Newsgroup: it.comp.sicurezza.windows
Titolo: Back Orifice: l'ho beccato!

Vatti a fidare delle e-mail degli amici :\
Il mio McAfee 3.0.2 con aggiornamento 3.0.3204 sembra proprio averlo
beccato!
16/04/99 15.48 Infetto    C:\WINDOWS\TEMP\XXXSTORY.EXE
ORIFICE.A(HACKTOOL)
16/04/99 15.41 Infetto    C:\WINDOWS\SYSTEM\windll.dll
ORIFICE.A(HACKTOOL) (Rimovibile)
16/04/99 15.42 Infetto    C:\WINDOWS\SYSTEM\runtime.exe
ORIFICE.A(HACKTOOL) (Rimovibile)
Da buon temerario (ho per lo meno il back del registro e dei file di
sistema) l'ho lasciato fare.
Controllando con netstat -a ho notato due nuove 'vocine':
Active Connections
  Proto      Local Address                  Foreign Address        State
  TCP    mycomputer:31338          GANDALF:0              LISTENING
  UDP    mycomputer:31338          *:*
Oh!
Chiaramente xxxstory è sparito, il VirusScan ha pensato a cancellare
windll.dll ma non è riuscito a cancellare runtime.exe; allora sono entrato
nel buon caro vecchio dos e con un del runtime.exe ho completamente risolto
il problema (__|__)
Almeno spero!
Qualcuno sa dirmi qualcosa in merito???
Ringrazio tutto il NG per avermi messo sulla buona strada spingendomi anche
ad installare un antivirus!
          Hasta la vista!
                            ZaPp-er
ICQ#: 30314157
[ 
emil...@exploit.it
 ]
--

Qualcuno sa dirmi qualcosa in merito???
anche se non serve, potresti pure togliere la chiamata di runtime.exe
dal registro; la trovi in questa chiave:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
ciao
Buttha (qualcosa in merito: hai fatto quello che dovevi fare)
-----------------------------------------------------------------------
* Per rispondere rimuovere i
* PGP Key: RSA & DH/DSS
* 
http://members.tripod.com/buttha/
-----------------------------------------------------------------------

Ho effettuato la scansione con netstat -na a PC riavviato: nessuna
connessione attiva...
??????
Ciao e grazie
Ciccio

??????
Active Connections
  Proto  Local Address          Foreign Address        State
  TCP    
192.168.1.4:137
 
0.0.0.0:0
              LISTENING
  TCP    
192.168.1.4:138
 
0.0.0.0:0
              LISTENING
  TCP    
192.168.1.4:139
 
0.0.0.0:0
              LISTENING
  UDP    
192.168.1.4:137
        *:*
  UDP    
192.168.1.4:138
        *:*
Mi sembra che siano porte standard: TCP139 (nbsession), UDP137 (nbname),
UDP138 (nbdatagram) sono quelle del Netbios over TCP.
Anche le TCP137 e TCP138 sono quelle del Client di Reti Microsoft, che mi
serve installato per collegare in rete il portatile.
Ma non so dire di più.
Qualcuno sa darmi maggiori delucidazioni a riguardo???
Intanto ringrazio tutti quelli che mi hanno risposto e quelli che
risponderanno ;)


??????
ottimo. 
Il fatto che tu non abbia connessioni, mentre prima ne avevi, e' un
fatto normale con winzozz: il sistema operativo non avevo chiuso delle
porte che avevi utilizzato nel tuo precedente collegamento in rete.
Per farti un esempio: io, mentre sto scrivendo, mi sono appena
scollegato dalla rete e non ho ancora riavviato il sistema.
Eccoti il risultato del mio netstat:
Connessioni attive
  Proto  Indirizzo locale         Indirizzo remoto             Stato
  TCP    
0.0.0.0:1054
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1368
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1371
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1372
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1373
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1374
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1375
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1382
 
0.0.0.0:0
              LISTENING
  TCP    
0.0.0.0:1384
 
0.0.0.0:0
              LISTENING
simpatico, vero? :)
ciao
Buttha


Qualcuno sa darmi maggiori delucidazioni a riguardo???
si si: e' tutta roba del netbios.


 [snip]
ieri ero sfasato: mi sono dimenticato che avevo in esecuzione wfips2,
che apre delle porte per ingannare gli scanner che cercano la porta di
icq. Cmq, il discorso non cambia: dopo la connessione capita spesso di
ritrovarsi porte non chiuse.





 te gli puoi sbragare il zyztema !!!!
Perche' sbracarsi col C addirittura? Se hai Linux basta
# cat _Tua_sorella_me_lo_ciuccia_stanotte_ | nc -u -v -p -l 31337
ed e' assicurato che gli si crashi il BO client.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
<<   Available PGP keys: DSS/DH                   >>

