Newsgroup: it.comp.sicurezza.windows
Titolo: mi potete aiutare per favore?

Ciao.
Scusate se vi faro' delle domande che forse sono banali, ma ho un
problema e ho bisogno di un consiglio.
I fatti sono questi: ho un computer mio, che viene usato (col mio
accordo) anche dal mio ragazzo e da una amica/compagna di
appartamento. 
Oggi volevo cambiare la pagina iniziale di internet explorer, e da
Opzioni internet/pagina iniziale ho per caso schiacciato il tasto
direzionale freccia giu', e mi si e' aperta la lista dei siti
visitati. C'erano un sacco di siti dal nome inequivocabile, siti
porno. Io non ne ho mai visti e non accetto che qualcun'altro li veda
col mio computer e col mio account di internet. Potete giudicarmi una
moralista, se volete, ma vi chiedo di rispettare la mia posizione. 
Ho ovviamente chiesto spiegazioni al mio ragazzo e alla mia amica ed
entrambi hanno assolutamente negato di avere una qualche
responsabilita'. Visto che il computer e' il mio, e l'account col
provider pure, io DEVO sapere la verita'.
Le possibilita' che mi sono venute in mente sono due: o uno dei due mi
ha mentito, o qualcun'altro ha usato il mio pc "dall'esterno" tramite
un trojan o qualcosa del genere, giusto? Tenete presente che sul pc
non c'era un antivirus (e' stato formattato da poco, e non l'avevo
ancora comprato). 
Ho guardato la cronologia, ma ci sono i siti vistati solo negli ultimi
5 giorni, e non ci sono quelli. I files temporanei di internet sono
stati svuotati da poco, e quindi sono "puliti".
Ora ho installato Norton Antivirus e ho fatto una scansione completa.
Non ha trovato virus.
Come posso fare per togliermi il dubbio?
Vi chiedo di piegarmi due cose: come posso essere certa che sul pc non
ci sia o ci sia stato installato un trojan che permette ad altri di
usarlo quando e' connesso? 
E posso controllare qualcosa per essere sicura in un senso o
nell'altro?
Posso io privato intestatario del contratto col provider (libero
Infostrada) chiedere al provider di vedere i log dei siti visitati dal
mio account?
Vi prego, datemi qualche consiglio, sono molto preoccupata.
Grazie sin d'ora
Laura

un trojan o qualcosa del genere, giusto?
Sbagliato. Se qualcun'altro avesse usato il pc dall'esterno chi in quel
momento si trovava davanti al monitor si sarebbe accorto che
'magicamente' venivano caricati siti strani...
Se lanci InternetExplorer e vai in strumenti> opzioni> generale> file
temporanei, impostazioni> visualizza file puoi vedere quando sono stati
visitati quei siti.
-- 
Lapalissiano
Icq 57269703

un trojan o qualcosa del genere, giusto?
Si', ma in quel caso non comparirebbero nella cronologia di Explorer.
La connessione "di rimbalzo" avviene a un livello piu' basso:
Lamer --> Internet ----> Stack <--- Windows <----- Explorer
                        |    |         | (B)
Porno <-- Internet <----+    +-(A)--- Trojan
La connessione dall'esterno non e' nemmeno detto che arrivi a Windows
(alcuni trojans possono passare da (A) e aggirare in parte il S.O.).
Pero', c'e' da dire che vari siti (loghi suonerie ecc.) contengono un
profluvio di links a siti porno che si aprono da se'. Explorer quelli
se li ricorda, anche se chi cercava loghi li chiude bestemmiando.
Leonardo
-- 
Questo messaggio è NAGWARE. Per disattivare ironia trita, giochi
di parole, volgarita' gratuite ed inviti a rileggersi i messaggi
gia' passati e/o consultare 
http://groups.google.com
, effettuare
un versamento di 25 euro come tariffa di registrazione helpdesk.

visitati quei siti.
Grazie della risposta.
Ho provato, ma come avevo detto i files temporanei di internet erano
stati svuotati di recente. Quelli che ci sono sono siti normali.
Laura

se li ricorda, anche se chi cercava loghi li chiude bestemmiando.
Capisco, pensi che io possa capire in qualche modo quando sono stati
visualizzati e se per molto tempo o no (cioe' se di quei siti sono
state visualizzate tante pagine o solo l'homepage, condizione questa
che farebbe propendere per la tua ipotesi dell' apertura
"accidentale", no?) ?
Considera che come ho detto in cronologia e nella cache di explorer
non ci sono.
Grazie tanto,
Laura

(Ovviamente scherzo...)
Grazie delle risposte.
Laura

 Dici che non ci sono altre possibilita', eh?
Una ci sarebbe... le hanno visitate il tuo ragazzo E la tua amica 
insieme! ;P
-- 
                         ===> R A S H E F <===
         eMail: rashef [at] libero [dot] it «-» ICQ: #157929161
                URL: 
http://www11.brinkster.com/rashef
               Chiave pubblica disponibile su richiesta!

