Intruz W Systemie

85.237.188.* napisał:

Mam przypuszczenie, że jakiś haker włamał mi sie do systemu, oto poszlaki:
-Kaspersky w pewnym momencie wykrył próbę połączenia do ftp.republika.pl, podczas surfowania po internecie (bez jakichkolwiek stron związanych z republiką)
-dzisiaj potrzebowałem przełączyć się na drugie konto w systemie, gdy chciałem powrócić na moje wyświetlił mi się komunikat "Twoje konto zostało zablokowane, skontaktuj się z administratorem". Ja zresetowałem kompa a tu w ogóle mojego konta nie było na ekranie logowania (pliki na szczęście zostały)
Mam Windowsa XP nastawionego na automatyczne aktualizacje, chronionego przez Kasperskiego Internet Security 6.0.300 PL aktualizowanego codziennie. Wykonałem pełne skanowanie kasperskim, nic nie wykryło. Potem odpaliłem skaner BitDefendera online też nic nie znalazło. Na koniec poszedł Ad-aware Personal, wywaliło trochę śmieci ale to nic nie dało. Jak się pozbyć nieproszonego gościa?? Załączam loga z Hijacka

80.55.178.* napisał:

Wrzuć logi na tę stronę: http://www.hijackthis.de/

Pomyślę co musiałbyś zrobić aby tego nieproszonego "gościa" usunąć.
Na każde konto w Windowsie załóż najlepiej hasło (ok. 10 literowe). Windows to taki syf, że domyślnie zawsze pracujesz na koncie, które ma prawa administratora. Naszczęście korzystam z linuksa

Zobacz także czy nie masz rootkita:
1) http://pl.wikipedia.org/wiki/Rootkit
2) http://security.computerworld.pl/news/85231.html

BTW:

raczej nie haker tylko cracker...

85.237.188.* napisał:

Skanowałem już system jakimś antyrootkitem (bodajże HiddenFinder czy coś w tym stylu), ale nic nie znalazł. Wypróbuję jeszcze RootkitRevealera. Do podanych informacji dodam jeszcze, że kaspersky wykrywa co chwilę ataki Intrusion.Win.MSSQL.worm.Helkern! z różnych adresów IP, ale skoro wykrywa to chyba je blokuje, a skoro je blokuje to chyba nie w tym problem. I jeszcze jedno-moje poprzednie konto ni z gruszki ni z pietruszki znowu się pojawiło
Co do haseł nie jestem w stanie nic zrobić.Sam co prawda używam bezpiecznego 9-cio literowego hasła z cyframi, ale moja siostra gdzieś ma bezpieczeństwo i mimo moich wielokrotnych próśb odmawia założenia hasła Rejestr jest zabezpieczony, wszystkie usługi zdalnego dostępu itp. wyłączone

Log z RootkitReavelera

Tempa już wyczyściłem, cztery ostatnie pliki też wywalone (musiałem użyć unlockera), co zrobić z resztą?

PS Ja też używam linuxa, ale jestem w tym systemie jeszcze początkujący, więc niektóre czynności muszę wykonywać na Winshicie

80.55.178.* napisał:

Hellkern'ami bym się nie przejmował. Cytat z jednego forum:



Linki:
1) http://www.cdrlab.pl/forum/showthread.php?t=2726
2) http://www.searchengines.pl/phpbb203/index.php?showtopic=35155

Ja nie mam takich komunikatów gdyż mam swój serwer, który blokuje tego typu robale.
Jeżeli siostra nie chce mieć hasła na swoim koncie to moża trochę zmniejszyć prawa dostępu do niektórych katalogów. Lub można jej powiedzieć, że wszystkie prywatne rzeczy typu hasła do poczty, na GG itp będą trafiały do komputera crackera, chyba że zabezpieczy konto hasłem .
(Znając system Winsyf to i tak hasła nie pomogą ale to się wytnie )

Mam takie małe pytanko: Masz neostradę czy może jesteś w sieci lokalnej za serwerem?

***DODANE***
jeszcze jedno: czy umiesz zobaczyć na jakim porcie łączy się z Tobą cracker (chodzi o Hellkern. Chyba powinno tam pisać. W logach Kaspra itp.) ?

