Newsgroup: it.comp.sicurezza.windows
Titolo: Gromozon usa un altro 0-day di IE...

Verificato giusto ora... precisamente quello descritto qui:
http://isc.sans.org/diary.php?storyid=1741
In altre parole navigando sui siti di gromozon con IE si è automaticamente 
infettati, anche avendo applicato tutte le patch di Microsoft.
PS: fino ad ora i domini di cui io sono a conoscenza contenenti gli exploit 
e i trojan sono (NON visitateli con Windows):
gromozon.com
xearl.com
mioctad.com
td8eau9td.com
cvoesdjd.com
lah3bum9.com
mufxggfi.com
uv97vqm3.com
wlos.net
xoboe.com
fgvmwyfstd8.com
ghr5rudiys.com
Poi ci sono quelli dei loader javascript:
js.gbeb.cc
js.pceb.cc
PPS: ho omesso volontariamente i domini che hanno le pagine che linkano a 
quelli, in quanto sono semplicemente migliaia.
PPPS: settate il killbit come descritto sul sito di Sans. E non fidatevi 
degli antivirus; al solito, il rilevamento è pessimo.

 pessimo.
ho pensato di impostare i siti nel file host
ma impostando i siti nel file host non funziona difatti facendo 
una prova mettendo google
127.0.0.1       localhost
127.0.0.1       
google.com
127.0.0.1       
www.google.com
google parte sempre come sempre
dove sbaglio ?
-- 
imho, bye, thanks, by K®54 [since'97]
my site :my site : 
http://deca.altervista.org/
http://www.volpin.it/discomusic/studio54.htm

 dove sbaglio ?
Mah, dovrebbe funzionare. Prova a digitare:
ipconfig /flushdns
in una finestra DOS. Se stai usando Firefox per fare la prova, chiudilo e 
riavvialo e poi prova ad aprire 
google.com
 di nuovo.

 peccato
Stai usando un proxy?
bye G.L.
-- 
Renaissance, aka Gian Luca Sole
Per rispondere, togli nospam letto al contrario, e cambia nazione.
"E' assolutamente evidente che l'arte del cinema si ispira
alla vita, mentre la vita si ispira alla TV" - Woody Allen

 ma a casa ho la scheda di rete e adsl via ethernet
In questo caso, non saprei...  :-/


 peccato
non è che stai usando FireFox con SwitchProxy attivato su qualche proxy 
esterno? Se vai qui, 
http://www.myipresolve.com
 l'IP è lo stesso che 
vedi nella finestra di MesNews?
(a proposito di MN, passi dalla 1.5 alla 1.4, ma aggiornare alla 1.6?)
-- 
Sans

google parte sempre come sempre
[cut]
Host o Hosts? Il nome esatto e' questo. La cartella e' quella giusta?
Provato con un ping? Con me funziona il blocco. 
Si e' detto in questi ultimi mesi che con Xp Windows aveva 'sabotato'
il Dns Lookup a vantaggio di certi siti Microsoft, ma non credo che
valga per tutti gli altri. Vorrebbe dire che la risoluzione locale dei
Dns non ha la priorita' in nessun caso, e _questo_ sarebbe
preoccupante.

 a casa si se posto dal newsserver di tin
non stavo parlando dell'IP del mittente che si vede nell'albero dei 
messaggi, ma del tuo IP corrente che vedi nella barra del titolo della 
finestra principale, accanto a "MesNews" (sempre che tu non abbia 
disattivato il controllo di versione).
-- 
Sans

è l'unico file hosts che ho sul pc
[cut]
Allora devi provare con un ping. Se ti risolve gli indirizzi comunque
prova a mettere in manuale il Servizio Client Dns e il Servizio Client
DHCP, e se manco stavolta funge, preoccupati.
[cut]

 il controllo di versione ?
menu "Opzioni - Messaggio in caso di nuova versione di MesNews", esegue 
una chiamata al sito per vedere se c'è una versione più recente e nella 
stringa di risposta contiene l'IP del chiamante, mostrato poi nel 
titolo della finestra principale.
Tanto per restare un po in tema, i dati scambiati col server sono un 
GET verso 
www.mesnews.net
 contenente il numero seriale di MN e la 
versione:
0040   6f 6e 2e 70 68 70 3f 6e 75 6d 6c 6f 63 61 6c 3d  
on.php?numlocal=
0050   32 37 35 31 38 26 76 65 72 73 3d 31 2e 30 36 2e  
27518&vers=1.06.
0060   30 30 2e 30 30 2d 69 74 20 48 54 54 50 2f 31 2e  00.00-it 
HTTP/1.
cui risponde il server con lo stesso seriale più l'IP e la versione:
0110   0a 6e 75 6d 6c 6f 63 61 6c 3d 32 37 35 31 38 0a  
.numlocal=27518.
0120   49 50 3d 31 35 31 2e 35 34 2e 38 31 2e 31 37 35  
IP=151.54.81.175
0130   0a 76 65 72 73 69 6f 6e 3d 31 2e 30 36 2e 30 30  
.version=1.06.00
0140   2e 30 30 0a                                      .00.
quindi nessun dato delicato. L'interrogazione la fa solo al momento 
dell'avvio del programma, purché sia abilitata.
F/up su icsn
-- 
Sans

 preoccupati. [cut]
ho arrestato i 2 servizi di cui sopra
ma niente da fare
pero' non ho riavviato
pensa apre i link  piu' velocemente
-- 
imho, bye, thanks, by K®54 [since'97]
my site :my site : 
http://deca.altervista.org/
Agonizzanti in un letto, fra molti anni da adesso, siete sicuri 
che non sognerete di barattare tutti i giorni che avrete vissuto 
a partire da oggi, per avere l'occasione, solo un'altra 
occasione, di tornare qui sul campo, a urlare ai nostri nemici 
che possono toglierci la vita, ma non ci toglieranno mai la 
libertà!

