Newsgroup: it.comp.sicurezza.windows
Titolo: il vermaccio si e' insinuato

Ciao a tutti,
il msblast.exe alias penis32.exe alias chissa'_in_futuro.exe m'ha
"infettato" il so.
navigo su internet come utente limitato, leggo mail in formato txt e tanto
per gradire non attivo l'anteprima.
E mi ha contagiato........
Mi rendo conto che non si tratta di un virus ma pensavo che gli worm fossero
una minaccia per server bacati non per workstation con compiti client......
Come si propaga? Non ho capito granche' bene leggendo i vecchi post.
Se un programma automaticamente tramite scansioni sistematiche dei pc in
rete riesce a iniettare codice eseguibile in una macchina windows xp (che
non ha server installati ma soltanto servizi di sistema di default su OGNI
macchina windows xp) *semplicemente in rete* senza che l'utente ingenuo di
turno si occupi personalmente di eseguire (consapevolmente o meno) codice
malevolo, figuriamoci la facilita' con cui un programmatore di rete
minimamente svezzato potrebbe estrappolare dal codice del worm l' exploit
per fare i suoi porci comodi nel computer del vicino di casa (di vicini di
casa vulnerabili ce ne sono a iosa dato che l'applicazione delle patch sono
prerogativa solo degli amministratori di server, e neanche poi cosi' tanto
dati i risultati che si sentono)
E' una preoccupazione fondata?

 E' una preoccupazione fondata?
Ebbene si. E tutto perchè manca uno stupido check in una fottutissima 
casellina. Firewall, è la parola magica. 
E io francamente non capisco. Sto facendo delle prove, e ogni tentativo 
di creare una nuova connessione (sia modem, che banda larga) mi da il 
firewall attivo di default... 

 suoi porci comodi nel computer del vicino di casa
l'exploit e' noto da un pezzo e non c'e' bisogno di esaminare il virus:
trovi tutto ben documentato in giro per la rete e tutto quel che ti tocca
fare e' lavorare un po' sullo shellcode per creare il tuo virus "custom"
in realta' pero' questo virus colpisce solo gli sprovveduti che non hanno
le minime misure di sicurezza. windows sara' pure un colabrodo pero' basta
proprio poco per mettersi al riparo da questa e da altre sciocchezze pur
continuando ad utilizzare windows. in questo caso sarebbe bastato avere un
firewall (funzionante) e configurato per droppare connessioni in ingresso
(=configurazione adatta a tutti i client di 'sto mondo) senza bisogno di
mettere nessuna patch o di documentazione. c'e' gente che non sapra' mai
dell'esistenza di questo worm per questa banale misura ormai assolutamente
necessaria [*].
alla fine della fiera: non usi firewall, antivirus o tool per la rimozione
di trojan, spyware, cazzi e mazzi? o non usi windows o sono cazzi tuoi.
[*] almeno su windows che di default ha un pacco di servizi aperti che
meta' basterebbe.
-- 
Even Homer Simpson wouldn't run his nuclear power plant from a Windows
XP computer
    - Graham Cluley senior technology consultant for Sophos Anti-Virus

 casellina. Firewall, è la parola magica.
Ma cmq come worm e' un po' un fiasco....a che serve e come si puo'
diffondere molto se denuncia la sua presenza con addirittura il riavvio
dichiarato della macchina?

 di trojan, spyware, cazzi e mazzi? o non usi windows o sono cazzi tuoi.
Come gia' detto da Vincent Vega, XP abilita di default il firewall sulle
connessioni remote.
Quindi, una macchina XP non smanettata non si infetta con msblast.
Chi sa disabilitare un firewall o sa cosa sta facendo o e' come chi
disattiva l'antifurto della macchina e la lascia aperta.
Ok, e' colpa di M$ che ha programmato male un servizio attivo di default.
Ma e' anche colpa di chi disabilita altri servizi attivi di default
senza sapere cosa sta facendo.
-- 
   => Don't Let Your Fears Stand in The Way of Your Dreams !!! <=
 
http://www.delymyth.net/
 ~~ 
http://www.delymyth.net/DElyMyth.asc
 ICQ: 8761263 - MSN: 
dely...@msn.com
 E-Mail: 
DEly...@delymyth.net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=

 connessioni remote.
il problema e' che quel fw pare rendere inutilizzabili alcuni (o tutti) i
p2p che come ben si sa sono un servizio di particolare interesse proprio
per gli utenti home che cadranno vittima di questo worm.
IMHO il principale problema di sicurezza di windows e dei prodotti ms in
generale prima ancora dei numerosi buchi e servizi farlocchi sta proprio
nell'impossibilita' per l'utente medio di percepire il pericolo di certe
scelte e l'automatismo con cui vengono accettate e proposte (pure il piu'
solido dei bsd diventerebbe un colabrodo con un vandalo alla tastiera!).
al secondo posto c'e' la difficolta' oggettiva di conoscere come far
fronte a certe difficolta': "col fw non scarico mp3.. se lo disattivo mi
bucano.. che faccio?".
con tutte le cazzate infilate a forza in quel sistema avrebbero potuto
investire un minimo in questo aspetto.


 riavvio dichiarato della macchina?
Consideriamoci MOLTO fortunati. E non solo per questa ragione.

 per gli utenti home che cadranno vittima di questo worm.
Questo si è il problema.
Ma come dimostra il messaggio a cui ho risposto prima, i personal firewall 
sono comunque delle bombe ad orologeria. I controlli di accesso a livello 
applicativo portano all'equivoco ricorrente che si debbano autorizzare i 
programmi "amici" e bloccare i programmi "cattivi".
Ciò comporta che quando il firewall chiede "Il programma SCVHOST ha chiesto 
di mettersi in ascolto su internet: autorizzi?" la gente ci pensa un po' ma 
poi risponde SI. Il risultato è che poi il fw è un inutile fardello sulla 
macchina e l'utente pensa pure che è stato bucato.

 programmi "cattivi".
questo spiegherebbe perche' alcuni riportano infezioni nonostante il
firewall in effetti.