 ancora comprato). 
Uno dei due ti ha mentito. Nessuno entra nel tuo PC dall'esterno per 
usarti il browser!
-- 
News2000 1.5ß Version 
http://socket2000.8m.com

 computer.
Naviga DAL SUO COMPUTER usando la TUA (e la sua) CONNESSIONE 
internet. In pratica viene visto dai siti su cui 'naviga' come se 
fossi tu, ovvero utilizza il tuo numero IP.


 
http://groups.google.com/advanced_group_search

state visualizzate tante pagine o solo l'homepage
Se sono state visualizzate piu' pagine, o compare in Cronologia, o
compare nei Temporanei. Molto probabilmente.
(Ho scoperto con sgomento che Explorer, ma solo *a volte* (mai che
si possa avere una sicurezza - sgrunt!) memorizza il file dentro a
Temporanei SOLO SE CLICCHI SU UN LINK DI QUELLA PAGINA - oppure se
contiene oggetti di grosse dimensioni - come bytecount, intendo)
Leonardo
-- 
ftp://warez.slashdot.com:12345
 - Warez for nerds. Stuff that matters.

pagine e non vi sono altre possibilità
Cosi' sicuro tu sei, giovane Jedi? Io le mie certezze rivedrei. <shrug>
Leonardo (rimbalzato alla prima visione, pork)


usarti il browser!
In inglese avresti detto il vero (l'inglese distingue fra "nobody", cioe'
nessun essere senziente, e "nothing", cioe' nessuno script furbetto).
In italiano l'affermazione che fai e' un po' avventata :-)
Ricordo a tal proposito l'astvto trucco di nonsochi, su nonsochegruppo ai
tempi del Grande Budello, per fare votare l'uno o l'altro di un gruppo di
disperati rinchiusi non so dove, e basato proprio su un javascript.
Non escludo che qualche favottolone la' fuori usi questi scherzucci, allo
scopo di incrementarsi lo scarno visit ratio del suo miserabile siterello
(nonche', ovviamente, di farsi trombare l'account a spregio, appena si fa
beccare da qualcuno poco poco sospettoso).
Leonardo


 beccare da qualcuno poco poco sospettoso).
Si, però lei dice che i link ai siti porno erano parecchi... Quindi o
una mandria di pazzoidi dal sito poco cliccato oppure... Qualcuno/a 
mente! :-)


ordunque dubiti della mia buona fede? :)
Della tua buona fede no, ma della tua sicurezza si' :-)
Di altre possibilita' io ne vedo ben tre, a seconda di che versioni
di software ci sono su quel PC.


Si, però lei dice che i link ai siti porno erano parecchi...
L'ultima volta che ho cercato un dialer (oh, io sono storto, vo sui siti
porno per scaricarmi i dialers [1]), pensando di scaricare un .EXE e non
ricordando che non stavo usando Opera ma Explorer, mi s'e' aperto un tal
verminaio di finestre che ho dato di piglio al tasto rosso [2].
La cosa piu' bella erano le due finestre con javascript ostinato, tutt'e
due volevano avere il focus. E' stata una bella lotta, per quei due, tre
secondi che e' durata [3].
Leonardo
[1] e' un altro, il genere di rapporti intimi che vo cercando (e, a solo
    0.25 Euro di media, per subnet, e' un affarone). E mi basta l'80x25.
[2] si', e' un AT d'antan. E' per quello che il verminaio di finestre me
    lo piantuma, malidetta la su' razza.
[3] Ctrl-Alt-Del... Ctrl-Alt-Del. Ctrl-Alt-Del! Enter! Ctrl-Alt-Del! "Ma
    va un po' in <RESET> culo!"


 verminaio di finestre che ho dato di piglio al tasto rosso [2].
Hehehe.. Però confermi la mia tesi: cercavi un dialer... Come 
l'ipotetico pornografo del messaggio inziziale ;-)


l'ipotetico pornografo del messaggio inziziale ;-)
Sarebbe stata la stessa cosa se avessi cercato un logo per un Nokia. Una
volta che finisci su una di quelle pagine "a scatto", sei morto :-)
Leonardo


