Kerio mi segnala: carroll.uk6x.com

[*~Hayabusa~*]

Raga da poco ho acceso il pc e mi sono subito collegato ad internet, appena collegato il kerio ha cominciato a segnalarmi questo:

Codice: Seleziona tutto

system
punto remoto: carroll.uk6x.com [213.121.24.85]
[24/01/2005 16.45.39]

Direzione: in entrata
Punto locale: 82.55.184.242
Dispositivo: USB ADSL
Punto remoto: carroll.uk6x.com [213.121.24.85]
Protocollo: 41

Percorso applicazione: System
Descrizione: system
Versione file:
Creato: N/A
Modificato: N/A
Ultimo accesso: N/A

RuleId = 201326613

Io nego ma subito dopo mi segnala altre 4/5 connessioni identiche che io puntualmente nego. Non ho trovato traccia nel dell'ip ne dell'indirizzo su internet usango google..Ho fatto una scansione con avg e mi ha tolto un file dall cache java.

Cosa mi consigliate di fare? Creo una regola e non gli permetto l'accesso a vita?

Pls rispondete se sapete qualcosa perchè mi escono ogni 10 secondi e sta diventando insopportabile..

TiA

[pjfry]

il log dice solo così? niente porta? prova a guardare se system sta ascoltando su porte strane...
intanto bloccalo, tanto la regola fai sempre in tempo a toglierla no?

[*~Hayabusa~*]

Solo quello dice, ora ho creato la regola per filtrare quell'ip..

Comunque ho dato netstat e vedo che sono collegato a vari
hostxyx-xyx.pool18255.interbusiness.it:xyzw
poi su varie porte del mio stesso pc , su yahoo e msn sicuramente con trillian e poi ad un certo 64.12.31.228:5190 che su una pagina in cache di google sembra essere sol-1.mao.kiev.ua..ma è anche possibile sia qualcosa per icq (sempre trillian). Se faccio ping -a 64.12.31.228 non mi restituisce nessun nome..

[pjfry]

usa tcpview per capire che programmi usano quelle connessioni

[*~Hayabusa~*]

Ma tcpview non è un comando interno di win ..vabbè comunque ne ho scaricato la versione 2.34 da html.it e ho visto che le connessioni sono di
trillian,
system:4 (che non so cosa sia),
svchost.exe (ne ha tante...),
kerio,
firefox,
freepops,
bluetooth anche se non ho capito perxhè..,
avg,
alg.exe,
admuncher (che è uno stoppa banner.)

Niente di strano quindi..cosa sarà stata quella richiesta?

[pjfry]

se sei sicuro che system stia ascoltando su porte normali niente di grave allora... magari era qualcuno che si era beccato un worm che si è fissato con te, boh!?

[*~Hayabusa~*]

Penso che sia tutto sicuro
Comunque guarda qui, è il log di tcpview..

Se qualcuno sa qualcosa in più

Grazie Pj

[pjfry]

azz... ce n'è di roba!! forse dovresti chiudere le cose che conosci e riprovare, tutte quelle connessioni sulla 135 (epmap) non suonano mica bene

[*~Hayabusa~*]

azz... ce n'è di roba!!

Allora dopo te ne posto uno con emule in esecuzione

Pj ma io quei programmi li conosco ..dovresti darmi qualcosa di più mirato su cui lavorare, per ora ho provato a terminare i processi e si chiudono senza errori..tranne alg che tiene su la baracca da quanto ho capito (gestisce la "skin" di winzozz per caso??)..

Le connessioni sull' epmap sono da parte di un svchost che è stato in passato usato da worm ma ne avg ne the cleaner riportano nulla..

[pjfry]

alg gestisce firewall e condivisione della connessione.
forse le connessioni da internet alla tua 135 dovresti bloccarle via firewall... effettivamente dovrebbero essere i worm degli altri che ti contattano, quindi c'è poco da fare

[*~Hayabusa~*]

Ma quindi che i svchost.exe vadano su internet è normale?

