Newsgroup: it.comp.sicurezza.windows
Titolo: Riconoscere un attacco

Salve, vorrei aprire una discussione su un tema che penso sia di 
interesse generale.
Se so che il mio pc con windows vista ï¿œ stato violato (ossia qualcuno ï¿œ 
riuscito ad entrare nel mio sistema e portare via dei dati, files; ad 
esempio puï¿œ essere un tipico scenario in ambito industriale) come posso 
fare per:
1) sapere a che ora ï¿œ stato perpetrato l'attacco
2) sapere in che modo l'intruso ï¿œ riuscito ad entrare nel mio sistema
3) che dati ha rubato
4) se ha installato una backdoor per successivi attacchi
5) conoscere l'IP dell'hacker
6) quant'altro vi venga in mente
Grazie a chiunque voglia partecipare con interesse

 6) quant'altro vi venga in mente
Per prevenire o per curare?
Enrico

 Enrico

 mio sistema e sta controllando quello che sto facendo ?
Dunque, che veda la tua stessa immagine ci sono pochi modi (VNC-related) 
e mi pare improbabile. Molto probabilmente invece possono 
scaricare/aprire i file che hai, e che facciano quello.
Per accorgerti, dipende molto da cosa usa. Tieni presente tipo che 
accedendo alle condivisioni di Windows l'unico modo che conosco (a parte 
il firewall) per sapere se c'ï¿œ qualcuno che le usa ï¿œ lo snap-in di MMC 
per le condivisioni. Per il telnet, c'ï¿œ un servizio sotto Windows (non 
so se su vista c'ï¿œ ancora), ma di solito ï¿œ disabilitato e ha bisogno di 
autenticazione.
Se usa una backdoor, c'ï¿œ un programma in ascolto su una porta "insolita" 
e mai usata, un firewall serio ti avrebbe chiesto conferma se quel 
programma lo stavi lanciando tu...
Prevenire ï¿œ meglio che curare. Sempre.
Enrico

 Quello ï¿œ quello che hai? No firewall "seri"?
Esatto, nessun firewall a parte quello di windows vista.
Comunque ho posto la domanda per meglio capire il problema.
Forse mi potresti dare delucidazioni in merito alla condivisione 
amministrativa C$ ?
Come si puï¿œ sfruttare ?
Ho provato ad accedervi da un computer della mia lan, anche conoscendo 
la password, ma niente! Come funziona ? come viene sfruttata ?

 la password, ma niente! Come funziona ? come viene sfruttata ?
In genere, si riesce a sfruttare su computer mal configurati dove uno ha 
smanettato troppo oppure dove uno non ha attuato le dovute precauzioni. 
Tuttavia piï¿œ che sfruttare c$ per accedere al sistema, molti sfruttano 
il fatto che il sistema "comunica" con il protocollo SMB: molti worm 
usano le falle nella decodifica di pacchetti SMB da parte del componente 
di windows preposto allo scopo.
Enrico

 Enrico
Parli di exploit al protocollo samba (netbios) ?

 Parli di exploit al protocollo samba (netbios) ?
Si, quel protocollo ha una "media di bug settimanali" alta, nel senso 
che spesso viene scoperto qualche bug pure abbastanza serio.
In realtï¿œ per proteggersi da questi attacchi "basterebbe" usare un 
firewall che blocca il servizio di condivisione (un qualsiasi firewall 
che sia ben configurato) e magari disattivare lo stesso nell'interfaccia 
di rete destinata alla rete pubblica.
Tuttavia spesso, nelle reti "affollate" (aka: azienda), basta che uno 
riesce a portarsi il worm dentro (basta un portatile aziendale usato in 
giro), che in parte vanifica un bel po' di protezioni, visto che di 
solito nelle aziende la rete interna ï¿œ configurata come "affidabile" in 
virtï¿œ del fatto anche alcune applicazioni funzionano solo cosï¿œ 
(esperienza recente: programma in dotnet eseguito da rete, necessaria la 
configurazione, mediante lo snap-in, di "full-trust" all'intera rete 
locale, altrimenti il programma non funziona - anzi, basterebbe solo al 
programma e tutti i suoi "tentacoli", il problema ï¿œ che spesso non si 
puï¿œ fare per mancanza di informazioni/tempo e soprattutto per 
incompetenza del sysadmin).
E non ï¿œ raro trovare server o workstation completamente aperte su 
internet... giusto qualche giorno fa ho scoperto due server (un Windows 
2003 e una macchina IBM usata come file-server) con il servizio di 
condivisione attivo anche sull'interfaccia pubblica (e non passo la vita 
a fare port scanning). Visto che effettivamente sono andato a caso, e 
stavo cercando altre cose, mi chiedo quanti server effettivamente sono 
in questo stato.
Tornando al discorso, SMB (o NetBios o Samba) ï¿œ uno dei protocolli piï¿œ 
usati perchï¿œ piï¿œ "buggati", ma non ï¿œ da escludere nient'altro: un 
webserver di sviluppo locale (molti installano cose come WAMP e non 
sapendolo configurare, lasciano a tutti la possibilitï¿œ di fare qualsiasi 
cosa, anche un "esterno" nella rete) oppure qualche programma che ha un 
servizio in ascolto.
Tuttavia, non ï¿œ da escludere che il virus/worm sia giï¿œ all'interno, 
magari arrivato da qualche software (spesso ad esempio nei keygen dei 
programmi "non esattamente legali" ci nascondono dei worm; oppure veri e 
propri "Cavalli di Troia" che si spacciano per "antitutto") o da qualche 
pennetta usb (Conficker mi pare che usi anche l'usb come mezzo per 
l'infezione).
Enrico

Enrico Bassetti ha scritto:

grazie per la completezza della risposta, hai confermato quello che 
immaginavo.

la password, ma niente! Come funziona ? come viene sfruttata ?
Hai sbagliato qualcosa.
Le condivisioni amministrative funzionano regolrmente, l'importante �
presentarsi con un account amministratore.
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.