pensa apre i link  piu' velocemente
Lo so. :-)) I due servizi di cui sopra sono piu' che altro adatti ad
un computer in rete o connesso ad un controller di dominio Active
Directory (in Win2k infatti non li puoi mettere in manuale).
Mettendoli in manuale elimini un po' di operazioni intermedie,
quindi...

 operazioni intermedie, quindi...
almeno questo :-)
-- 
imho, bye, thanks, by K®54 [since'97]
my site :my site : 
http://deca.altervista.org/
http://www.volpin.it/discomusic/studio54.htm

ma quel pirlone di ie fa quello che vuole
Continua ad ignorare il file hosts?
Controlla qui:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\ServiceProvider
e riporta i valori delle voci "...priority".
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

 e riporta i valori delle voci "...priority".
ti incollo il reg esportato
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\ServiceProvider]
"Class"=dword:00000008
"DnsPriority"=dword:000007d0
"HostsPriority"=dword:000001f4
"LocalPriority"=dword:000001f3
"ProviderPath"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,\
 
00,74,00,25,00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,\
 
77,00,73,00,6f,00,63,00,6b,00,33,00,32,00,2e,00,64,00,6c,00,6c,00,00,00
"NetbtPriority"=dword:000007d1
"Name"="TCP/IP"
-- 
imho, bye, thanks, by K®54 [since'97]
my site :my site : 
http://deca.altervista.org/
http://www.spywarewarrior.com/rogue_anti-spyware.htm
http://www.av-comparatives.org/seiten/comparatives.html

"NetbtPriority"=dword:000007d1
Ritiro il dubbio, l'ordine di risoluzione è quello standard.


ma quel pirlone di ie fa quello che vuole
Seccante, questo conferma che con IE il file hosts non ha la priorita'
nel Dns resolving. Anche questo rende possibile l'ingresso di Gromozon
in un computer con Xp aggiornato. Ecco un'_ottimo_ motivo (anche senza
considerare gli altri, innumerevoli) per mandare IE a visitare le
patrie cloache.
[cut]

 [cut]
si posso farlo io
ma i ''normali'' non lo faranno mai perchè son abituati da 5-6 
anni a ie
-- 
imho, bye, thanks, by K®54 [since'97]
my site : 
http://deca.altervista.org/
un dubbio atroce mi assale
<< una TP che non scivola dietro in curva ... ma che TP è ?! >>

nel Dns resolving.
O__o
E chi ce l'ha, allora?
-- 
Ciao,
Speck
R: Perche' incasina l'ordine con cui la gente normalmente legge un messaggio
D: Perche' quotare sotto da' cosi' fastidio?
R: Quotare sotto.
D: Qual e' la cosa piu' seccante su usenet e in e-mail?

nel Dns resolving.
Non č cosě perň, di default.
Non so cosa possa provocare le stranezze da lui lamentate, ma di suo
IE ascolta il file hosts.
D'altra parte i vari spyware che infettano il file hosts lo fanno
proprio per quello ;-)


 proprio per quello ;-)
Mi sorge un tragico dubbio:
Non e' che qualche furbacchione in MS ha voluto evitare questa
"debolezza" convincendo IE (forse in qualche security update) a
non considerare il file hosts per non cadere nella trappola del
malware?
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 
lmhosts
Come cita il file di esempio lmhosts.sam
"L'aggiunta del carattere "#PRE" ad ogni voce nel file causerà il
caricamento anticipato della voce nella cache del nome.
Per impostazione predefinita le voci non vengono caricate prima, ma
vengono interpretate solo se fallisce .a risoluzione dinamica dei nomi."
esempio:
#PRE 195.18.0.72  
ftp.pippementali.com
-- 
http://www.samspade.org/

 #PRE 195.18.0.72  
ftp.pippementali.com
hai fatto l'esempio pippementali perchè lo sono per te ?
sto file è dove sta hosts
aperto ma non è che ho capito bene come fare per far fare all'
lmhost.sam
ho provato un po' di righe ma google mi si apre sempre
certo l'ho fatto sul file sia lmhost.sam ma trovato su internet 
che è solo di esempio ho tolto l'estensione
ma google si carica lo stesso
lo stesso mestiere che stiam cercando di far fare all hosts
-- 
imho, bye, thanks, by K®54 [since'97]
my site :my site : 
http://deca.altervista.org/
meglio inquinare per passione che con il pullman della regione o 
del comune ...
http://www.elculoperfecto.tk/

malware?
Sarebbe veramente tragica come cosa...
Ho appena provato su un mio XP aggiornato e tutto funziona
regolarmente (rispettando l'ordine di risoluzione indicato nel
registro).
