Newsgroup: it.comp.sicurezza.windows
Titolo: w2k - file di \sistem32 cerca di connettersi ad un server Tin - Come mai?

Il FW che utilizzo, Tiny Personal FW, mi segnala un tentativo di un intruso
(da tale IP:62.211.28.248   -   
r-ge028-8-248.tin.it
 ) di connettersi al
file "d:\winnt\system32\lsass.exe" spedendo dei pacchetti UDP sulla porta
500.
Lo blocco e tutto continua a funzionare come prima sul mio w2k.
Ma ora mi chiedo come sia possibile che una macchina connessa sulla rete TIN
di Genova voglia comunicare con un file di sistema della Microsoft sul mio
PC.
Ho trovato argomenti al riguardo che parlano della possibilità, tramite un
bug di w2k, di ricevere la password dell'amministratore della macchina
tramite questo file ( lsass.exe ).
Se qualcuno sapesse dirmi a cosa serve questo file e fino a che punto posso
fidarmi di questo genere di connessioni gli sarei veramente grato. Sicuro
che io non abilito connessioni ad IP che non conosco.
NetRunner
TPC free!

 tramite questo file ( lsass.exe ).
Non e' possibile. Per quel servizio su win2k esiste un DoS a consunzione
di risorse (%CPU) ma sono necessari almeno 10 Mbps perche' l'attacco sia
efficace e ancora di piu' se la macchina target non e' una ciofeca.
Dubito, comunque, che possa trattarsi di un (maldestro) tentativo di DoS.
Piu' facile che si tratti effettivamente una richiesta IKE dovuta ad una
cattiva configurazione della macchina al 62.211.28.248 (che sembra win2k)
o della tua (cosa stavi facendo in quel momento?).
Forse uno dei due ha configurato delle policy IPSec che hanno "matchato"
del traffico intercorso tra le due macchine e che hanno forzato l'inizio
di una sessione IPSec. Quale traffico ci fosse, pero', lo puoi sapere tu
soltanto (e/o lui).
Fabio

 ha scritto nel messaggio
news:4nQa8.18519$tv6.4...@twister1.libero.it...


 risultato?
Nessuno apparente: la comunicazione sarebbe caduta, perche' ti manca la
loro chiave (suppongo>;)) e perche' lo scanner, a quel punto, aveva gia'
resettato la sessione TCP.
E pensare che ritenevo che tu fossi preoccupato perche' qualcuno voleva
entrare nella tua macchina: sembravi quasi innocente quando ti chiedevi
come mai da Genova dovessero arrivarti dei pacchetti!
Piuttosto non e' escluso che ti arrivi anche qualcos'altro: che so' ...
dall'abuse del tuo provider, ad esempio >:7
Fabio

 dall'abuse del tuo provider, ad esempio >:7
Mi sembra un po esagerato, che abuso avrei fatto?
Forse una richiesta informazioni, non sono poi così preparato sulla legge in
merito ma non penso di dover essere ripreso a questo punto.
E poi è sempre tutto a scopo educativo non posso difendermi da un attacco se
non ho mai provato a fare un SYN scan. ;-)
Grazie di tutto, prometto che ogni informazione reperita non sarà mai usata
per danneggiare nessuno ma solo per difendere.

merito ma non penso di dover essere ripreso a questo punto.
Non si tratterebbe di reati contemplati da leggi, ma di net abuse.
Questo quello che dice tin: 
http://help.virgilio.it/guide/dettaglio.jsp?id=3162&step=3422
-- 
Lapalissiano
Icq 57269703


si ma io non ho fatto nessun attacco, anche perchč non ne sono capace.

si ma io non ho fatto nessun attacco, anche perchè non ne sono capace.
Hai ragione che e' una stronzata (in primis perche' a creare un log di
firewall taroccato non ci vuol niente), ma non mi sembra facciano
tante distinzioni... lIMHO leggendo fra le righe ti dicono: se e'
stato un attacco vero o hai avuto danni rivolgiti alla polizia
postale, se e' un portscanning rivolgiti a noi.
-- 
Lapalissiano
Icq 57269703

 merito ma non penso di dover essere ripreso a questo punto.
Non e' un problema di legge ma di regolamenti. In particolare quello che
tu hai accettato alla sottoscrizione dell'abbonamento con il provider, a
pagamento o gratuito che sia. In modo piu' o meno esplicito prevedono un
impegno da parte del'utente a mantenere certi comportamenti in merito al
traffico genrato e, normalmente, il portscan non e' un comportamento che
viene considerato accettabile: se ci fosse una segnalazione a tuo carico
da parte di qualcuno tin potrebbe anche segarti l'account per il mancato
rispetto del regolamento d'uso. E' già successo, anche se non alla prima
segnalazione: prima magari vieni avvertito e diffidato.
Altro discorso e' quello penale, in cui non c'e' ancora chiarezza.
Da quello che ho capito da diversi recenti scambi di opinione lo scan in
se non costituisce reato ma potrebbe configurarsi come atto preparatorio
o tentato accesso qualora inserito in un certo contesto di azioni.
Fabio

