdita
di tempo.

 ha scritto nel
messaggio news:aohmda$duk$1...@fe2.cs.interbusiness.it...


 secure_iis_5_2.ppt che ti dice come fare)
Mi puoi dare il link esatto di questo ppt, per cortesia... ?
Danny