¡Oh! y ahora ¿quién podrá ayudarme?... :D

[WRW]

Como ya ha pasado un cierto tiempo desde el último formateo (casi un año) he decidido borrar todas las reglas del firewall y empezar desde cero con todo cerrado para ir permitiendo o negando todo bicho que se mueva.

El caso es que hecho ésto, no paro de recibir cada 30 segundos (cosa que no me pasaba hasta hace media hora) el siguiente mensaje (ver imagen) del antivirus Avast (gracias Yaros donde quieras que estés ) que tiene una especie "analizador" de conexiones.
Siempre vienen de una ip que empieza por 80.35.

Me gustaría que alguien me explicase que carajo es, o puede ser, eso de "DCOM exploit".

La ip estática que me proporciona mi proveedor de servicios (terra, probablemente por poco tiempo, por cierto) empieza también por 80.35 por lo que me pregunto si pudiera ser alguna "movida" del mismo que debería aceptar.

Gracias por la ayuda.





Luego ya podrán spammear, incluido Chilean con su lema "Ni un post atrás"

[el mencey]

¿Tienes el SP2 instalado?

[WRW]

Originally posted by el mencey
¿Tienes el SP2 instalado?

Digamos que cierto impedimento no me permite instalarlo... ...quizás un buen truco oportuno...

[jasev]

Cuando te pasa eso, sigue estas instrucciones:
1) vete a www.ripe.net/whois y busca la información de la IP. En este caso, descubrirás que es una IP administrada por Telefónica.

2) En la información que da esa página, siempre hay una dirección de contacto de la empresa administradora, y por lo general uno especial para avisar de "abusos" (ataques): en este caso, nemesys@telefonica.es. Escríbeles un correo denunciando el ataque, adjuntando si es posible el log del cortafuegos, que deberá incluir la IP atacante y el puerto y tu IP con su puerto correspondiente, así como el tipo de ataque. Además, fecha, hora y zona horaria.

No es que sirva para mucho, pero al menos según la ley están obligados a atender estas denuncias una a una. En teoría, si uno de sus usuarios está realizando estos ataques, se le corta el servicio.

Información sobre el DCOM exploit:

http://www.hackhispano.com/foro/archive/index.php/t-8065.html

WRW, consíguete un windows actualizable como sea, porque si no más vale que le pagues horas extra a tu firewall.

EDIT: Lo olvidaba

No contaban con mi astucia...

[WRW]

Originally posted by jasev
Cuando te pasa eso, sigue estas instrucciones:
1) vete a www.ripe.net/whois y busca la información de la IP. En este caso, descubrirás que es una IP administrada por Telefónica.

2) En la información que da esa página, siempre hay una dirección de contacto de la empresa administradora, y por lo general uno especial para avisar de "abusos" (ataques): en este caso, nemesys@telefonica.es. Escríbeles un correo denunciando el ataque, adjuntando si es posible el log del cortafuegos, que deberá incluir la IP atacante y el puerto y tu IP con su puerto correspondiente, así como el tipo de ataque. Además, fecha, hora y zona horaria.

No es que sirva para mucho, pero al menos según la ley están obligados a atender estas denuncias una a una. En teoría, si uno de sus usuarios está realizando estos ataques, se le corta el servicio.

Información sobre el DCOM exploit:

http://www.hackhispano.com/foro/archive/index.php/t-8065.html

WRW, consíguete un windows actualizable como sea, porque si no más vale que le pagues horas extra a tu firewall.

EDIT: Lo olvidaba

No contaban con mi astucia...

Bueno antes de nada gracias por la interesante información.

Un ídolo de juventud:





¡Madre mía hasta el SP4 del W2000 tiene ese agujero!


Carajo, tengo avisos de esos ataques cada 30 segundos y cada vez de una ip distinta. ¡pero ésto es más peligroso que ¡Johannesburgo por la noche...!


Estoy haciendo gestiones para poder actualizar a SP2 a ver qué tal...

[DrGerry]

¿Cuál es el impedimento para instalar el SP2? Yo tengo el Win XP "alternativo" y sin embargo bajé el SP2 y lo instalé sin ningún problema

[WRW]

Originally posted by Gerar Dean
¿Cuál es el impedimento para instalar el SP2? Yo tengo el Win XP "alternativo" y sin embargo bajé el SP2 y lo instalé sin ningún problema

En muchas casos de Xp's "alternativos" hay números de serie que te dejan instalar el SO como si nada pero... ...MS cuando sacó el SP2 programó una rutina para que las copias "alternativas" no pudieran actualizarse al SP2 (cabronazo el G. Puertas )

Hoy día ya hay solución circulando... ...lo acabo de comprobar.

[jasev]

En muchas casos de Xp's "alternativos" hay números de serie que te dejan instalar el SO como si nada pero... ...MS cuando sacó el SP2 programó una rutina para que las copias "alternativas" no pudieran actualizarse al SP2 (cabronazo el G. Puertas )

Algunas sí, otras no

Cuestión de suerte a la hora de elegir en la mula, supongo

[el mencey]

Te está intentando entrar un virus, el Blaster o alguno parecido.