85.237.188.* napisał:

Ad 1
Mam neta z kablówki z publicznym IP
http://www.tkchopin.pl
Ad 2
Port 1434
Wyczytałem na stronie tepsy ostrzeżenie przed W32.SQLExp.Worm wykorzystującym ten port, ale ściągnąłem removal tool symanteca i nic nie znalazł.

Mam pytanko, co zrobić z tymi wpisami w rejestrze? Można je bezpiecznie usunąć?

80.55.178.* napisał:

Co do portu (ale chyba to już czytałeś) :



Tak jak wyżej. Proponuje zamknąć całkowicie port UDP 1434.
********
Co do wpisów w rejestrze - chodzi Ci o wpisy, które są zapisane w logu (pierwszy Twój post)? Na te pytanie trudno mi jest odpowiedzieć gdyż nie wiem jak na ich brak zareaguje Windows. Nie wiem także jaki program dokonał takich wpisów. Czy to ten cracker czy po prostu zwykły program.
********
Czy oprócz informacji o Hellkernach pojawiają się także inne ? jeżeli nie to bardzo możliwe, że w ogóle nie było włamania do Twojego komputera. Była jedynie próba włamania lecz nie udana.

***DODANE***
Aha. Może to już zrobiłeś ale przypomnę: najlepiej zmienić nazwę głównego konta w Windowsie "Administrator" i założyć na niego także hasło

85.237.188.* napisał:

Hmm skoro kasper wykrywa te ataki to chyba je blokuje, a skoro blokuje, to nie tędy wszedł włamywacz. Poza tym te próby idą z dziesiątków różnych IP, wątpię, aby chciało mu się tak często zmieniać proxy. Poza tym
Na wszelki wypadek port 1434 jednak zamknąłem. Że ktoś się do mnie włamał jestem pewien-jak inaczej wyjaśnić objawy w pierwszym poście? Co do tych wpisów rejestru to chodziło mi o te z drugiego loga-te wykryte przez Rootkitreavelera. Co do konta administratora to już jest od dawna zablokowane.

80.55.178.* napisał:

a nie ma takiego programu (możliwe że taką funkcję posiada firewall), który pokazuje z jakimi numerami IP ustanowione jest połączenie ?
W linuksie mam firewall "Firestarter". Bez problemu idzie wykryć z jakim numerem IP aktualnie się łączę (chodzi o udane połączenie), przez jaki port i przez jaką usługę (czy to SSH, czy HTTP). Taki program ułatwił by sprawę gdyż nie wiadomo czy nieznajomemu gościowi udało się nawiązać połączenie z Twoim komputerem. Niestety nie "siedzę" w tematach o Windowsie więc nie posiadam takiego programu.

Jeszcze raz zadam pytanie:


Jeżeli chodzi o łączenie się z różnych adresów IP (Hellkern) - mój wujek także miał te alery od Kaspra. Także z różnych adresów IP. Jeżeli Kasper te połączenia blokuje to nie ma się czym przejmować. Idzie chyba nawet wyłączyć pokazywanie alertów o Hellkernach.

Co do logów: nigdy nie używałem tego programu więc nie wiem "do czego on jest zdolny" ale:
1) Temporary Internet Files możesz prawdopodobnie wyczyścić
2) Co do wpisów np. "HKLM\S-1-5-21-796845957-1580818891-839522115-1003\Software\Microsoft\Windows\ShellNoRoam\BagMRU\MRUListEx"
nie jestem w stanie pomóc gdyż nie wiem za co ten rejestr jest odpowiedzialny. Jeżeli program wykrył, że ten rejestr jest zmodyfikowany to na moim miejscu postąpiłbym zgodnie z zaleceniami programu. Dobrze jakby przed naprawą/usunięciem danego rejestru, program wykonał np. kopię zapasową lub coś co pomoże w krytycznej sytuacji przewrócić poprzednie ustawienia. Takie jest moje zdanie - nie biorę odpowiedzialności gdy program uszkodzi rejestr itp (nie ja ten program napisałem ).

85.237.188.* napisał:

Nie, prócz helkerna nie ma innych alertów.
Rootkit reaveler niestety tylko wykrywa podejrzane obiekty, trzeba je ręcznie kasować.
Co do programu do wykrywania połączeń to kasper pokazuje aktywne aplikacje sieciowe, otwarte porty i ile danych z danym IP zostało wymienione w czasie sesji. Zaraz pogoogluje po coś do wykrywania IP z którym jestem aktualnie połączony.

