Newsgroup: it.comp.sicurezza.windows
Titolo: Un centinaio di socket in ascolto

Non mi connetto quasi mai con Windows XP. Oggi è stata una di quelle poche
volte, e notando un'insolita attività del modem ADSL dopo una mezz'ora che
non navigavo ho fatto un bel netstat -a -o... sono rimasto di sasso:
C'erano un *CENTINAIO* (!) di socket in ascolto sulle porte TCP che vanno
dalla 4430 alla 4560 circa, e un'altro centinaio (doppio "!!") di
connessioni ESTABILISHED, TIME_WAIT e SYN_SENT, sempre su quelle porte.
Chi era il responsabile di cotanto lavoro ?
Ma naturalmente il processo con PID 1044, che nel task manager risponde al
nome di svchost.exe !! :)
Ora, mi sono documentato, so bene a che serve svchost, come funziona, etc...
*purtroppo* non conoscevo "tasklist /SVC" altrimenti lo lanciavo
all'istante... c'è qualche anima pia che dalle porte utilizzate (TCP
4430-4560) ha una vaga idea di cosa stava succedendo ?
Per la cronaca il firewall di connessione di XP era attivo... quando ho
spento il modem nel giro di 5 min sono scomparse tutte le connessioni
(ovviamente), ma anche i socket in ascolto però !!
Ah, ormai sono curioso... uno sniffer che funzioni bene sotto windows ?
Dovesse ripetersi mi diverto !! :)
-- 
LF

Dovesse ripetersi mi diverto !! :)
Ethereal assieme al Winpcap
x risolvere il tuo problema:
installa un antivirus aggiornato
installa ad-aware e fai un'analisi con quello
installa spybot search&destroy e fai un'analisi anche con quello.
poi da 
sysinternals.com
 scarica il tcpview e guarda che programma sta
usando quelle connessioni.
segnati anche il percorso. che dovrebbe essere
%windir%\system32\svchost.exe e null'altro.
 
ciAO
Sorcerer
-------------------------------
Le anime in plexiglass stanno ballando...
-------------------------------

 x risolvere il tuo problema:
Guarda, se usassi spesso windows per navigare potrei anche sopportarmi la
via crucis che mi hai indicato... ma windows ha soltanto 2 funzioni sul mio
PC, Word e Photoshop, e quindi non voglio perderci troppo tempo
installandoci applicazioni mastodontiche che oltretutto rallentano il
sistema. Poi dovrei mantenerle aggiornate... uff, io ci lavoro con il
computer, mica lavoro *per* il computer !! :)
Ho fatto l'errore di connettermi ad internet (dovevo scaricare un file e non
avevo voglia di fare il reboot per avviare linux) e l'ho pagata... vorrà
dire che non lo farò più...:)
UPDATE: forse ho trovato la causa di tutto, risulto infetto da una variante
di msblast (il worm di RPC)... ma il firewall di XP non doveva essere
sufficiente ad evitare questo worm ? E come mai non riesco a disabiltare il
fottuto RPC dal pannello di controllo ? Ah, sto davvero perdendo la
pazienza...
Comunque grazie dei consigli !! :)
-- 
LF

 
http://www.grc.com/dcom/
Fai secco DCOM e starai al sicuro da msblast, oltre che da vari 
malfunzionamenti futuri
Saluti

Comunque grazie dei consigli !! :)
prego!
Almeno qualcuno che ringrazia c'è !
 
ciAO
Sorcerer
---------------------------------------
Our Lives....
------------------------------------------------------
my Blog:
http://giovanesistemista.splinder.it
------------------------------------------------------

 Almeno qualcuno che ringrazia c'è !
Ci mancherebbe...:)
-- 
LF

 malfunzionamenti futuri
Grazie 1000, è proprio quello che cercavo !!
-- 
LF

nome di svchost.exe !! :)
E quanti SVCHOST hai sul tuo PC? Solo uno, quello buono, spero?
O sono due?
Leonardo
-- 
Microsoft divulghera' le tue informazioni personali senza previa notifica,
se richiesto per legge o nella ferma convinzione che tale azione sia
necessaria per [...] proteggere e difendere i diritti [...] di Microsoft.
                             Accordo di Licenza di Microsoft Messenger 6.1

 O sono due?
Eh no, purtroppo erano 2, e uno era un W32/Nachi.worm...:)
Tra l'altro l'ho preso nonostante il firewall di XP (ICF) fosse attivo... la
Microsoft stessa dice che ICF è sufficiente ad evitare msblast e relative
varianti... ma per quanto riguarda la mia esperienza non vi fidate di
ICF !!
-- 
LF

 fidate di ICF !!
ICF e' perfettamente in grado di vanificare l'attacco di blaster e nachi,
se correttamente configurato. Non puo' contrastare la diffusione nel caso
in cui l'host sia gia' stato infettato prima della sua attivazione, ma e'
uno scenario in cui potrebbero fallire anche altri personal firewall piu'
complessi.
Fabio

 complessi.
Questo è quello che credevo anch'io fino a qualche giorno fa.
Mi sono preso il worm "nachi" con questa configurazione:
* XP Home SP1 OEM originale senza nessuna patch applicata (ovviamente).
* DCOM attivato (ovviamente).
* Connessione ad internet tramite modem ADSL ethernet (non è un router, la
macchina è direttamente visibile su internet con un IP publico).
* ICF attivato sull'interfaccia di rete: nelle impostazioni avanzate tutte
le opzioni per consentire il traffico attraverso particolari porte sono
disattivate.
* ICF è stato attivato (e mai disattivato) sulla scheda di rete durante
l'installazione di Windows, e quindi prima di qualsiasi connessione ad
internet.
Naturalmente sei libero di non crederci, ma dal mio punto di vista mi sento
in dovere di avvertire altre persone che potrebbero rimanerci fregate
fidandosi di ICF.
-- 
LF

Ci mancherebbe...:)
non è una cosa così diffusa come dovrebbe essere!
 
ciAO
Sorcerer
------------------------------------------------------
Now playing:
BS - Pink Cadillac


 x freebsd di un modem 3com...
Argh... la Corel era veramente un aborto...:( Se decidi di riprovare ti
consiglio di andare sul sicuro, ossia Mandrake o Debian... volendo anche
Gentoo è valida, ma ti serve ADSL quasi per forza (si installa via rete).
Il supporto hardware è molto migliorato in Linux... pensa che scarico senza
problemi le foto dalla macchina digitale senza alcun bisogno di driver
aggiuntivi (come invece per XP)...:)
-- 
LF