Newsgroup: it.comp.os.win.software
Titolo: Sockets de Troie:Blazer 5 in ME?

Ho installato ME (originale) su un nuovo HD e ho fatto una ricerca sui Local
Adress e Remote Adress attivi.
Ho riscontrato che un programma di nome SSDPSRV.EXE (55 kB) veniva associato
durante
l'analisi funzionale alla ricerca di programmi troiani al Troian Blazer 5
sulla porta 5000.
Ho potuto verificare che la porta era attiva in quanto  teneva aperto il
Local Adress alla seguente maniera TCP all:5000 in ascolto.
La applicazione SSDPSRV (c.\windows\system\) e' del 8-6-2000 ore 17 mentre
l'installazione e' di settembre 2001.
Domanda al NG:
E' possibile , secondo Voi, che il programma sia un vero Troian?
Ed e' possibile che questo risulti nativo in ME?
Grazie anticipatamente
Guaitoli Daniele
http://www.geocities.com/fnle/

Ed e' possibile che questo risulti nativo in ME?
no,č un'applicazione per gestire gli elettrodomestici in remoto (che tu
ci creda o no)
questa č, come dice la M$, una features.
ciao.
-- 
SecurFaq : 
http://members.nbci.com/gouldukat/
Errore in explorer.exe : impossibile cancellare il file.File esistente.

 --
Dopo la interessantissima risposta di "hack_ ?" ho proseguito
l'approfondimento dell'argomento proposto al NG.
Allego la parte finale della prima pagina di un articolo di 3 pagine
intitolato "1. My New Gateway, AMD1100 Is Its Name" leggibile nella sua
completezza all'URL
http://www.chipcenter.com/eexpert/gdorman/gdorman035.html
L'estensore dell'articolo invita la platea di utilizzatori , dopo avere
vissuto l'esperianza di utilizzo di un computer che portava preinstallato il
SO Microsoft ME, a ripensare come non vi sia differenza tra spyware e adware
quando persone a noi sconociute possono sfruttarne, a distanza, le
potenzialita'.
Non e' che per caso che il futuristico elettrodomestico controllabile a
distanza, con il programma SSDPSRV.EXE (55 kB) incluso in ME, sia gia' il
nostro computer?
The protocol being used is UDP, and the system attempts to access a Web site
with the address 239.255.255.250 via port 1900. Both explorer.exe (outbound)
and ssdpsrv.exe (inbound) are involved in this access. I would not mind,
except neither Microsoft nor Gateway have informed me of this situation, and
it is a possible security issue. The protocol is known as Simple Service
Discovery Protocol, and it is primarily used for detection and installation
of UPnP devices on the fly. Using spamcop's excellent host tracking service,
I discovered that the IP belongs to 
www.ep.net
. Using the arin whois
database, I found that the IP is registered with the University of Southern
California as 
m-cast.net
. They "own" IPs 224.0.0.0-239.255.255.255.
Some further Sherlocking revealed the following information from MS on their
knowledge base
support.microsoft.com/support/kb/articles/Q262/4/58.ASP?LN=EN-US&SD=gn&FR=0
,
and includes the following additional information:
In Windows Me, Universal Plug and Play functionality is provided by the
following files:
Ssdpapi.dll-This component provides the Simple Service Discovery Protocol
(SSDP) Application Programming Interface (API) for Universal Plug and Play.
Ssdpsrv.exe-This component provides Simple Service Discovery Protocol (SSDP)
and GENA services.
Upnp.dll-This component provides the core Universal Plug and Play search and
description functions for devices and services.
Upnpui.dll-This component provides the interface for device notification and
manipulation.
At this time, I am assuming that explorer.exe calls one or more of these
dlls.
Perhaps Microsoft will eventually explain what it is they are doing. It is
not much different from the so-called adware or spyware that, when installed
on a computer, let certain people know what you are doing, unbeknownst to
you.
un saluto a tutto il NG
Daniele
http://www.gocities.com/fnle/
---------------