Newsgroup: it.comp.sicurezza.windows
Titolo: aiuto, mi sono entrati nel computer!

E' la prima volta che mi succede.
Vi descrivo la modalita', nella speranza che qualcuno abbia un'idea di
come sia possibile, quali danni possano aver fatto, e cosa posso fare
per evitare che accada ancora.
Intanto, la situazione: due pc in lan con Win ME, di cui uno connesso
ad internet con adsl, fornito di ZoneAlarm (v. 4.5.530.000) e Norton
Antivirus.
Dopo essere stato lontano dal computer per parecchio tempo (un'ora e
mezza forse), torno e trovo aperta la finestra di stampa della
stampante, con l'indicatore di stampa in lento progresso; e un
traffico di forse un centinaio di bytes al secondo in entrambe le
direzioni sulla connessione. Apro la coda di stampa e ci trovo dei
documenti "untitled" della dimensione di 253kb l'uno (una pagina?) il
cui owner e' un certo "giuseppe" (ovviamente, non un utente di questi
pc). Per prima cosa blocco la connessione con ZoneAlarm ottenendo una
serie di segnalazioni di tentati accessi bloccati (tipo uno al
secondo) ma tutti da ip diversi. Intanto la barra di progresso nella
finestra di stampa continua ad avanzare, quindi stacco del tutto la
connessione. La barra continua ad avanzare lo stesso (evidentemente
l'avanzamento non e' direttamente legato alla trasmissione su
internet), quindi metto i documenti in pausa sulla coda di stampa. Nel
frattempo almeno una trasmissione di dati alla stampante e' terminata
ma - come facilmente immaginabile- la stampante non si e' mossa.
Sono riuscito a fare un undelete di files recentemente cancellati, e
ho trovato fra questi - cancellati durante l'intrusione- parecchi
files di Norton e dei files .spl nella dir  windows/spool/printers
(lunghi 254 kb), quindi suppongo le cose gia' "trasmesse" - a questo
punto pero' non sono piu' tanto sicuro  che fossero davvero trasmessi.
Infatti, aperto uno di questi files di spool, vedo che inizia con
"This program must be executed under Win 32". Immagino che si tratti
di un eseguibile. E' normale?
Ora, ho una serie di log di ZoneAlarm probabilmente del tutto inutili,
e un documento bloccato nella coda di stampa. Domande: e' possibile
visualizzarlo? E' possibile visualizzare anche quelli gia' spediti?
Che tipo di attacco e' questo?
Domande piu' serie: come faccio a sapere se e' stato modificato
qualche file nel computer? Come faccio a proteggermi da attacchi di
questo tipo?
Spero che qualcuno di voi sia in grado di rispondere a qualcuna di
queste domande.
Ciao, grazie in anticipo,
SC

 Come faccio a proteggermi da attacchi di questo tipo?
impara a configurare zona alarm (o un qualsiasi altro firewall) per
abilitare la condivisione file e stampanti solo in lan.
-- 
su questo post guariniello ha aperto un'inchiesta.

abilitare la condivisione file e stampanti solo in lan.
Gia' fatto, mi pare che tu non abbia capito il problema.
Ciao.

 Gia' fatto, mi pare che tu non abbia capito il problema.
Scusa se mi intrometto, ma credo che barbun l'abbia capito il problema, se
rileggi ciò che ha scritto praticamente ci trovi "forse è il caso che
ricontrolli la configurazione di Zone Alarm" perchè documento di testo o
eseguibile che sia, anche se di soli 254 Kb, ti è stato infilato nel pc, il
che significa che ti è sfuggito qualcosa.
L'indicazione del Netbios viene fuori dal fatto che windows sembra quasi non
poterne fare a meno, me ne sono reso conto anche io che nonostante abbia
disabilitato tutti i servizi relativi (uso win2k server) devo cmq usare
netbios on tcp per poter condividere i files tra le macchine.
Una prova rapida e indicativa la potresti fare qui:
http://scan.sygate.com/probe.html
 altrimenti se hai pazienza individua con
uno sniffer le risorse strettamente necessarie per il corretto funzionamento
della rete e blocca tutto il resto.

