Newsgroup: it.comp.sicurezza.windows
Titolo: Kerio Personal Firewall: configurazione

Salve a tutti, avrei un dubbio sulla configurazione di Kerio Personal
Firewall. Ho notato che netbios e c:\windows\system32\svchost.exe erano
molto attivi nel connettersi ad altri indirizzi senza che io ne sapessi
nulla, cosi' ho deciso di bloccare le due applicazioni sia in entrata che in
uscita, lasciando l'abilitazione solo per i pc appartenenti alla zona
"trusted" (ho un altro pc con il quale a volta creo una piccola LAN, per
questo il netbios e' abilitato sulla scheda di rete). Ho fatto bene oppure
posso avere creato dei problemi di funzionamento a Windows XP? Dopo avere
impostato questa regola, noto che il firewall blocca piu' di una connessione
al minuto in entrata proveniente da indirizzi esterni a me sconosciuti verso
"system", "Generic Host Process for Win32 Services" e "Microsoft file and
printer sharing".
Grazie,
Goerz

 Goerz
Fai una bella scansione del tuo HD con un antivirus aggiornato oppure una
scansione on-line.
svchost.exe  mi ricorda tanto il Welchia.
Spook

 ha scritto nel messaggio
news:KrF9c.114206$z23.4...@news3.tin.it...
| noto che il firewall blocca piu' di una connessione
| al minuto in entrata proveniente da indirizzi esterni a me
| sconosciuti verso "system", "Generic Host Process for Win32
| Services" e "Microsoft file and printer sharing".
Anche a me accade lo stesso, però ho l'antivirus aggiornatissimo e
ho win2000 con service pack 4 e ho installato la patch per i problemi
sul RPC. Puo' essere, secondo voi, che le richieste
provengono da computer infettati dal WELCHIA o similari?
In tal caso noi possiamo stare tranquilli (con l'antivirus e il FW)?
Ciao,
GianpieroP
-----BEGIN PGP SIGNATURE-----
Version: PGP 8.0
iQA/AwUBQGm2jJ4sPKh9SaicEQIaTgCdFTCIkEEK0ShmaDL0pJSYIwZCYhIAnRHC
wPqfls6GQtq+cn3rey+gnZ+2
=RwuK
-----END PGP SIGNATURE-----

 ha scritto nel messaggio
| news:KrF9c.114206$z23.4...@news3.tin.it...
| | noto che il firewall blocca piu' di una connessione
| | al minuto in entrata proveniente da indirizzi esterni a me
| | sconosciuti verso "system", "Generic Host Process for Win32
| | Services" e "Microsoft file and printer sharing".
Scusate, ho dimenticato di chiedervi quale applicazione si
chiama "system" e sta in ascolto sulla porta 445?
Grazie in anticipo,
GianpieroP
-----BEGIN PGP SIGNATURE-----
Version: PGP 8.0
iQA/AwUBQGm3i54sPKh9SaicEQKUNwCfdyUyJwHfsVNDfkEeFqHF/NeZX1cAoIDw
ehBz4d2K31GQzEjGwz58iurf
=7CEu
-----END PGP SIGNATURE-----


A me succede la stessa cosa ,uso sygate.Ho bloccato anche io
svchost.exe.Però devo dire ,e c'è un mio post su it.comp.sicurezza.virus,
che avevo già istallato la pach di microsoft e fatto la scansione con il
tool symantec quando avevo reistalalto tutto dopo una formattazione e fatto
anche una scansione con Norton 2004 aggiornato.L'altra sera un sito che ho
sempre aperto DIGIxxLUX.Mi ha pre la pagina,ma non ci sono i file da
scaricare e mi dice di For download, please close your firewall !!!
Ho fatto questo chiuso sygate e guarda caso NAV  come aggiorno la pagina web
del sito ,mi da un avviso di virus W32.Welchia.D.Worm.Dice che non è
riuscito ad eliminarlo Su  Norton  Rapporti\ File registro
attività\visualizzazione registro\avvisi di minacce
NAV indica
ORIGINE:C:\WINDOWS\system32\drivers\svchost.exe
Credo come indicato da NAV che è stato individuato da Auto-Protect e
Azione intrapresa riparazione non riuscita\Accesso negato.
Ho a questo punto fatto tutto l'immaginabile. Bloccato il riprisitno
configurazione di sistema,avviato in modalità VGA fatto una scansione con
Norton 2004 e con Symantec Online,Fatto una scansione con vari tool
symantec,McAfee,Trend Micro questo worm è come sparito non c'è da nessuna
parte.
Che fare? puoi aiutarmi?
Una cosa strana uso Spam Terminator e quando invio email si blocca devo
disattivarlo e riattivarlo è un sintomo che qualcosa c'è?
Ciao
grazie
Zaba

 svchost.exe.
Attenzione che svchost.exe e' un processo di windows perfettamente legittimo
se sta in Windows/System32. La "versione" che sta in
Windows/System32/drivers e' invece il worm Welchia. Se dopo avere fatto la
scansione in modalita' provvisoria l'antivirus non rileva nulla, verifica
manualmente che l'applicazione svchost.exe non sia presente nella cartella
windows/system32/drivers. Se non c'e' si vede che l'antivirus e' riuscito a
rimuovere il worm.
Ciao,
Goerz

 ha scritto nel messaggio
news:hejac.156356$O31.6...@news4.tin.it...

Esatto
Comunque dopo averlo rimosso fate un altra bella scansione dell'intera
cartella System32.
Io uso il KAV e dopo aver rimosso il worm mi ha trovato un altro file
infetto sempre dal welchia ma stranamente non attivo.
Spook