Newsgroup: it.comp.sicurezza.windows
Titolo: network agent e icq - intrusione?

ciao a tutti
ieri sera stavo su icq e improvvisamente mi arriva un url con una rosa e con
scritte le solite str....cose sull'amicizia e sull'amore...vado a vedere chi
me la manda...una certa/o  xxxxxx....le cui info non specificano niente
....non rispondo e mi arriva un mex, quindi mi ha crackato
l'autorizzazione...ma e' una cosa legale?....
Vabbe'...io gli rispondo...e lui/lei non mi risponde piu'...l'hard disk
inizia a girare a scatti regolari.....e gira.....chiudo icq e vado a vedere
network agent che mi da' questo:
  ### Statistiche generate il giorno lunedě 7 febbraio 2000 alle ore 0.01.56
---- Connessione 3 di 8:
Protocollo          : TCP
Indirizzo locale    : 
xxxxx.tin.it:5000
Indirizzo remoto    : 
hrv0178-1.dial.wxs.nl:1061
Stato               : TIME_WAIT
ecco...questo deve essere lui...ehmmm..lei....boh??!!!
---- Connessione 4 di 8:
Protocollo          : TCP
Indirizzo locale    : 
xxxxx.tin.it:5000
Indirizzo remoto    : 
que2d29.dial.uniserve.ca:1462
Stato               : TIME_WAIT
oppure e' questo???..io non ci capisco..aiuto!!!!...
                             --- Statistiche TCP ---
tcpRtoAlgorithm     : 4
tcpRtoMin           : 300
tcpRtoMax           : 240000
tcpMaxConn          : 4294967295
tcpActiveOpens      : 142
tcpPassiveOpens     : 3
tcpAttemptsFails    : 0
tcpEstabResets      : 44
tcpCurrEstab        : 0
tcpInSegs           : 11780
tcpOutSegs          : 7993
tcpRetransSegs      : 76
tcpInErrs           : 2
tcpOutRsts          : 135
                             --- Statistiche IP ---
ipDefaultTTL        : 128
ipInReceives        : 12405
ipInHdrErrors       : 0
ipInAddrErrors      : 3
ipForwDatagrams     : 0
ipInUnknownProtos   : 0
ipInDiscards        : 0
ipInDelivers        : 12405
ipOutRequests       : 8710
ipOutDiscards       : 0
ipOutNoRoutes       : 0
ipReasmTimeout      : 60
ipReasmReqds        : 0
ipReasmOKs          : 0
ipReasmFails        : 0
ipFragOKs           : 0
ipFragFails         : 0
ipFragCreates       : 0
                             --- Statistiche UDP ---
udpInDatagrams      : 613
udpNoPorts          : 12
udpInErrors         : 0
udpOutDatagrams     : 629
...io vorrei chiudere la porta 5000...ma non sono capace....ma possibile che
non esista un semplice comando per chiudere qualcosa di non
desiderato?????!!!!!!....vabbe' lo dico nella mia ignoranza...cosi' tolgo
l'alimentazione dal modem....ma
oramai l'HD aveva girato....
Lui/lei non richiedeva autorizzazione per essere aggiungo alla lista di
amici, quindi adesso e' nella mia lista di
amici...:-)))....pero'...presuppongo che sara' sempre invisibile....e non ho
ancora le capacita' per crackare l'invisibilita', inoltre, quando vado a
vedere le info...non appare il suo ultimo ip...cosa che invece succede con
tutti gli altri....quindi e' uno/una che se ne intende...:-(
Che dite?...sono in troubles???...e dire che avevo formattato due ore
prima...per la seconda volte in due giorni....sob
grazie claudio

 cut
mah??!!!....sono andato adesso a rivedere le sue info..e i dati ci
sono...mah??!!!....resta pero' il fatto di quel giramento di HD...
ciao

 l'autorizzazione...ma e' una cosa legale?....
raggirare l'autorizzazione e' un'operazione banale. Non servono dei
superpoteri per farlo. Addirittura, il mio client linux per icq non
prevedeva la richiesta di autorizzazione.
ciao
Buttha
-- 
* Per rispondere in email rimuovere una i dall'indirizzo
* 
http://members.xoom.it/buttha/
* Attenzione: i paranoici vi spiano!