della rete e blocca tutto il resto.
Grazie per il link. Domani eseguiro' i test piu' lunghi. Per ora, i
due immediati mi hanno dato questi risultati:
quick scan:
Trying to gather information from your web browser... 
 Operating System = Windows ME 
Browser = Microsoft Internet Explorer 5.5 
Trying to find out your computer name... 
 Unable to determine your computer name! 
 Trying to find out what services you are running... 
 Unable to detect any running services! 
stealth scan:
NetBIOS 139 BLOCKED This port has not responded to any of our probes.
It appears to be completely stealthed. 
SOCKS PROXY 1080 BLOCKED This port has not responded to any of our
probes. It appears to be completely stealthed. 
WEB PROXY 8080 BLOCKED This port has not responded to any of our
probes. It appears to be completely stealthed. 
mentre tutti gli altri servizi testati sono closed, tranne ftp che e'
open (ho un server funzionante, i cui log non danno pero' adito a
particolari sospetti).
Ciao,
SC

 particolari sospetti).
In genere se ti bucano sono proprio i log del servizio da cui ti hanno
bucato che spariscono per primi.
Non entro nel merito della tua configurazione, ma innanzitutto non
urlerei "al lupo, al lupo", ma tenterei innanzitutto di effettuare
un'analisi approfondita di quello che e' successo, e nel caso non fossi
in grado di farlo, magari chiederei aiuto, tentando di porre domande
appropriate e senza tenere un tono arrogante.
Quindi piantala di alzare polvere, e comincia a fornire informazioni
decenti, e mi sembra che un server ftp aperto all'esterno e' sicuramente
qualcosa di rilevante da segnalare [1]eh..
[1] Magari indicando anche nome e versione del server.

qualcosa di rilevante da segnalare [1]eh..
Beh, di informazioni e' pieno il mio primo post, speravo che da li' si
potesse inferire qualcosa. Ad esempio, cos'e' questa storia dei file
di spool che contengono un eseguibile? Cacchio, questa e' una cosa che
mi interessa!
Comunque, ho fatto gli altri test del sito indicatomi da lw7, e
risulta che in effetti ho netbios aperto in udp. Invece in tcp e'
invisibile. E' possibile configurare ZA per chiuderlo anche in udp? 
Grazie in anticipo,
ciao,
SC

pc)
Sembrerebbe il virus BugBear.
http://it.trendmicro-europe.com/enterprise/products/housecall.php
Leonardo
-- 
In nessun caso Microsoft, o i suoi fornitori, saranno responsabili per
[...] omissione di rispetto di obblighi, incluso quello di comportarsi
in buona fede o ragionevole diligenza
                                     -- Contratto di Licenza Microsoft


qui la mia poca esperienza mi blocca, cmq negli altri post ho visto
indicazioni utili
Ciao ciao e buon lavoro.

 sospetti).
sei uno che al telefono col dottore riferisce di un vago mal di pancia
senza menzionare l'abboffata di funghi la sera prima in quanto "certo non
sospetti".. e poi t'incazzi se il dottore ti prescrive una marmellata di
prugne invece che una lavanda gastrica!
auguri


 bloccare decine o centinaia di tentativi di accesso al giorno. 
Sembrerebbe un worm interno. In ogni modo suggerisco un approccio meno 
Berlusconiano [1] al problema.
[1] "438 tentativi di accesso bloccati in un giorno - Fonte: il log del 
firewall" con un faccione sorridente non dovrebbe farti dimenticare che 
qualcuno è entrato comunque (e ti sta facendo un discreto mazzo).



:))
era solo per dire che il fw non deve essere proprio "spento", visto
che e' la prima volta che mi succede sta cosa in parecchio tempo, e di
gente che testa le porte pare ce ne sia molta. D'altra parte, la lan
e' domestica, non ho la formula della coca cola nell'hd, ne' altri
dati da tenere segretissimi. So che ZA free non e' impenetrabile, ma
non mi interessa neanche vivere blindato.
Ciao,
SC

Leonardo
L'antivirus che mi hai consigliato non ha trovato niente (non so se
purtroppo o per fortuna). C'e' da dire pero' che ultimamente norton si
comporta in modo un po' strano, ogni tanto appare - senza che io abbia
fatto niente- una finestra verde in cui mi informa di aver riparato o
messo in sicurezza un file. L'ultima volta era
C:\WINDOWS\TEMP\V3NS1Ub22571
Dici che e' normale?
Grazie, ciao,
SC

Dici che e' normale?
No. In quella directory ci va roba creata dai processi locali, quindi
vuol dire che in qualche modo hai un PC infetto sulla rete... oppure,
per quanto ne so, la stampante condivisa su Internet con IP pubblico.
Prova con NOD32 Trial tanto per essere sicuro, e controlla routing ed
accesso alla rete.
Leonardo
-- 
Microsoft divulghera' le tue informazioni personali senza previa notifica,
se richiesto per legge o nella ferma convinzione che tale azione sia
necessaria per [...] proteggere e difendere i diritti [...] di Microsoft.
                             Accordo di Licenza di Microsoft Messenger 6.1