[Unspeakable Horror]

Sobre el SP2, basta con cambiar la clave por otra y funciona. Hay un keygen para eso, como reemplazarla no me acuerdo pero se puede, yo lo hice hace mucho.
Otra opción es generar la clave nueva antes de instalar windows, pero si ya formateaste y terminaste de instalar todo no vale la pena.

[el mencey]

Llamada a procedimiento remoto (RPC) es un protocolo que se utiliza en el sistema operativo Windows. RPC proporciona un mecanismo de comunicación entre procesos que permite a un programa que se ejecuta en un equipo ejecutar código sin dificultades en un sistema remoto. Este protocolo se deriva del protocolo RPC de OSF (Open Software Foundation), pero con la incorporación de algunas extensiones específicas de Microsoft.

Existe un punto vulnerable en la parte de RPC que se encarga del intercambio de mensajes sobre TCP/IP. Los errores son el resultado de la gestión incorrecta de los mensajes mal formados. En concreto, esta vulnerabilidad afecta a una interfaz Modelo de objetos de componentes distribuido (DCOM) con RPC, que escucha en el puerto TCP/IP 135. Esta interfaz controla las solicitudes de activación de objetos DCOM que envían las máquinas cliente (como puedan ser las rutas de acceso de Convención de nomenclatura universal (UNC)) al servidor.

Para aprovechar este punto vulnerable, un atacante debería enviar una solicitud especialmente diseñada al equipo remoto en el puerto 135.

copia de...
----------------------------------------------------------------

Blaster es un gusano que sólo afecta a ordenadores con sistemas operativos Windows 2003/XP/2000/NT. Blaster aprovecha la vulnerabilidad conocida como Desbordamiento de búffer en interfaz RPC para propagarse al mayor número de ordenadores posible.

Blaster producirá ataques de denegación de servicio (DoS) contra el sitio web windowsupdate.com durante los días 15 a 31 de cada mes, y durante todos los días de los meses de septiembre a diciembre de cualquier año. Para ello, Blaster envía un paquete de tamaño 40 Bytes a dicho sitio web cada 20 milisegundos, a través del puerto TCP 80.

Blaster se propaga atacando direcciones IP generadas aleatoriamente, intentando aprovechar la vulnerabilidad arriba mencionada para descargar en el ordenador atacado una copia de sí mismo, para lo cual incorpora su propio servidor de TFTP (Trivial File Transfer Protocol).

Si su ordenador tiene como sistema operativo Windows 2003/XP/2000/NT, es recomendable descargar el parche de seguridad desde la Web de Microsoft. Pulse aquí para acceder a la página de descarga del parche.


Síntomas Visibles

Dos claros síntomas de la presencia de Blaster dentro del ordenador son los siguientes:

Un aumento considerable del tráfico de red a través de los puertos TCP 135 y 4444 y UDP 69.
El bloqueo y reinicio del ordenador atacado, debido a errores de codificación del gusano.



copio de...

[WRW]

Originally posted by el mencey
Te está intentando entrar un virus, el Blaster o alguno parecido.

Bueno pero en principio es sólo un intento ¿no? Se supone que lo bloquea, al menos eso pone en el mensajito


Ahora llego yo y digo... ...¡SORPRESA!... ...Ayer actualice a SP2 (incluso tengo todas las actualizaciones posibles de Windowsupdate) y sigue saliendo el mensajito cada minuto...

Hombre supongo que se podrá configurar el Antivirus Avast para que no los muestre, pero lo que realmente me preocupa es que habiendo acutlaizado a SP2 sigan habiendo intentos. Creí que el parche cerraba esa vulnerabilidad ¿no?

[ydiiby]

Originally posted by WRW
Hombre supongo que se podrá configurar el Antivirus Avast para que no los muestre, pero lo que realmente me preocupa es que habiendo acutlaizado a SP2 sigan habiendo intentos. Creí que el parche cerraba esa vulnerabilidad ¿no?

Si el ordenador no se apaga un minuto después del intento, supongo que tienes el ordenador actualizado.

Ahora solo tienen que actualizarse todos los ordenadores que están intentando contagiar el tuyo

Solo te queda el pataleo o decirle al Avast que se calle

[DrGerry]

Lo que te está pasando es que el puto firewall ese te avisa que alguien quiere entrar, no que está adentro. El SP2 no tiene nada que hacer aquí porque nadie "vulneró su seguridad".

¿No podés configurarlo para que no te avise a cada rato? ¿O cambiarlo por otro firewall menos hincha pelotas?

[WRW]

Originally posted by Gerar Dean
Lo que te está pasando es que el puto firewall ese te avisa que alguien quiere entrar, no que está adentro. El SP2 no tiene nada que hacer aquí porque nadie "vulneró su seguridad".

¿No podés configurarlo para que no te avise a cada rato? ¿O cambiarlo por otro firewall menos hincha pelotas?

Oye, oye que a mí no me ha vulnerado nadie ¡Eh!...


...ya había quitado el aviso del Antivirus...


Lo que me extraña es que si ese virus aprovecha una vulnerabilidad del XP antes del SP2, por qué podrá hacerlo, de no ser por el firewall, una vez actualizado.