Newsgroup: it.comp.sicurezza.windows
Titolo: soulseek troppo attivo (lunghino, scusate)

Ciao a tutti,
uso da un bel po' di tempo il programma in oggetto (per messaggistica,
scambio documenti - ehm, coff coff - etcetera) versione 156c, senza
problemi.
Da oggi - mai avvertito prima una cosa del genere - il suo
funzionamento non quadrava: ram in collasso, finestre di explorer che
impallavano... vado a vedere i processi: ebbene, dai soliti 20, 25 mb,
l'eseguibile slsk.exe occupava 180 mb in crescendo, i trasferimenti
diventavano lentissimi. Spegnendo, si ripartiva occupando una quantità
di memoria accettabile, ma dopo un po' andava come prima.
Ho chiuso adesso il programma perche' la cosa e' molto sospetta, quel
programmino lavorava un po' troppo... inoltre, tenevo configurato il
firewall (sygate) in modo da consentire a slsk esclusivamente la
solita porta di comunicazione.
Neanche a farlo apposta, sempre oggi, ho raccolto un avviso da sygate
che segnalava uno dei soliti "tentativi" di port scanning e roba del
genere, cose cui per abitudine non presto piu' attenzione (spesso
trattasi di scanning automatico, telecom, libero, iana etc. etc.) ma
stavolta non era una delle solite "pingate": ... chi bussava?
Era il DoD!!
Le due cose sarebbero apparentemente indipendenti, ma se consideriamo
che spesso "chatto" di controguerra, cuba, venezuela etc. etc. proprio
su slsk (e questo proprio negli ultimi giorni) cominciano adesso a
ronzarmi le orecchie... Che ho detto, per interessare il Dept. of
Defense??:-| Inoltre, vorrei continuare ad usare slsk spensieratamente
come prima...
La mia config:
PC Athlon 2400+
1 Gb RAM
XP SP2
ADSL 5 Mb no proxy
Antivir aggiornato
Sygate con impostazioni strette per ogni applicazione (slsk.exe con
icmp consentito, altrimenti non lavora)
Grazie per l'attenzione e per ogni parere, allego qui l'estratto di
sygate di oggi con una semplice ricerca "whois":
##################################################################
393	03/23/2006 17:59:08	Port Scan	Minor	Incoming
UDP	7.12.12.16	02-00-20-00-02-00	151.XXX.XXX.XXX
00-00-02-00-00-00		Administrator	X	Normal	2
03/23/2006 17:59:03	03/23/2006 17:59:03	
394	03/23/2006 18:00:14	Active Response	Major	Incoming
None	7.12.12.16	02-00-20-00-02-00	151.XXX.XXX.XXX
00-00-02-00-00-00		Administrator	X	Normal	1
03/23/2006 17:59:09	03/23/2006 17:59:09	
OrgName:    DoD Network Information Center 
OrgID:      DNIC
Address:    3990 E. Broad Street
City:       Columbus
StateProv:  OH
PostalCode: 43218
Country:    US
NetRange:   7.0.0.0 - 7.255.255.255 
CIDR:       
7.0.0.0/8
 
NetName:    DISANET7
NetHandle:  NET-7-0-0-0-1
Parent:     
NetType:    Direct Allocation
Comment:    Defense Information Systems Agency
Comment:    DISA /D3
Comment:    11440 Isaac Newton Square
Comment:    Reston, VA 22090-5087 US
RegDate:    1997-11-24
Updated:    1998-09-26
RTechHandle: MIL-HSTMST-ARIN
RTechName:   Network DoD 
RTechPhone:  
+1-800-365-3642
RTechEmail:  
HOSTM...@nic.mil
 
OrgTechHandle: MIL-HSTMST-ARIN
OrgTechName:   Network DoD 
OrgTechPhone:  
+1-800-365-3642
OrgTechEmail:  
HOSTM...@nic.mil
# ARIN WHOIS database, last updated 2006-03-22 19:10
# Enter ? for additional hints on searching ARIN's WHOIS database

di memoria accettabile, ma dopo un po' andava come prima.
[cut]
A mio avviso il problema sta nel fatto che i programmi di p2p sono dei
mezzi per mettere in contatto più computer. Spesso capita che diversi
server cerchino di spiare quello che fai o di occuparti la banda per
impedire le tue attività. Probabilmente il tuo Soulseek è stato
oberato di traffico da qualcuno di questi server, come ti ha segnalato
il firewall.
Come strategia di difesa ti consiglio di installare PeerGuardian2,
Protowall e Blocklist Manager. I primi 2 sono programmi che filtrano
gli IP nocivi, il terzo è un programma che aggiorna le liste di IP da
bloccare, le ottimizza e le esporta ai filtri. Ti consiglio anche di
monitorare il traffico, individuare i range più ossessivi, e creare un
apposito filtro nel tuo firewall.
Potresti partire da: 202.98.116.0-202.98.117.255 e
222.32.0.0-222.63.255.255.
 
--
Gabriele Orlando ---> 
pierro...@people.it
<<Homo sum humani nihil a me alieno puto>>
(Publio Terenzio Afro, Heautontimoroumenos)