80.55.178.* napisał:

Możesz jeszcze spróbować programów takich jak(nigdy ich nie testowałem):
1) http://security.computerworld.pl/ftp/3518/Securepoint%20Intrusion%20Detection%20System%202.0.9.html
2) http://security.computerworld.pl/ftp/3511/Anti-Trojan%20Shield%201.4.0.7.html
3) http://www.idg.pl/ftp/pc_8548/Free.Registry.Fix.3.0.html

Nie wiem co jeszcze mam poradzić. Żaden program nie wykrywa ani trojana ani wirusa. Na moje ślepe oko to tak jakby nikogo w systemie nie było. Chyba, że ten ktoś zrobił sobie własnego trojana, który jest nie wykrywalny. Tylko nie umie wyjaśnić, dlaczego Windows tak dziwnie się zachowywał (problem z postu 1). Co do nawiązania połączenia z ftp.republika.pl: biorę najbardziej durną teorię - na stronę którą wszedłeś był np. obrazek, który umieszczony był właśnie na serwerze FTP ftp.republika.pl
Lecz na "zjawisko" zniknięcia konta i pojawienia się go ponownie nie mam teorii lub mam taką: Windows jest tylko WIndowsem zawsze to ten sam złom, który robi takie niespodzianki
Pamiętam taki przypadek. Mój ojciec zrobił sobie format dysku i zainstalował potrzebne programy. Nagle dyskiem zaczęło strasznie "szarpać". Myślałem, że za chwile dysk się albo przepali albo "strzeli". Nie wiadomo co było przyczyną takiej sytuacji. Okazało się że zainstalowany program "InCD" powodował takie "atrakcje". Także nie wiem dlaczego się tak działo ale Windows jest Windowsem.

Jednak także stwierdziłbym że w Twoim systemie jest intruz (lub był). Jest taka fajna dystybucja linuksa "Knoppix STD" która służy głównie do sprawdzania bezpieczeństwa systemu, detekcji włamań itp. Jest to dystrybucja bootowalna. Narazie jednak dopiero uczę się jej wykorzystywać.

85.237.188.* napisał:

To uzasadnienie pierwszego zjawiska wykluczam-było to w trakcie codziennego "oblotu" kilku stron typu wp.pl, onet.pl securitywortal.pl securityresponse.symantec.com i paru innych-przeglądam te strony bardzo często, a jakoś nigdy kasper nie wykrywa połączeń z republiką...

Dzisiaj kasper pokazał atak:

84.10.180.* napisał:

sory za offtopic, pokaz jakikolwiek lepsiejszy system, zeby jeszcze mial oofica jakotako dzialajacego, coby mozna go do jakiejs domeny podpiac, nibylo problemow z oprogramowaniem, niespedzal bys calego dnia na lataniu po firmie i tlumaczeniu co i dlaczego oraz jak to zrobic?? a jeszcze jaby dalo sie w cos jeszcze na nim zagrac to juz nobla powinienes dostac

a gadka "ja mam swoj serwer.." kojazy mi sie z wypowiedzia takiego typa : "Ja bylem elektrykiem...................wysokich napiec..";

a co do tematu, format i posprawie(nizepomnij o windows update), zalatw sobie jeszcze jakis routerek i z glowy, wlam to w 99% niebyl bo jeszcze dales rade wlaczyc kompa i go uzywac. odwiedz stronke www.wss.pl i tam napewno sie dowiesz jak zabezpieczyc winde

80.55.178.* napisał:

Cieszę się że mam serwer gdyż do takiego włamania nigdy by nie doszło (przynajmniej nie na takim porcie. Jeszcze do tego UDP)

Rówież cieszę się że tak mało ludzi używa linuksa. Przynajmniej mam zapewniony komport korzystania z internetu (gdyby dużo ludzi korzystało z linuksa to wszyscy autorzy wirusów przerzuciliby się na ten system. Mam nadzieje, że Windows nadal będzie prowadził na rynku systemów operacyjnych)

*********

Co do ataku. Ktoś próbował włamać się do systemu techniką przepełnienia bufora. Adres IP "172.17.0.1" (domyślam się że to ten który Cię atakował) jest to adres sieci wewnętrzej.



