Newsgroup: it.comp.sicurezza.windows
Titolo: Cosa vuole Nero?

ZA mi ha appena bloccato il tentativo di Nero di connettersi all'indirizzo
255.255.255.255 sulla porta 5000.
Perchè mai Nero, che è la versione demo scaricata dal sito, dovrebbe
diffondere un broadcast su tutta Internet sulla porta 5000?
Grazie.
-- 
Non lo capiscono, i grandi, che il mondo dei giovani è un mondo fragile.
E' come un paese in guerra permanente, in cui tutti vogliono avere
ragione. E nel quale veniamo spesso lasciati da soli.
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 masterizzarsi Matrix per farne un backup? :-)
Beh, il file era Nero.exe nella cartella di Nero. Il fatto poi che sia
successo appena scaricata la demo dal sito mi fa pensare che fosse proprio
Nero. Però non so rispondermi alla domanda: un broadcast su
255.255.255.255 alla porta 5000 è piuttosto strano.
Boh....ci sono precedenti noti causati da altri programmi per caso?
Grazie :)


 qualche utility all'uopo?
Microsoft Windows XP [Versione 5.1.2600]
(C) Copyright 1985-2001 Microsoft Corp.
C:\Documents and Settings\utente>netstat -ano
Connessioni attive
  Proto  Indirizzo locale          Indirizzo esterno        Stato         
 PID
  TCP    
0.0.0.0:135
 
0.0.0.0:0
              LISTENING       600
  TCP    
0.0.0.0:1025
 
0.0.0.0:0
              LISTENING       616
  TCP    
0.0.0.0:1031
 
0.0.0.0:0
              LISTENING       1136
  TCP    
0.0.0.0:1317
 
0.0.0.0:0
              LISTENING       1372
  TCP    
0.0.0.0:1382
 
0.0.0.0:0
              LISTENING       1136
  TCP    
0.0.0.0:1396
 
0.0.0.0:0
              LISTENING       1136
  TCP    
0.0.0.0:1397
 
0.0.0.0:0
              LISTENING       1136
  TCP    
0.0.0.0:1400
 
0.0.0.0:0
              LISTENING       1136
  TCP    
10.0.10.4:1317
 
207.46.106.133:1863
    ESTABLISHED     1372
  TCP    
10.0.10.4:1382
 
212.239.22.175:80
      ESTABLISHED     1136
  TCP    
10.0.10.4:1384
 
212.239.22.175:80
      TIME_WAIT       0
  TCP    
10.0.10.4:1386
 
212.239.22.175:80
      TIME_WAIT       0
  TCP    
10.0.10.4:1396
 
212.239.22.175:80
      ESTABLISHED     1136
  TCP    
10.0.10.4:1397
 
212.239.22.175:80
      ESTABLISHED     1136
  TCP    
10.0.10.4:1400
 
207.126.111.202:80
     FIN_WAIT_2      1136
  TCP    
127.0.0.1:1030
 
127.0.0.1:1031
         ESTABLISHED     1136
  TCP    
127.0.0.1:1031
 
127.0.0.1:1030
         ESTABLISHED     1136
  UDP    
0.0.0.0:1026
           *:*                                    676
  UDP    
0.0.0.0:1028
           *:*                                    828
  UDP    
0.0.0.0:1057
           *:*                                    676
  UDP    
0.0.0.0:1321
           *:*                                    1372
  UDP    
10.0.10.4:9
            *:*                                    1372
  UDP    
127.0.0.1:1056
         *:*                                    1372
C:\Documents and Settings\utente>
Questa è la mia situazione al momento. Ho ZA e Antivir attivi (beh,
Antivir non pare attivo ma il processo in memoria c'è). Inoltre sto
navigando sul sito di Newsland per scrivere questo post, e ho MSN attivo.
Ho il sistema sempre sotto controllo (almeno credo) controlli con
Antivirus, ZA sempre attivo. Servizi di rete ridotti all'osso.
Riecco il netstat dopo un minuto:
C:\Documents and Settings\utente>netstat -ano
Connessioni attive
  Proto  Indirizzo locale          Indirizzo esterno        Stato         
 PID
  TCP    
0.0.0.0:135
 
0.0.0.0:0
              LISTENING       600
  TCP    
0.0.0.0:1025
 
0.0.0.0:0
              LISTENING       616
  TCP    
0.0.0.0:1031
 
0.0.0.0:0
              LISTENING       1136
  TCP    
0.0.0.0:1317
 
0.0.0.0:0
              LISTENING       1372
  TCP    
10.0.10.4:1317
 
207.46.106.133:1863
    ESTABLISHED     1372
  TCP    
10.0.10.4:1384
 
212.239.22.175:80
      TIME_WAIT       0
  TCP    
10.0.10.4:1386
 
212.239.22.175:80
      TIME_WAIT       0
  TCP    
10.0.10.4:1400
 
207.126.111.202:80
     TIME_WAIT       0
  TCP    
127.0.0.1:1030
 
127.0.0.1:1031
         ESTABLISHED     1136
  TCP    
127.0.0.1:1031
 
127.0.0.1:1030
         ESTABLISHED     1136
  UDP    
0.0.0.0:1026
           *:*                                    676
  UDP    
0.0.0.0:1028
           *:*                                    828
  UDP    
0.0.0.0:1057
           *:*                                    676
  UDP    
0.0.0.0:1321
           *:*                                    1372
  UDP    
10.0.10.4:9
            *:*                                    1372
  UDP    
127.0.0.1:1056
         *:*                                    1372
C:\Documents and Settings\utente>
Inoltre ho usato i due tool di 
grc.com
 per disabilitare la vulnerabilità
DCOM e controllare che SSPD non fosse attivo.
Il file batch che uso è:
NET STOP POLICYAGENT
NET STOP MSDTC
NET STOP W32TIME
NET STOP LMHOSTS
ad ogni riavvio (pare non funzioni se mi loggo come Utente e basta, e mi
sembra ovvio visto che potrei non avere dei permessi necessari).
Cmq, noti cose strane?


 cosa stavi visitando col browser che ha a che fare con Abovenet?
Boh. Di solito tengo aperte le finestre di Newsland, Tgcom, PI, Hwupgrade,
La Gazzetta, e forse stavo cercando qualche driver per una scheda di rete
e stavo su Driverguide, ma non ci giurerei.
Ad ogni modo oggi non ho ricevuto richieste strane, perciò non me lo
spiego sta cosa di Nero...
Sai stavo pensando che magari la Demo fosse corrotta quindi infetta però...
Mah...non sai mai cosa passa attraverso il cavolo di rete :(
Ciao e grazie :)