Insomma raga vediamo di capirci, più che di normative e di policy il
problema è il buon senso.
Non penso che i bit della mia scansione in mezzo a Trojan e attacchi vari
siano un grosso problema, io penso che chiunque ragioni un attimo si accorga
che una scansione fine a se stessa non sia nulla difronte a tutto quello che
c'è in giro. Voglio dire che chi è preposto a controllare il traffico TCP/IP
dovrebbe dare un'occhiata a cose ben più preoccupanti e dannose e non mi
sembra che il lavoro sia poco.
In tutta sincerità chi di voi non ha mai fatto uno scan ?
E comunque il mio problema è questo, quando per vari motivi la mia macchina
cerca di connettersi ad un'altra, come faccio a capire dal numero di IP se è
trust?
Pensavo che uno scan fosse uno dei modi consentiti per conoscere chi mi
offre un servizio o chi mi richiede informazioni, attraverso lo scan posso
reperire semplicemente informazioni per conoscere chi ho difronte.
Ripeto, non sono un lammer ne un haker ne un wannabe, semplicemente cerco
d'imparare a difendermi e sopratutto a conoscere chi interagisce con me
sulla rete. Sapete benissimo che l'ignoranza e il menefreghismo in queste
cose fanno diffondere i virus in rete, se tutti prima di autorizzare una
connessione o prima di aprire un allegato si ponessero la domanda: " ma chi
mi contatta è affidabile?" forse la propagazione di certi problemi sarebbe
di gran lunga più limitata.
Apprezzo moltissimo i chiarimenti che mi state dando e li ritiro per il
futuro.
Buona giornata a tutti!

 futuro.
Prova anche a cercare su it.diritto.internet: c'e' un lunghissimo
thread sull'eventuale illegalita' dei portscan. Sono, ovviamente,
tutte opinioni personali degli autori dei post, specie perche non
c'e' una giurisprudenza consolidata a cui fare riferimento.
A volte e' un po' ripetittivo ma, comunque, puo' dare qualche per
riflettere.
Ciao
Fabio

Infine va tenuto presente che per quanto riguarda eventuali azioni di
hackeraggio segnalate da terzi, Tin.it potrŕ agire solo dietro segnalazione
da parte dell´autoritŕ giudiziaria. TRATTO DA
http://help.virgilio.it/assistenza/dettaglio.jsp?id=3157&padre_id=3020
comuqnue ti espongo il punto 6 della netiquette di tinit:
non condurre "guerre di opinione" sulla Rete a colpi di messaggi e
contromessaggi: se ci sono diatribe personali, č meglio risolverle in forma
privata via posta elettronica tra gli interessati;
e concludo dicendo che sul port scanning non dice proprio niente, parla di
virus spamming ecc ma non di questo.
Ciao

 privata via posta elettronica tra gli interessati;
Ti stai riferendo a questo thread? Non mi sembra una guerra di
opinione. E' uno scambio di idee (quasi) argomentato, OT e su
un tema molto attuale. E non e' una diatriba personale, visto
che io non ho alcun interesse personale nel portarla avanti.
Fabio

 opinione. E' uno scambio di idee (quasi) argomentato, OT e su
[...]                                                  ^^^^
Oooops... ovviamente intendevo dire IT :)
Aa... a proposito: il post dello studiocelentano che ho appena
visto mi ha fatto venire in mente un lor oarticolo di cui ti
do il link: io non sono d'accordo con la loro interpretazione,
come ho gia' detto in altre sedi, ma...
http://www.studiocelentano.it/editorial/fasano_030301.htm
Fabio

 
http://help.virgilio.it/guide/dettaglio.jsp?id=3162
Parla di attacchi non di port scanning, un attacco diventa tale quando si
cerca di accedere ad una macchina. Effettivamente la linea di confine è
sottile, penso che lo scanning sia comunque il passo precedente all'attacco,
ma se mi fermo non effettuo nessun attacco. Sto comunque cercando altre
informazioni sul regolamento della tin ma mi sembra che il sito sia un po
scarso di notizie specifiche. Volevo quindi scrivere una richiesta via
e-mail al personale preposto che però non ho ancora individuato, forse
ab...@tin.it
 ???
Chiedendo a loro tagliamo la testa al toro e vediamo se si può oppure no!
A questo punto sono diventato curioso.
Cya

 A questo punto sono diventato curioso.
Questa e' un'ottima idea. Posta un sunto della risposta, magari. Il
problema e' che mi sembra di avere capito che loro, di solito, non
rispondono neanche alle segnalzioni di abuso. Spero che tu sia piu'
fortunato con la tua richiesta.
Fabio

 fortunato con la tua richiesta.
Finalmente ho avuto una bella idea ... non pensavo me lo avessi mai detto.

 non pensavo me lo avessi mai detto.
Sei un pessimista :)
Fabio