Newsgroup: it.comp.sicurezza.windows
Titolo: Port scanning in locale??

Salve a tutti,
dalle prime connessioni al ritorno dalle vacanze, ho notato nel log del 
firewall (Kerio) una serie di voci che riferiscono di (presunti) 
tentativi di attacco attraverso TCP provenienti sempre da 
127.0.0.1:80
 e 
diretti a localhost:X, dove X e un numero di porta variabile, 
generalmente a 4 cifre. Mediamente ogni 5-10 secondi appare nel log una 
riga di questo tipo, con X sempre diversa.
Una sorta di continuo port scanning che il computer effettua su se 
stesso!...
Uso Windows 2000 SP4 e le uniche variazioni al sistema da prima delle 
vacanze sono state l'installazione delle varie patch di sicurezza, 
nonche della stessa SP4, durante l'estate. Ho naturalmente provveduto a 
dare una controllata con l'antivirus e con Adaware (aggiornatissimi 
ambedue) ma senza rilevare nulla di notabile.
Mi connetto con Alice ADSL flat.
Qualcuno mi puņ aiutare a fare luce sul "mistero"? Grazie...

 diretti a localhost:X
fai un salto su it.comp.sicurezza.varie e leggi il post che inizia con
[TUTORIAL]..
-- 
per leggere e postare su free.it.*:
http://infofreeit.altervista.org/polacco.zip

 
Grazie x la tempestività e per l'utile aiuto che mi hai dato :)
Ho letto il post, ma non è proprio limpida l'effettiva origine degli 
alert del firewall. Cioé, se ho capito bene non è detto che si sia 
infetti per avere gli alerts del firewall. Bene, ma se un firewall 
semplice semplice come Kerio "vede" un tentativo di connessione 
proveniente dalla macchina locale (perché 127.0.0.1 quello è) come è 
possibile che in realtà non sia proprio così? (e cioé la provenienza del 
pacchetto è esterna?).
Sono convinto di aver fatto un po' di confusione, ho capito tutto fino 
ad un certo punto, e quanto ho capito funziona nel caso di una macchina 
infetta dal worm, ma nel caso di una macchina non infetta (è così, no?) 
se la provenienza dei pacchetti è l'host locale (127.0.ecc.) ci dovrà 
pur essere un processo che si occupa di mandarli, no?
Grazie ancora x l'attenzione :)

 alerts del firewall.
da quanto ho capito io la faccenda funziona cosi':
blaster spara pacchetti contro winupdate spoofando la sorgente e poiche' 
winupdate viene risolto in 127.0.0.1 gli attacchi arrivano su localhost
porta 80 apparentemente da tanti ip diversi.
e' anche possibile che parta la risposta da localhost alla sorgente
fasulla quindi e' possibile che qualcuno riceva degli rst senza motivo
provenienti dall'ip esterno della macchina infetta.
quindi ricevere attacchi su 
127.0.0.1:80
 dovrebbe significare essere
infetti, se ho capito bene..


 infetti, se ho capito bene..
A bene  %-)
Vedo che cerchiamo di ragionare sulla stessa lunghezza d'onda e... credo che
non c'abbiamo capito molto ancora (ma qualcuno l'ha capito davvero??). Ho la
netta sensazione che nell'analisi del processo passo passo ci sia ancora ben
più di un passaggio poco nitido...
Ci sono due cose che voglio evidenziare:
- se il DNS risolve l'indirizzo mnemonico in 127.0.0.1 il pacchetto a
quell'indirizzo inviato non dovrebbe neanche uscire dalla macchina inviante,
in quanto diventerebbe essa stessa il destinatario.
- Come si spiega la ricezione di attacchi che seppure identificati come
provenienti da 
127.0.0.1:80
 proverrebbero da macchine remote? Non credo che
un pacchetto TCP possa avere un header che inganni un firewall facendogli
credere di provenire dalla macchina locale...
Mah...
Vedrai che poco a poco ce la faremo :-)
Ma non è che il Fabio Panigatti, autore del post "illuminante" su
it.comp.sicurezza.varie se la sentisse di intervenire in questo thread? Lo
chiedo umilmente e senza ironia, giuro :)
Comunque sempre grazie!
Ciao

Ah, si, scusami. Vedo ora che il mio nick č cambiato in Daneel. Sto
scrivendo dal computer di casa su cui uso questo nick. Dimentico sempre di
modificare quello (vecchio) sul posto di lavoro. Scusatemi ;-)

 firewall facendogli credere di provenire dalla macchina locale...
se po' fa anche questo.


