Newsgroup: it.comp.sicurezza.windows
Titolo: Ho una backdoor

Credo di avere installata nel sistema una backdoor.
Facendo dalla finestra dos netstat -a mi compare la porta 12345 (che se non
sbaglio č quella del netbus). Ultimamente non ho accettato files da nessuno,
č possibile che qualcuno lo abbia inserito nel sistema senza che io me ne
accorgessi?
Esiste forse qualche programma che infila files di nascosto nei sistemi?
Ho notato anche un'altra porta in ascolto, la 1720, cos'č? a che serve? ed
eventualmente come faccio a chiuderla?

Esiste forse qualche programma che infila files di nascosto nei sistemi?
...
Si vocifera che alcuni siti (crack, ...) abbiano degli script in apertura di
pagina che mandano programmi per backdoor.
Non so se è vero, ma sicuramente è una gra brutta coosa !! :-(
Alex

Claude
ho anche io lo stesso problema, qualcuno puň essere tanto gentile da
dirmi come si elimina NETBUS e , piů in particolare come chiudere una
porta aperta. ( che non compare nel file service ) 

dirmi come si elimina NETBUS
la via piu' semplice e' utilizzare un antivirus.
Altrimenti bisogna farlo a mano, ma non ho voglia di spiegare la
procedura, se il problema puo' essere risolto piu' velocemente e
semplicemente.
un Buttha che gne a fa piu'
-----------------------------------------------------------------------
* Per rispondere rimuovere i
* PGP Key: RSA & DH/DSS
* Questo non e' un omaggio a Magritte
-----------------------------------------------------------------------

...


On Sat, 13 Mar 1999 15:05:24 GMT, 
nex...@geocities.com
 wrote:
vi ringrazio per la vostra pazienza.
il brutto della Microsoft è che negli help non mette mai le
cose che sono veramente utili.
:)

 porta aperta. ( che non compare nel file service )
Il metodo e' il solito. Senza essere collegato chiudi tutti i programmi
compresi quelli eventualmente presenti nella tray-bar (le iconcine vicine
all'orologio). Poi apri una finestra DOS, scrivi netstat -na e batti Invio.
Fai la stessa cosa dopo essere stato collegato. Se vedi righe strane che
terminano con la parola LISTENING cerca di capire che programmi possono
esserne responsabili. Esamina il menu Avvio (o Start) -> Programmi ->
Esecuzione Automatica, e vedi cosa c'e'. Se sei pulito, passa a esaminare il
registro.
Avvio (o Start) -> Esegui, scrivi regedit e batti invio. Nei rami
HKEY_CURRENT_USER, HKEY_USERS/.Default (o quello del tuo utente) e
HKEY_LOCAL_MACHINE cerca la chiave
Software/Microsoft/Windows/CurrntVersion
e controlla tutte le chiavi che iniziano con Run (Run, RunOnce, ecc.; possono
essercene diverse). Li' ci sono i programmi che partono all'avvio di Windows.
Cerca di capire se e' tutto regolare, eventualmente prova a cancellare chiavi
"sospette". Per Netbus, ecco i dati di default, presi dalle mie FAQ:
Name:   Netbus          1.60    S.O. :Win95,Win98,WinNT
Ports:  12345&12346(TCP)
Reg Key:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\PATCH
Value:  C:\WINDOWS\PATCH.EXE     /nomsg
File:   C:\WINDOWS\PATCH.EXE    (472.576)
Note: non e' detto che il server si chiami patch.exe!!!! Quindi file e
chiave di registro variano a seconda... altri esempi: splat1, explore,
pamela, webaccel, icqupdate,... e molti altri!
In generale, ricorda che una porta e' aperta solo se c'e' un programma che la
apre, quindi devi avere sempre sotto controllo i programmi in esecuzione. Un
modo e' usare WinTOP dei Kernel Toys, o AVP System Watcher. Il secondo ti
permette di ammazzare anche processi "di servizio" (Paolo, come sta la
versione 2.0?).
Ciao, Max.
-- 
Emma for President: 
http://www.emmaforpresident.it/
--ICQ: 14816698---Campagna NOTUT: 
http://www.notut.cjb.net-----
Home Pages: 
http://www.agora.stm.it/M.Baldinelli/home.htm
 
http://www.tifonet.it/free/ancona/index.html
 
M.Bald...@agora.stm.it
---------------------------------------------------------------

permette di ammazzare anche processi "di servizio" 
Ciao. Mi sono accorto che anche io ho una porta in listening.
Alle volte e' la 1053, alle volte la 1043...Anche dopo il
collegamento.
Ora, c'e' da dire che ho appena installato un firewall (il conseal per
Windows) che, durante il netstat -na  ho prontamente chiuso, come
tutti gli altri programmi che avevo attivi...
Ho usato il system watcher killando quasi tutti i processi (dico quasi
perche' sono arrivato a bloccare il win95 Osr2.1), ma niente...quella
cavolo di porta rimane in listening.
Puo' essere che il firewall, o qualche programma non la chiudano,
nonostante vengano killati?
Ho provato anche a collegarmi senza il firewall e a controllare...
Porta 1043 in listening...:-/
Mi sfugge qualcosa?
(((-Alinox-)))
_______________________________________
Per rispondere in M)box togliere NOSPAM

collegamento.
e prima?
Ogni tanto, winzozz non chiude porte che sono state utilizzate.
Buttha


Ogni tanto, winzozz non chiude porte che sono state utilizzate.
Sai per caso per quale motivo?



non per niente si chiama winzozz
See Ya Soon,   
Frankj 
ICQ# 15068478 
e-mail:ihav...@usa.net
--------------------------------------
Pizzairc - #pizza Home Page
http://www.chez.com/pizzairc
--------------------------------------

non per niente si chiama winzozz
risposta esemplare :)


 Software/Microsoft/Windows/CurrntVersion
Ovviamente e' Software/Microsoft/Windows/CurrentVersion
              _______________________________^

Claude

Scusate l'intrusione, ma l'argomento e quantomai interessante.
A me netstat -a da:
Active Connections
Proto  Local Address                      Foreign Address        State
TCP    mycomputer:1025          MYCOMPUTER  :2300       LISTENING
TCP    mycomputer:137            MYCOMPUTER  :10373     LISTENING
TCP    mycomputer:138            MYCOMPUTER  :27780     LISTENING
TCP    mycomputer:nbsession   MYCOMPUTER  :58501     LISTENING
UDP    mycomputer:1025               *:*
UDP    mycomputer:nbname           *:*
UDP    mycomputer:nbdatagram     *:*
Che cosa sono quelle porte????
Non le trovo neanche nel file services!
Qualcuno sa spiegarmi perchè sono aperte.
                                Grazie fin d'ora.
                                        ZaPp-er