 Leonardo (rimbalzato alla prima visione, pork)
Ehm, posso approfittare loscamente di questa citazione per chiedere 
qualche idea in merito ad una cosuccia? 0:)
Su 
www.starwars.com
, da mesi prima dell'uscita di Episode II, sono 
apparsi vari video (trailers e making of). All'inizio iniziarono a 
scocciare nascondendo i files *.mov dei video dietro piccoli movie 
ref vuoti che scaricati davano solo un errore. Si prendeva il link
dall'html, si lanciava allegramente getright e ci si ritrovava con
un .mov di pochi kb che mandato in play lasciava a bocca asciutta.
Per fortuna bastava aprire con un hex editor (o col blocco note :)
il file per trovare il link al vero filmato :). A un certo momento
i tipacci di 
sw.com
 hanno iniziato a criptare i links nei mini-mov
- nei files non c'era verso di trovare la stringa ".mov"...- e qui
me ne sono uscito con uno sniffer (chiesi proprio qui un consiglio
in merito, una volta), ethereal, mettendolo in "capture": ale', un 
"GET" che partiva ad un certo punto verso il filmato "vero".
Gia' cantavo vittoria (e pubblicavo links su ifsw), alla faccia di
Jar-Jar e della politica iper-commerciale di Lucas (manco un video
ci vuoi far vedere in pace offline) quando si e' passati alla fase
critica attuale. Si scaricano i video (dimensioni medie 30-40 mb),
e poi si bestemmia quando quicktime invita a ri-caricarli online -
"si è verificato un errore". Certo, come no... Beh, mi sono detto: 
furboni, si sono inventati una protezione lato server.. magari uno 
script in ogni file video controlla che il video vada in play solo
se in posizione corretta (forse è solo una mia fantasia, ma con js
o Flash, ad esempio, si può accedere a "_url" e fare dei controlli
del genere...). Sperando di averci azzeccato, inizio a manomettere
il file hosts per ottenere in locale, pari pari, la parte del sito
che mi interessa: ridirigo a 127.0.0.1 
www.starwars.com
, sistemo i
files in directories in modo che i percorsi dei vari link siano ok
e finalmente metto in ascolto apache per win: macche', il percorso
sulla barra del browser è identico e i links funzionano, ma nulla.
"il plugin non riesce a scaricare delle informazioni necessarie ad
una corretta visualizzazione" o qualcosa del genere.
Visto che pare non ci sia modo di sniffare in loopback su windows,
per capire dov'è l'inghippo, faccio anche un tentativo diverso con
notebook-client/pc_fisso-server: non funziona lo stesso, ma almeno
posso loggare il traffico locale per confrontarlo con quello di un
collegamento legittimo (visione del video online). E sono arrivato
alla conclusione che all'inizio dei files video c'è del codice che
manda la richiesta di qualche strano pacchetto di dati.. se questi 
arrivano la riproduzione parte, altrimenti ciccia.
Per ottenere qualche info in piu' - ed aumentare il caos nella mia
mente, gia' vicino alla soglia critica - ho messo in capture anche 
filemon, ed ho individuato i files di quick time colpevoli.. credo
pero' che non sia facile capirne il funzionamento, quindi lasciamo 
perdere.
Ho pensato (magari sbaglio) che per vedere in pace offline i video
si possano fare 3 cose:
- modificare il plugin per fare in modo che mandi in play e basta,     
  indipendentemente dall'esito del check "online"...
    problemi: non saprei da dove iniziare, e inoltre a ogni update
              di QT il problema si ripresenterebbe.
- modificare i files mov in modo che non richiedano tramite plugin
  il check online/offline
    problemi: se anche si trovasse il modo per farlo, SON TANTI :)
- fare un programmino web server da lanciare in locale che:
    1 - modifichi automaticamente il file hosts come occorre
    2 - restituisca i famosi pacchetti al plugin, facendolo fesso.
Mi sembra la soluzione piu' pulita... non è necessario alterare il
plugin o i files... bello, no? :)
In teoria credo si possa fare... beh, mi dite se invece sono fuori 
strada? O avete idee migliori? 
E se la soluzione sembra buona, mi aiutate a capire cosa devo fare
di preciso?
Volete qualche pezzo di log?
E magari, mi dite cos'è l'ETag?
Chiedo perche' il server risponde cosi' al GET del file...
HTTP/1.0 200 OK
Server: Apache/1.3.22 (Unix)
Last-Modified: Wed, 23 Jan 2002 23:13:39 GMT
ETag: "2360c-282b501-3c4f43a3"
Accept-Ranges: bytes
Content-Length: 42120449
Content-Type: video/quicktime
Date: Sun, 27 Jan 2002 23:29:42 GMT
Connection: keep-alive
e non ho capito cos'è quella riga... magari c'entra...
Beh, basta domande per ora.. che forse ho già incasinato troppo le
cose :))
Help me, una community di starwarsiani frustrati vi sara' grata :)
ciao, 
	Dusk
(che non credeva fosse cosi' stressante sernificare i testi, argh) 

(che non credeva fosse cosi' stressante sernificare i testi, argh) 
Come credi che mi sia ridotto cosi', io? :-)
Leonardo
-- 
Questo messaggio č NAGWARE. Per disattivare ironia trita, giochi


 Come credi che mi sia ridotto cosi', io? :-)
Ah, c'entra anche quello? Allora continuo... ;P
bye bye,
Dusk