   ### Statistiche generate il giorno lunedì 7 febbraio 2000 alle ore


 stato fatto.
mmmm..innanzittutto grazie per il bellissimo sito..dunque cosa puo' essere
successo?.dunque:
1 - ha fatto una ricerca casuale sugli utenti on-line
2 - ha usato ICQ_SOURCE_UNI_SPOOFER e  quindi si e' mascherato dietro un UIN
che non c'entrava niente
3 - mi ha crakkato l'autorizzazione con AUTH_BY_PASS99
4 - ha usato ICQ_HIDDEN_IP_UNHIDER e ha visto il mio IP
5 - ha usato ICQ_PORT_SCANNER e mi ha visto le porte aperte
6 - puo' aver usato ICQ_TROGEN e quindi aver downloadato tutti i file che
voleva
7 - puo' aver usato ICQR_INFORMATION_V.O.6BETA e quindi aver downloadato i
file .dat di icq.quindi essere a conoscenza dei miei amici e dei discorsi
fatti con loro...per fortuna che digito la password ogni volta che mi
collego
e' giusto?
Cosa potevo fare io?..vediamo:
1 - potevo usare RANDOM_PORT_CHANGER oppure WARFORGE_ICQ_PROTECTION_PACK
contro attacchi remoti che mi apre 6 porte in listening con la possibilita'
di cambiarle per confondere gli sniffer, ma non avete sempre detto che
bisogna chiudere tutte le porte?
2 - potevo usare ICQ_HIDDEN_IP_UNHIDER e prendere il suo IP.oppure prendevo
solo l'IP spoofato???
3 - potevo usare ICNEWQ o ICQ_FUCKER o X-forces_ICQ e crashargli ICQ
4 - potevo floodarlo con ICQ_BOMBER98, ma avrebbe risposto con ICQ D-flood
cancellando tutti i mex in arrivo
ma.un momento..se lui era in spoofing avrei crashato il pc di uno che non
c'entrava niente????
Allora?? Com'e' la faccenda???.quante cose ho dette giuste e quante
sbagliate?....prima di aver consultato questo sito non sapevo niente di
niente.
Voi come vi comportate??.quando uno vi crakka l'autorizzazione passate
subito al contrattacco?
Devo formattare?
Grazie a tutti per le risposte
claudio

 Prova a dare un'occhiata a 
www.neworder.box.sk
 e ti renderai conto
ho scaricato il file x-forces icq exploit ver 1.0.
E' un file chiamato XICQ.zip
L'ho decompresso e messo in una cartella, e' formato da 5 file
1 - Xicq.exe
2 - uins.exe
3 - uinip.exe
4 - icqport.exe
5 - icqcrash.exe
ebbene...l'antivirus mi ha subito avvisato che il file uins.exe era infetto
dal virus trojan win32. icqflood.
Ho lanciato lo scan e ho cancellato il file.
Devo cancellare anche XICQ.ZIP?
Spesso sento parlare di falsi allarmi...voi che siete molto ma moooltooooo
piu' esperti di me, cosa dite?
claudio

 wrote in message 87vhhp$8te$2...@nslave1.tin.it...

Nella mia ignoranza mi viene subito in mente un bel file silkroppato (quindi
un trojano imboscato!)..., ma faccio parlare agli esperti...
ciao ciao...!

 piu' esperti di me, cosa dite?
I falsi allarmi sono qualcosa di diverso, li l'AV pensa di aver trovato
qualcosa che invece non c'e'. Nel tuo caso (e nel mio) non e' un falso
allarme, perche' i file che l'AV segnala sono effettivamente quelli che lui
considera pericolosi. Solo che non sono li' a nostra insaputa, ma questo l'AV
non puo' saperlo...
(*)
Max che "comunque non ci provate, eh? Non vi conviene..."
-- 
* Hi! I'm a .signature Virus ! Copy me to your sig. to help me spreading ! *
----------------------------------------ICQ: 14816698----
Home Pages: 
http://www.agora.stm.it/M.Baldinelli/home.htm
 
http://www.tifonet.it/free/ancona/index.html
 
M.Bald...@agora.stm.it

 (giustamente, dal suo punto di vista) li segnala.
ho capito, l'AV contiene in memoria i nomi dei file da guerra conosciuti e
giustamente li segnala...ma.....un momento...X-force ICQ e' un programma che
serve a : crash, spoof, check and sniff....cosa mi sta segnalando
l'AV?...che il pgm uins.exe e' un trojan oppure che contiene un trojan?
ciao
claudio

 l'AV?...che il pgm uins.exe e' un trojan oppure che contiene un trojan?
Che al suo interno c'e' un pattern contenuto nel suo archivio di "firme" di
programmi pericolosi. Potrebbe essere il programma a se' stante, come dovrebbe
essere nel tuo caso, oppure un secondo programma in cui e' stato incorporato
quello "schedato", con varie tecniche fra cui il programma Silkrope (anche
lui, guarda caso, riconosciuto dagli AV).


 uhhmmmm...ma non sono siti sicuri????..
tendono ad esserlo ma non possono assicurare il 100% di sicurezza.
ciao
Buttha
-- 
* Per rispondere in email rimuovere una i dall'indirizzo
* 
http://members.xoom.it/buttha/
* Dov'e' la saggezza?