Newsgroup: it.comp.sicurezza.windows
Titolo: Sasser minaccia i server Windows

da 
http://www.sysadmin.it/pages/news/news.asp?ID=532
Si chiama W32.Sasser il worm che inizia ad imperversare su internet e
che sfrutta una vulnerabilità coperta dalla patch MS04-011
recentemente rilasciata da Microsoft. Il Worm presente iin piu'
varianti sfrutta in particolare la vulnerabilità Local Security
Authority Subsystem Service (LSASS) mandando in buffer  overflow il
servizio e permettendo di eseguire codice remoto sulla macchina
infetta con i privilegi di local system account.
SysAdmin.it aveva già anticipato qualche giorno fa' la presenza di un
exploit in rete per una i delle 14 vulnerabilità  coperte dalla patch
MS04-011 rilasciata da Microsoft il 13 Aprile scorso
http://www.sysadmin.it/pages/news/news.asp?ID=517
;
per chi non l'avesse gia' fatto occorre quindi  installare
urgentemente la patch di cui sopra ed aggiornare le signature dei
propri software Antivirus.

 che sfrutta una vulnerabilit? coperta dalla patch MS04-011
Si, molto bello.. ora smettila di multipostare.
-- 
Due scopettoni per domarli, un detersivo per lavarli e nel cesso scaricarli

sp1dEr ha scritto:

Patchare e usare un FW va benissimo. Ancora meglio sarebbe chiudere la 
porta 445, assolutamente inutile per chi non abbia esigenze di 
condividere drive o cartelle con altri computer su una rete (ovvero la 
quasi totalita' degli home users).
Chiusa la 445, il Sasser e compagni adanzante non dara' piu' fastidio 
anche senza AV, FW o patch. Un po' come la chiusura della porta 135 
teneva lontano il Blaster.
Per inciso, mi sembra che gli utenti infostrada abbiano la 445 e la 135, 
bloccate d'autorita' dal Provider.

  Per inciso, mi sembra che gli utenti infostrada abbiano la 445 e la 135,
bloccate d'autorita' dal Provider.
Avendo infostrada come utenza telefonica e l'ADSL Wind, posso togliere
tranquillamente lo sbarramento di filo spinato e sacchetti di sabbia dal PC?
Saluti
Koll Kurtz
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

bloccate d'autorita' dal Provider.
Non ti sembra, E'.
Non ti dico le robacce che ho detto passando da un collegamento DIALUP
con libero, alla ADSL di telecom, con libero, non ho mai avuto bisogno
di un FW, ora con telecom, non provo neppure ad accendere il PC se non
ho il FW attivato.
Ciao

 bloccate d'autorita' dal Provider.
[snip]
Anche Tiscali, evidentemente. Sto scrivendo da un sistema W2K non patchato e
senza FW, e non ho ancora visto Sasser.
Ciao.

quasi totalita' degli home users).
come si chiude la porta?

Koll Kurtz ha scritto:

Si, confermo 135 e 445 stealth come la 21 (mail server) e qualcos'altro. 
Dagli exploit piu' noti sei gia' difeso di default.

alberto ha scritto:

Vai su 
http://www.uksecurityonline.com/husdg/windows2000/close445.htm
Utilizza il secondo metodo, via regedit.
L'installazione di XP lascia aperte un mare di porte, tutte da chiudere 
se non si utilizza il proprio PC come server o all'interno di una LAN.
Sfrucugliando con i servizi si chiudono tutte meno la 135, 445 e 1025.
Per queste ultime 3 bisogna mettere mano al registry.
Una volta chiuse tutte le porte si puo' fare a meno dei firewall e ci si 
scorda dei worms.

 Per queste ultime 3 bisogna mettere mano al registry.
Ho scorso un po' quel sito. Volevo chiudere la 135 e la 1025
disabilitando i servizi DCOM. Però non riesco a trovare la voce
corrispondente, dato che il mio XP Pro è in Italiano.
Sai come posso fare?
-- 
Quem plantar a paz, vai colher amor
Um grito forte de liberdade
Na Estação Primeira ecoou!


perche' ?
non puoi chiuderle col firewall ?
ciao

 non puoi chiuderle col firewall ?
Tu lasci la porta di casa aperta, perche' tanto c'e' il cancello del
cortile chiuso?
A parte gli scherzi, porte aperte=programmi in ascolto.
Programmi in funzione inutilmente= consumo risorse e possibili bachi.
Se puoi far andare solo cio' che ti serve, e niente altro, a me sembra
un vantaggio.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 Sai come posso fare?
Per la 135: 
http://www.uksecurityonline.com/husdg/windows2000/close135.htm
Per la 1025 devi chiudere il servizio task manager (in italiano dovrebbe 
essere *gestione applicazione*)

 Per la 135: 
http://www.uksecurityonline.com/husdg/windows2000/close135.htm
È che nella lista dei servizi DCOM non lo vedo.


 È che nella lista dei servizi DCOM non lo vedo.
Infatti DCOM devi abbatterlo dal registro di sistema o con una opportuna
utility (docambulator) che trovi su 
www.grc.com

 utility (docambulator) che trovi su 
www.grc.com
La sua rimozione che ripercussioni avrebbe sulle applicazioni che girano
sul pc? Nel senso, io ho diversi programmi che non so se *hanno bisogno*
di DCOM, non vorrei fare casini irreparabili.


 di DCOM, non vorrei fare casini irreparabili.
Puoi stare tranquillo nel 99,99% dei casi. Comunque come con ogni 
servizio di XP, puoi sempre fare una prova e riattivarlo se necessario 
(con un click se utilizzi l'utility di cui sopra).

In data Sat, 08 May 2004 09:29:14 GMT, in it.comp.sicurezza.windows hai
scritto:

Ok, grazie.