Visto che non posso fare niente di più devo ritenermi protetto visto che avg è aggiornato, the cleaner è aggiornato e il winupdate l'ho fatto, o no?

Comunque rimango col dubbio di quella connessione, chissà cos'era

Ps. Ho letto della falla nella sun java, ho cercato aggiornamenti ma non me ne trova..mah..

[pjfry]

Ma quindi che i svchost.exe vadano su internet è normale?

svchost fa un casino di cose, è giusto che vada su internet... è meno giusto che accetti connessioni da internet, a meno di esigenze particolari... con kerio è facile fare una regola che gli impedisca di ricevere connessioni dall'esterno. Se non avessi avuto le patch tutte quelle connessioni alla 135 ti avrebbero fatto dei bei casini perchè il firewall non è configurato per bloccarle

[*~Hayabusa~*]

win sempre ben patchato! Quantomeno aggiornando mi trovo in quel lasso di tempo tra "la scoperta della falla" e "l'utilizzo della falla" in cui vado più o meno sereno

svchost fa un casino di cose, è giusto che vada su internet...

quindi il firewall non deve bloccarlo...

Se non avessi avuto le patch tutte quelle connessioni alla 135 ti avrebbero fatto dei bei casini perchè il firewall non è configurato per bloccarle

quindi il firewall lo devo bloccare..

che faccio, gli sego le gambine o no?

[pjfry]

nelle regole di kerio puoi settare 'incoming' o 'outgoing' mi pare...
praticamente svchost dovrebbe essere libero per tutte le connessioni outgoing, e bloccato per le 'incoming'
va già bene così, cmq

[*~Hayabusa~*]

Ok allora lascio così visto che questa è l'unica volta che mi è capitato, se ricapita provvediamo

Grazie pj, 'notte (vista l'ora)

[Sergio1983]

praticamente svchost dovrebbe essere libero per tutte le connessioni outgoing, e bloccato per le 'incoming'

Come mai? Io l'ho sempre autorizzato ad entrare e uscire come voleva... C'è una ragione specifica per limitarlo?

[pjfry]

praticamente svchost dovrebbe essere libero per tutte le connessioni outgoing, e bloccato per le 'incoming'

Come mai? Io l'ho sempre autorizzato ad entrare e uscire come voleva... C'è una ragione specifica per limitarlo?

come ho detto sopra... non c'è nessun motivo utile per lasciarlo aperto a connessioni dall'esterno... e in + saresti coperto per il prossimo worm tipo blaster\sasser
inoltre, come si vede dal log di hayabusa, quelle connessioni estabilished non creeranno problemi ma come minimo rubano qualche risorsa, immagino

[Sergio1983]

praticamente svchost dovrebbe essere libero per tutte le connessioni outgoing, e bloccato per le 'incoming'

Come mai? Io l'ho sempre autorizzato ad entrare e uscire come voleva... C'è una ragione specifica per limitarlo?

come ho detto sopra... non c'è nessun motivo utile per lasciarlo aperto a connessioni dall'esterno... e in + saresti coperto per il prossimo worm tipo blaster\sasser
inoltre, come si vede dal log di hayabusa, quelle connessioni estabilished non creeranno problemi ma come minimo rubano qualche risorsa, immagino

Bene, convincente!

[*~Hayabusa~*]

ma come minimo rubano qualche risorsa, immagino

Si infatti anche se è robetta ininfluente su una dsl..

Comunque pj, ho visto che se deseleziono l'opzione "show unconnected endpoints" la lista si riduce a 25 voci..

Vebbè io rimango in ascolto se avete info su quell'ip, sempre se non era uno zombie che tentava di infettarmi..

[pjfry]

ma come minimo rubano qualche risorsa, immagino

Si infatti anche se è robetta ininfluente su una dsl..

si ma non parlo di banda, parlo di memoria e risorse sullo stack tcp\ip... cmq è ininfluente