Newsgroup: it.comp.sicurezza.windows
Titolo: TCP 0.0.0.0 <-> 0.0.0.0 LISTENING

Hello All,
ho un problema. Sul mio PC compare a tempi alterni la seguente voce 
(in NETSTAT oppure in ANTS 2.0):
TCP - remote 0.0.0.0   local 0.0.0.0  LISTENING
spesso compare anche UDP e TCP 0.0.0.0 <> 0.0.0.0 LISTENING su porte 
1025-1026-1028, contemporaneamente alla prima.
Per di piu' su SYGATE packet log ad ogni inizio connessione internet 
vedo molti packets di pochi bytes bloccati tra 0.0.0.0 <> 0.0.0.0  
come TCP.
Ho l'impressione di tratti di un TROJAN o di un VIRUS. Purtroppo pero' 
le ultime versioni di tutti i miei antivirus dicono che non ci sono 
virus ne' files sospetti.
Ho installato:  win98, NOD32 ultima versione, FPROT x DOS ultima 
versione, AVP non ultima versione, ANTS 2.0 e SYGATE PF 5.0.
Prima di riformattare tutto gradirei conoscere le vostre opinioni. Ho 
l'impressione che si tratti di un trojan sconosciuto, ma potrei 
sbagliarmi.

sbagliarmi.
Se hai un sistema operativo MS formatta,ti conviene.
-- 
                                                                                      Fabiao
Ipse Scripsit

1025-1026-1028, contemporaneamente alla prima.
dovrebbero essere normali interfaccie di loopback di alcuni sevizi di
win,non preoccuparti
saluti
------------------------------------
          .:| STEVE |:.
  chown linux:users /world    
 
 
stefano...@libero.it
 
 ------------------------------------


vai al prompt e prova a disattivarlo con
erase /s /q *.*.*.* TCPLOOPBACK
________________________
.___  ThE rEal SpAtaTraC! 
/_|_\__  
cowo4n0l...@sneakemail.com
@----@-'  Chi usa outlook infetta anche te, digli di smettere
per rispondere togliere la CACCA davanti la chiocciola

          .:| STEVE |:.
 
Anch'io (per pigrizia) sono tentato a pensare questo. D'altronde non 
sono riuscito ad identificare con precisione l'applicazione che genera 
questi tentativi di connessione e non sono sicuro che il remote sia 
poi effettivamente 0.0.0.0
Quello che mi lascia perplesso è che ad ogni inizio connessione ho nel 
packet log ben 20 pacchetti tra 20 e 40 bytes tra i 0.0.0.0<>0.0.0.0 
bloccati dal Sygate PF 5.0.
Sto provando a reinstallare windows su un'altra partizione x vedere se 
esistono gli stessi problemi. Purtroppo sul mio laptop (win 2000) non 
c'è traccia di questi pacchetti 0.0.0.0<->0.0.0.0, stesso firewall e 
stessi antivirus.


mi sono ritrovato anche io le connessioni tcp ed udp 0.0.0.0 <> 0.0.0.0
posso chiederti come si avvia un packet log?
Ciao

Ciao,
ho evidenziato pure io delle connessioni 0.0.0.0 <> 0.0.0.0, però ho trovato
i programmi che le originano:
tcp porta 135 da windows\system32\svchost
udp porta 135 da windows\system32\svchost
tcp porta 1025 da windows\system32\mstask
tcp porta 1026 da windows\system32\services
tcp porta 445 da windows\system32\ntoskrnl
che mi sembrano tutti task dell'os.
c'è pure una connessione udp da mioindirizzo a 0.0.0.0 sulla porta 500 del
porgramma
windows\system32\lsass.exe che però non so cosa sia
saluti

stessi antivirus.
ripeto che non hai nulla di cui preoccuparti ogni sistema operativo ha
diverse interfaccie dipende da come e' stato sviluppato....ma se sei
fissato e curioso come me so gia che farai tutte le prove del mondo,e
IMHO non ti faranno altro che bene  :-)


posso chiederti come si avvia un packet log?
E' uno dei menu del Sygate 5.0 (Log:security/system/traffic/packet)...
 

windows\system32\lsass.exe che però non so cosa sia
Anche questa porta penso andrebbe indagata, ma sicuramente chiusa.
Anche tu hai win98?

Ciao,
io non uso win 98, ho il 2k pro,
per quanto riguarda le porte in attesa leggiti questo indirizzo suggerito
dal grande Lapalissiano:
http://groups.google.com/groups?as_q=135%20445%201025&lr=lang_it
:-)

TCP - remote 0.0.0.0   local 0.0.0.0  LISTENING
Manca qualcosa: il numero di porta (e' forse "0"?).
Questo e' sul mio, ora:
  Proto  Indirizzo locale      Indirizzo remoto      Stato
  TCP    
0.0.0.0:5432
 
0.0.0.0:0
             LISTENING
Questo significa che c'e' una applicazione [1] in locale, che accetta
connessioni su qualsiasi interfaccia (locale 0.0.0.0), ma sulla porta
5432, provenienti da qualsiasi host (0.0.0.0) e qualsiasi porta (:0).
Quindi se ora tu facessi TELNET 212.214.216.174 5432 - e se io avessi
ancora quell'indirizzo - ti potresti connettere a quel servizio [2].
Nel caso di alcuni Windows, la stessa riga porterebbe la porta 5000 o
magari 135, 137, 138, o 139.
Prova a vedere con AVP System Watcher ("AVPSW" - 
www.avp.it
) che cosa
c'e' d'attivo, quali files sono, se sono originali, cos'hanno scritto
nelle Proprieta', eccetera.
Leonardo
[1] Si', e' quello che pensate. Si', uso Cygwin. No, non ne sono
    punto soddisfatto e fra du' menuti razzo via tutto.
[2] user 'lserni', password e dbname 'test'.

 Leonardo
serni, grazie di esistere. 
-- 
http://werted.cjb.net