Newsgroup: it.comp.sicurezza.windows
Titolo: programmi ----> porte netbios

ciao a tutti;
tempo fa stavo navigando in alcuni siti,non proprio
raccomandabili, non erano i porno ma altri :) ed ad ogni mio
click del mouse mi si aprivano una infinita' di finestre......
secondo me,mi sono beccato qualcosa,non un virus,perche il NAV aggiornato
non mi rileva niente,ma da un po' di tempo alcuni programmi
(WinMX, winamp ed altri) si connettono alle porte 137-138-139.
Il mio FW, mi riporta il seguente schema:
proto  |    executable          | remote | local                          |
-------------------------------------------------------------
TCP   |   WINAMP.EXE  |             |MyComputer:nbsession
UPD   |  WINAMP.EXE  |             |MyComputer:nbdatagram
UPD   |  WINAMP.EXE  |             |MyComputer:nbname
ed inoltre nel log del FW ho trovato anche questo:
    This one time, the user has chosen to "block" communications.  Details:
    Outbound UDP packet
    Local address,service is (151.27.188.46,nbname)
    Remote address,service is (62.219.228.151,1027)
    Process name is "C:\PROGRAMMI\WINMX\WINMX.EXE"
Quest'ultima l'ho trovata parecchie volte
    Unused port blocking has blocked communications.  Details:
    Inbound TCP connection
    Remote address,local service is (62.211.45.67,1214)
Ho passato sia Ad-aware,che il NAV,ma non mi trovano niente.
Mi devo preoccupare?
Devo riformattare l'HD?
Ciao a tutti
Roby

 ha scritto nel messaggio
news:mILI9.72727$2B1.2...@twister2.libero.it...

Se hai un buon firewall dovrebbe proteggerti dalle sessioni non autorizzate
del netbios.......per winmx se proprio non vuoi correre pericoli puoi
cambiare le porte nelle opzioni del programma........oppure puoi provare
"legion 2.1" per vedere se il tuo pc č netbiossato, fai una scansione con il
tuo ip e vedi cosa dice........
Cmq se usi un buon firewall stai tranquillo, io mi trovo benissimo col
sygate
ciao

 cambiare le porte nelle opzioni del programma........
magari assegnare un range di porte remote a cui connettersi, indicando al
programma che e' connesso dietro firewall (cosi' gli utenti degli
openanapster possono vedere cio' che hai condiviso senza problemi, e non
rischi che qualche server "zelante" ti butti fuori perche' crede che tu non
stia condividendo nulla), poi devi anche indicare al firewall le porte di
in/out
[cut]
imho il sygate firewall e' proprio grande.
--
_______________________________________
IMHO = in my humble opinion
imho un sito da visitare e' 
www.usatoinformatico.it
almeno finche' ci vendo qualcosa io ;-)
_______________________________________

 Mi devo preoccupare?
No.
Fabio

 loro a te ;-)
Mi sa che avevo letto male: tu intendi dire che quei programmi si
mettono in ascolto su 137/udp 138/udp e 139/tcp? Avevo supposto,
piu' avanti nel post, che winmx si potesse mettere in ascolto su
137/udp per onorare le richieste di risoluzione del nome ma cosi'
come dici tu mi sembra molto strano, specie se succede anche con
winamp. Non e' che e' il tuo firewall che da i numeri e canna ad
associare il programma con la porta? Prova ad usare una utilita'
di terze parti per verificare quali programmi aprono quale porta
(activeports, tcpview, fport, se hai nt/2k/xp) o prova a cambiare
firewall momentaneamente per vedere se succede la stessa cosa.
Una possibile alternativa potrebbe essere che in quei software ci
sia del malware sotto forma di plugin che apra delle backdoor con
le credenziali del software lecito di cui vedi il nome. Questo e'
probabilmente possibile con winamp ma penso che sia da escludersi
nel caso di winmx. E il fatto che succeda con entrambi i software
contemporaneamente mi sembra ancor piu' strano. Piu' probabile la
prima ipotesi (firewall strambo). Tra l'altro, se per caso hai il
netbios attivato e' impossibile che un altro programma ascolti su
137, 138 e 139. Fai anche questa verifica.
Fabio

 137, 138 e 139. Fai anche questa verifica.
Come faccio,e dove vedo se il netbios e attivato?
lo posso disabilitare?come?
ciao

 lo posso disabilitare? Come?
Ultima riga dell'output di ipconfig /all. Per disabilitarlo
dipende dal sistema operativo ma trovi molte istruzioni per
farlo cercando su internet, anche nei gruppi it.sicurezza.*
Fabio