# cat _Tua_sorella_me_lo_ciuccia_stanotte_ | nc -u -v -p -l 31337
			           ^^^^^
			sorry, what's this ???
apropos nc -> nada
man nc      -> pure
Thanx

 man nc      -> pure
nc = NetCat .... fatto da hobbit su unix ne esiste anche versione per
windows .... trovi entrambe su 
www.l0pht.com
invy
-----BEGIN GEEK CODE BLOCK-----
Version: 3.1
GSS/TW/O>AT d?(dx) s+:+, s: a-->a- C++(C+++) UL+++>UL++++ P+ L+++>L++++
E-- W(W-) N++ K? w-- O- M- V- PS++ PE Y+ PGP++ t++@ 5 X+ R+(R++) tv b+++
DI+++@ D+ G>G++ e++ h r+(r-) y++*
------END GEEK CODE BLOCK------

 man nc      -> pure
Devi cercare il pacchetto in Rete e scaricarlo... c'e' sia in versione
Linux che per WinBug. Cerca con Altavista..


windows .... trovi entrambe su 
www.l0pht.com
thanx con triplice genuflessione e inginocchiamento sbracato
puppappera

Se non ti piace stanotte puoi mettere
.... plop  ....
in effetti non capisco il collegamento tra Tua_Sorella e 
me_lo_ciuccia  ... me lo spieghi meglio ?  #8-)
he he he ... sono un implume essere innocente io, al contrario di
certi zuzzurelloni che zuzzurellano in rete ;-)
Bye 
puppappera
P.S.
gli spazi sono spaziati a discrezione del newsreader.

 me_lo_ciuccia  ... me lo spieghi meglio ?  #8-)
Le lezioni di sesso si tengono presso il Cinema Marconi, specializzato
in film a luci infrarosse (perche' girano su cineprese USB) dalle 15
alle 18,45. Rivolgiti li' ;-)


# cat _Tua_sorella_me_lo_ciucciera_domani_ | nc -u -v -p -l 31337
:-DDDDDDDD
fritz ridens ;-)

alle 18,45. Rivolgiti li' ;-)
OOOhhh, quasi quasi 8-)
Ma che città ??
I don't understand 'na mazz' dai tui headers!
apropros ... hai una accesso diretto ?
byez
puppapera

 apropros ... hai una accesso diretto ?
Ad Internet... in ufficio si... perche'?


Ad Internet... in ufficio si... perche'?
niente ... mi chiedevo se era possibile mascherare il dominio con
connessioni isp ....
byez
puppappera

 connessioni isp ....
Usando IP masquerading si puo' fare...


Usando IP masquerading si puo' fare..
armeggio subito
Thanx a lot
byez
Jabba
giuliof...@geocities.com
___________________________________________
Maremma Maiala ... (TM)
___________________________________________


ma si può modificare a piacimento con un collegamento isp??
byez
puppappera

 ma si può modificare a piacimento con un collegamento isp??
Perche' no?


l'indirizzo.. ma non e' facile come sembra ;-)
me lo immaginavo .. apropos ... i server smtp non chiedono password
(di solito) .. quindi se telnetto su una porta 25 di quasi qualunque
provider ... potrei mandare una mail from chi@mipare to
qualunque@destinazione ... o no ? in questo caso il primo hop
risultante dagli headers risulterebbe il server .. giusto ?
bye

 risultante dagli headers risulterebbe il server .. giusto ?
Esatto... puoi mandare una mail da 
paolino....@disney.com
 pero'
si potra' comunque risalire all'host da cui e' stato originato il
messaggio, niente da fare.



ICQ #34602650


Ciao.roberto
*******MAIL ADDRESS CHANGED *********
--
Save our planet!
Save wildlife;
For your E-MAIL use only recycled Bytes !!
roberto poggi  
rpo...@softhome.net

Questo ovviamente non vale per il cantinaro di turno.
Ok, capito .... però, carino l'esempio ;-)
Thanx
puppappera

messaggio, niente da fare.
hauff..... ok, thanx for all ...
lurko per qualche altro mesetto .. poi mi faccio risentire ...
he he he ... nel frattempo tieniti in LISTENING  8-)
byez
puppappera

compagnia italiana e' puramente casuale)
il server tin non e' piu' aperto in relay


il server tin non e' piu' aperto in relay
L'unico commento e': era ora! [*]
Ora ci manca solo la pace nel mondo e la prosperita' di tutte le genti, e
siamo a posto per il millennio venturo.:-)
[*] Tutti? avevo avuto notizie che ne chiudevano uno e se ne riapriva un
altro.:-)
In effetti, e' un po' che non provo a diventare un utinto per alcuni
secondi.;-|


secondi.;-|
mah, non so.
Non mi meraviglierei se fosse come hai detto :)


risultante dagli headers risulterebbe il server .. giusto ?
questo lo puoi fare con qualunque app di posta.
per gli hop, prova ad usre un remailer.
ciao
byez,
	      Alessio
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
http://skizzo.freeweb.org
  (U.C.)
  --< 
ski...@freeweb.org
 >--
  		ICQ: 6168664
   personal site: 
ftp://skizzo.dynip.com
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

 per gli hop, prova ad usre un remailer.
Risultano *comunque* gli hop... per non farli apparire dovresti
falsificare gli indirizzi ma non e' facile come tu possa pensare.


puppappera <vorrei....@non.lo.sono> wrote in message
373884b...@news.dada.it...

....basta che il server non permetta relay......e sei frefato lo stesso
frog

falsificare gli indirizzi ma non e' facile come tu possa pensare.
non ho molta esperienza in merito...