 >>- Come si spiega la ricezione di attacchi che seppure identificati come
 >>provenienti da 
127.0.0.1:80
 proverrebbero da macchine remote?
 >
 >
 > blaster spoofa / cambia / muta / [ficca quel che gli pare] l'ip sorgente.
 > piu' chiaro?
 >
Ma per vedere i messaggi del firewall un computer deve essere infetto 
con il worm o no?
I miei dubbi stanno tutti lě: se ho il worm il procedimento che porta 
agli alert mi č abbastanza chiaro, ma se il mio computer č "pulito" (e 
ti assicuro che lo č, controllato anche a mano, oltre che con antivirus 
aggiornato) e oltretutto protetto da firewall ben configurato, come si 
spiegherebbero gli pseudo-attacchi da 127.0.0.1 ?
...Aspetta aspetta.. mi sta venendo in mente che io mi collego con IP 
dinamico assegnatomi di volta in volta dai server Tin... quindi lo 
stesso IP avrebbe potuto essere spoofato in precedenza e continuare a 
ricevere i pacchetti di loopback spediti da host infetti. Che ne pensi?

 con il worm o no?
mi fai venire il dubbio. che flag hanno i pacchetti loggati? (SYN? RST?)


 mi fai venire il dubbio. che flag hanno i pacchetti loggati? (SYN? RST?)
Piacerebbe anche a me saperlo, ma il firewall che uso (Kerio) non ha la
buona abitudine di scriverlo nel log :-(
Provengo dal "faccio tutto io che tanto tu non capisci" Zonealarm e finora
il Kerio mi piaceva abbastanza... Potrei provare con Outpost, qualcuno sa se
logga in maniera più completa?
Comunque... che dubbio ti stava venendo?

 Comunque... che dubbio ti stava venendo?
se il virus fosse sul tuo sistema dovresti loggare pacchetti da IP_SPOOF
verso localhost:80 con flag SYN e (eventualmente) da localhost:80 verso
IP_SPOOF con flag RST.
se il virus non fosse sul tuo sistema non loggheresti nulla con flag SYN
ma solo pacchetti RST il cui mittente ha ricevuto un attacco da un virus
blaster che aveva assunto il tuo ip. il dubbio e' se l'ip mittente degli
RST puo' essere 127.0.0.1 o se deve essere per forza l'ip esterno del pc
infetto.


 infetto.
Già, è proprio questo il mio stesso dubbio...
Ecco quello che dovrebbe accadere passo-passo:
1) il worm si trova in esecuzione su un host e tenta di risolvere 
l'indirizzo 
windowsupdate.com
;
2) l'host contatta il DNS;
3) il DNS gli risponde con l'IP 127.0.0.1
4) l'host quindi spedisce un pacchetto con flag SYN verso 127.0.0.1 
utilizzando come mittente un IP spoofato;
5) 127.0.0.1 (l'host stesso) risponde con flag RST, ma risponde all IP 
spoofato;
6) all'IP spoofato (nello specifico sarebbe il mio) arriva il pacchetto 
il cui header riporta come mittente 127.0.0.1, che però non è il vero 
localhost, ma solo quello che il firewall legge com IP mittente.
In effetti nel log di Kerio vedo come mittente sempre 
127.0.0.1:80
 e 
come destinatario localhost:x. Se l'"attacco" provenisse dal mio stesso 
computer dovrei vedere localhost anche come mittente, suppongo.
Se il punto 6 è possibile (l'uso come mittente di 127.0.0.1) il tutto 
sembrerebbe più chiaro.
Hai qualche idea sul perché i pacchetti arrivano sempre su porte diverse 
(>1024 e comunque a 4 cifre)? Forse vengono indirizzati sulla stessa 
porta dalla quale era partito l'attacco (punto 4)? La quale porta 
verrebbe di volta in volta cambiata dal worm..

 verrebbe di volta in volta cambiata dal worm..
questo te lo confermo.