Nie wiem czy taki numer IP ma w Twojej sieci router/serwer czy któryś z użytkowników. Zalecam zainstalowanie jeszcze firewalla "Sygate Personal Firewall 5.5" z tej strony:
- http://download.chip.pl/download_90463.html
Przepuszczanie przez niego tylko niezbędnych usług np. GG, FireFox.

Zobacz także czy w Windowsie nie masz udostępnego jakiegoś folderu. Są często powodem przemieszczania się wirusa/trojana po sieci lokalnej

PS: Mam nadzieje, że nie korzystasz z przeglądarki IE ?

85.237.188.* napisał:

Najlepsze jest to... że ja nie mam żadnej sieci lokalnej
Konfig połączenia internetowego
Moje IP: stałe, publiczne, mogę wybrać z określonej puli
Brama internetowa: 85.237.188.1
DNS: 85.237.160.2
Ktoś najprawdapodobniej korzystał ze spoofingu.
Komp jest podłączony bezpośrednio do modemu przez USB, zintegrowana karta sieciowa jest wyłączona w BIOSie. Co do przeglądarki to korzystam z Opery. Z Sygate to mi nie za bardzo po drodze-kasper ma już wbudowanego firewalla, a jak ostatnio próbowałem zainstalować naraz McAfee i Nortona to skończyło się formatem Ewentualnie mogę wywalić kaspra i zainstalować coś nowego, ale zaleć jakiś pakiet Internet Security (żeby antywir i firewall był jednego producenta), bo osobne instalowanie dość mocno zamula kompa. Formata niestety nie mogę w tej chwili zrobić, a poza tym jeżeli ktoś raz się przebił przez moje zabezpieczenia, to czemu nie mógłby tego zrobić po raz drugi?

80.55.178.* napisał:

Ahh. Gdyby to był linux:


ale nie jest. Masz ten pech, że jesteś dostępny z internetu (masz publiczny adres IP przypisany Twojemu komputerowi). A jakbyś usunął kaspra i zainstalował go ponownie aby wyczyścić wszystkie reguły (lub usunął wszystkie reguły z firewalla jeżeli ma taką możliwość). Jeżeli masz możliwość zamknij wszystkie porty z których nie korzystasz (wiem, że nie możesz np. zamknąc portów TCP powyżej 1024 gdyż większość aplikacji na nich pracuje) ale możesz zablokować porty UDP + zamknąć porty TCP 0:1024 (a port 80 otworzyć tylko w jedną stronę - wyjście, wejście zablokować). Nie wiem czy to jest możliwe gdyż nigdy tak nie robiłem na Windowsie.
Wczoraj zainstalowałem na Windowsie właśnie firewall "Sygate Personal Firewall 5.5". Jestem z niego zadowolony dlatego, że pokazuje dokładnie który numer IP korzysta z jakiego programu np. nr IP xxx.xxx.xxx.xxx korzysta z programu C:/DC++/dc.exe

Tak na chłopskie myślenie: jeżeli gośc stosuje technikę przepełnienia bufora to znaczy że jeszcze się do systemu niedostał gdyż po co stosować taką technikę jak ma się już prawa roota. Chyba, że ten ktoś dopiero się uczy się i stosuje wszystkie znane mu techniki. Może za niedługo zacznie atak Ping of Death, Ping Flooding, SYN Flooding lub może będzie się starał przejąć TCP/IP. Nie wiadomo do czego jest zdolny

Ja bym zablokował wszystkie porty z których nie korzystam a te z których korzystam otworzył tylko w jedną stronę. Oczywiście (chyba ) programy typu GG muszą mieć otwarte porty w dwie strony...

85.237.188.* napisał:

Wszystkie niepotrzebne porty poblokowałem. A co do tego ataku to wydaje mi się, że to drugi intruz próbował mi wleźć do systemu.

217.153.14.* napisał:

na portach miedzy 0 a 1024 oprucz 80 jeszcze znajdzie sie pare przydatnych
21 - ftp
22 - ftp
25 - smtp
53 - dns
110 - pop3
443 - https

co do portow powyzej 1024 to akurat mozna zamknac wszystkie a zostawic tylko kilka potrzebnych (gg i jakies p2p jesli uzywasz+ewentualne giery)

a co do odblokowania portu w jedna strone, pakiety tez ktoredys musza wrucic wiec wypadaloby przyjmowac pakiety z tego portu

00 01 02 03 04 05 06 07 08 09 10 11 12 13