Newsgroup: it.comp.sicurezza.windows
Titolo: Dubbio: Backdoor-g-1

Stavo sfogliando i log di AtGuard per cercare info su alcune
connessioni quando ho notato:
Connection:  
151.4.171.142
: http  from  
195.191.9.26
: Backdoor-g-1,
623 bytes sent,  5865 bytes received,  4:12.107 elapsed time
Un attacco del genere a senso? Sto imparando dunque ho ancora dubbi,
ma questo ha usato il protocollo http o mi sbaglio? Con cosa è entrato
in contatto? Col Browser che era su quella porta?
Norton non mi segnala nulla. AVP System Watcher nemmeno, dunque anche
se quello manda roba non dovrebbe creare problemi dato che non ho
backdoors installate che stanno in ascolto. O sbaglio?
Devo modificare qualche impostazione?
Grazie a coloro che sapranno chiarirmi questo dubbio.
Tofraco

in contatto? Col Browser che era su quella porta?
No. Quello era IL TUO IP, che usava la porta del Backdoor-G-1 (1243,
mi sembra?), per collegarsi a un sito Web.
Stavi navigando, non e' un attacco :-)
Leonardo
".signature": bad command or file name

in contatto? Col Browser che era su quella porta?
no, il browser non c'entra nulla. Però in (almeno) Windows 98 c'e'
una componente chiamata se ricordo bene "Personal Web Server": in pratica serve
per attivare un server HTTP sulla propria macchina. Controlla di non averla
installata inavvertitamente.
Bye
   Wiz
--
     __
__  ///  Finger:    
w...@vapor.com
\\\///  E-Mail:     
w...@vapor.com
 \X//  WWW:         
http://www.active-net.co.uk/products/stfax4

installata inavvertitamente.
No no. Ho tolto tutto il non necessario. Ho solo accesso remoto e
TCP/IP. 
*Grazie* molto per questi chiarimenti che spero siano utili a molti.
Tofraco

Leonardo
Come? Hai ragione! Ci ho fatto caso solo ora...
E` normale? Come mai usa una "backdoor" per collegarsi ad un sito?
Non lo avevo mai notato prima...
sai dirmi di piů sul caso?
GRAZIE!
Tofraco

 623 bytes sent,  5865 bytes received,  4:12.107 elapsed time
dice che 195.191.9.26 ha provato a collegarsi a te (151.4.171.142), alla
tua porta 80. La porta utilizzata dal tipo (cioe' la porta che e' stata
aperta sul *suo* computer per connettersi a te) e' quella che
corrisponde alla backdoor indicata.
Non so che porta utilizzi backdoor-g-1, ma credo sia una porta alta:
la cosa la puoi interpretare cosi':
un tipo, che era connesso da molto tempo e si e' dilettato in scanning
vari e selvaggi, ha provato a vedere, ad un certo punto del suo
collegamento, cosa c'era sulla tua porta 80.
ciao
Buttha
-- 
* Per rispondere in email rimuovere una i dall'indirizzo
* 
http://members.xoom.it/buttha/
* "Il vero viaggio di scoperta non consiste nel cercare nuove terre, ma
  nell'avere nuovi occhi" Marcel Proust

sai dirmi di più sul caso?
E' semplice. Quando inizi a navigare usi la porta 1025. Dopo ogni connessione,
aumenti di 1 il numero di porta effimera che usi, cosi' non c'e' rischio che a
un certo momento ci siano pacchetti in viaggio per la porta sbagliata: infatti
una volta che hai chiuso una connessione per cui usavi la porta X, quella X tu
non la usi piu' per un sacco di tempo.
Ma siccome Backdoor-1-G usa la porta 1243, e fra 1025 e 1243 non c'e' molto di
strada, dopo circa un'ora che navighi (o, se navighi parecchio, mezz'ora!), ti
trovi a usare la porta 1241, poi la 1242, poi...
...e @Guard, che fino a quel momento non aveva notato nulla perche' 1241, 1242
e cosi' via non erano nel suo database, trova 1243 nel database (alla voce "Un
Altro Imbecille: Backdoor Subseven") e si inquieta.
Se nel file /etc/services sostituisci, alla voce 138/udp, "netbios" con altro,
a tua scelta, succede qualcosa di simile:
C:\WINDOWS>netstat -a
Active Connections
  Proto  Local Address          Foreign Address        State
  TCP    tower:524              
www.snoopy.it:22
       ESTABLISHED
  TCP    tower:2557             news.tin.it:nntp       TIME_WAIT
  UDP    tower:nbname           *:*
  UDP    tower:netbios_backdoor *:*
               ^^^^^^^^^^^^^^^^
...ok, ok, e' uno scherzo cattivo da fare a un amico...


>Stavi navigando, non e' un attacco :-)
CORREZIONE. Ho invertito i termini. E invertendo l'ordine dei malfattori,
il prodotto cambia.
Hai un server Web sulla TUA porta HTTP, e qualcuno ci si e' collegato con
un PC che navigava da un po', e/o usando Backdoor-G-1.
E' una curiosata, ma potrebbe essere sintomo di cose peggiori: com'e' che
hai un server Web sul tuo PC? Subito scansione con AVP System Monitor!
(E con AVP, anche, gia' che ci sei)
Leonardo distrattone (c'e' voluto il post di Buttha per ripijamme)


tua porta 80. 
^^^^^^^^^^^^^^
da dove lo hai dedotto???
CiauZ.
  *MerLiNo*
~ MerLiNoZ_HacK WebMaster ~
http://space.tin.it/computer/qfpag/index.html

 da dove lo hai dedotto???
Connection:  
151.4.171.142
: http  from  
195.191.9.26
: Backdoor-g-1,
623 bytes sent,  5865 bytes received,  4:12.107 elapsed time
dalla parolina magica http ;-)
ciao
Buttha
-- 
* Per rispondere in email rimuovere una i dall'indirizzo
* 
http://members.xoom.it/buttha/
* Attenzione a non giocare sull'erba dipinta di fresco
------
Posted via news://
freenews.netfront.net
Complaints to 
ne...@netfront.net