Newsgroup: it.comp.sicurezza.windows
Titolo: Problemi dalla porta 53!

Buongiorno a tutti,
ho un gravissimo problema: ho una macchina NT4 con SP6a e patch per RedCode
installate, che mi fa da DNS server. Da un po' di tempo succede che tale
macchina genera chiamate a IP completamente a caso, dalla porta 53 a porte a
caso anche quelle! Ovviamente il firewall blocca tali chiamate e mi genera
logs da quasi 20 MB!!!
Qualcuno di voi è a conoscenza di virus, attacchi, ecc. che abbiano questi
sintomi?
Vi ringrazio anticipatamente per le risposte.
--
Fabio

 logs da quasi 20 MB!!!
Controlla che non ci siano *altre* macchine infette da CodeRed in giro per
la LAN.
--
--
           ~~ ICQ#: 8761263 ~~ 
http://www.delymyth.net/
 ~~
            E-Mail Addy: DElyMyth [at] delymyth [dot] net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=
GnuPG Fingerprint: F6D3 E002 C55A 0B58 7BD4  70CE A69B CCFC 741D 3099

logs da quasi 20 MB!!!
Il DNS non e' in "forward only", perche' magari la patch ha resettato pure
le impostazioni del DNS, e anziche' chiedere tutte cose SOLO al tuo ISP si
mette a fare indagini DNS per conto suo.
Quand'anche una macchina interna fosse impestata da CodeRed, mi sembra che
la chiamata al DNS sarebbe o mascherata (e dunque > 53) oppure rigirata al
tuo DNS master (e dunque legittima, agli occhi del firewall).
Prendi un paio di quegli IP "completamente a caso" e postali. UN PAIO! :-)
Leonardo
P.S. Altra possibilita': sul tuo PC gira un portscanner, forse montato da
     qualche CodeRedMaster, che usa come source port la 53 dato che molti
     software (ah ah) firewall (uh uh) per Windows (ih ih) ignorano tutte
     le connessioni su 53/tcp e 67/tcp local.
-- 
ftp://warez.slashdot.com:12345
 - Warez for nerds. Stuff that matters.

 Prendi un paio di quegli IP "completamente a caso" e postali. UN PAIO! :-)
Vi posto un pezzo di log di Iris, installato su una macchina nella DMZ della
quale fa parte anche il DNS server:
812    13:1:18:460             IP         TCP->DOMAIN       195.31.240.65
203.208.128.70       60
  813    13:1:18:460             IP         TCP->DOMAIN      203.208.128.70
195.31.240.65       60
  814    13:1:18:460             IP         TCP->DOMAIN       195.31.240.65
216.35.167.58       60
  815    13:1:18:460             IP         TCP->DOMAIN       216.35.167.58
195.31.240.65       60
  816    13:1:18:790             IP         TCP->DOMAIN       195.31.240.65
64.14.200.154       60
  817    13:1:18:790             IP         TCP->DOMAIN       64.14.200.154
195.31.240.65       60
  818    13:1:18:790             IP         TCP->DOMAIN       195.31.240.65
212.78.160.237       60
  819    13:1:18:790             IP         TCP->DOMAIN      212.78.160.237
195.31.240.65       60
  820    13:1:18:790             IP         TCP->DOMAIN       195.31.240.65
64.78.235.14       60
  821    13:1:18:790             IP         TCP->DOMAIN        64.78.235.14
195.31.240.65       60
Tutte queste chiamate partono dalla porta 53 e arrivano su porte > 1024!
Qualche idea?
Fabio

 203.208.128.70       60
Considerato che il dns che io sappia va in udp e qui e' tcp, e consideranto
che sarebbe il dns a mandare in giro roba (di solito risponde a richieste,
non prende iniziative cosi' barbare)...
Mi sa che c'e' qualcosa che non va :(


 Mi sa che c'e' qualcosa che non va :(
I DNS usano anche TCP: per i trasferimenti di zona.
Alcuni attacchi decoy zone transfer lasciano tracce come questa.
Una cosa che non ho capito, però, è se la macchina NT in questione invia
richieste dalla porta 53 o le riceve sulla sua porta 53. Non ho mai usato
Iris ma il log mi sembra poco comprensibile e sicuramente molto carente nei
dettagli.
Fabio

... ooops scusate. Manca un pezzo.
E' importante, e non si capisce dai log, vedere il settaggio del flag SYN.
Se si tratta di traffico in ingresso (e non in uscita) e il flag SYN è a
zero potrebbe trattarsi di un noto e curioso metodo di load balancing
utilizzato da alcuni web server (si, sembra incredibile ma ...).
Fabio

Tutte queste chiamate partono dalla porta 53 e arrivano su porte > 1024!
Vorrei sapere come ***** si fa a sapere su quale porta arrivano, visto che
in questo accidenti di log non ci si capisce una bega.
Comunque, vedo due pacchetti soli che transitano; in TCP, significa che e'
stato inviato un SYN ed e' stato risposto con un RST, sempre, ricordo, che
non si sia in presenza di un portscanner (che potrebbe non rispondere agli
ACK).
Allora, mi e' venuto uno (1) dubbio.
Non e' che e' IL CONTRARIO?
Mi spiego.
195.31.240.65, e' un DNS, ed e' aperto a contatti dall'esterno (ho provato
adesso a chiedergli chi fosse "
www.tenet.it
" e ha risposto). Non e' che si
tratta di "semplici" accessi al DNS?
(o magari "non" cosi' semplici...)
Leonardo
