26-11-2004 00:19									#1
	¡Oh! y ahora ¿quién podrá ayudarme?... :D Remove this text

Como ya ha pasado un cierto tiempo desde el último formateo (casi un año) he decidido borrar todas las reglas del firewall y empezar desde cero con todo cerrado para ir permitiendo o negando todo bicho que se mueva.

El caso es que hecho ésto, no paro de recibir cada 30 segundos (cosa que no me pasaba hasta hace media hora) el siguiente mensaje (ver imagen) del antivirus Avast (gracias Yaros donde quieras que estés ) que tiene una especie "analizador" de conexiones.
Siempre vienen de una ip que empieza por 80.35.

Me gustaría que alguien me explicase que carajo es, o puede ser, eso de "DCOM exploit".

La ip estática que me proporciona mi proveedor de servicios (terra, probablemente por poco tiempo, por cierto) empieza también por 80.35 por lo que me pregunto si pudiera ser alguna "movida" del mismo que debería aceptar.

Gracias por la ayuda.





Luego ya podrán spammear, incluido Chilean con su lema "Ni un post atrás"

Attachment: alerta.gif
This has been downloaded 93 time(s).

	26-11-2004 00:42									#2
	Support Apolyton buy from Amazon

¿Tienes el SP2 instalado?

	26-11-2004 00:50									#3
	Increase the size of your Attachments

quote: Originally posted by el mencey ¿Tienes el SP2 instalado?

Digamos que cierto impedimento no me permite instalarlo... ...quizás un buen truco oportuno...

	26-11-2004 01:39									#4
	Support Apolyton, buy Civilization 2

Cuando te pasa eso, sigue estas instrucciones:
1) vete a www.ripe.net/whois y busca la información de la IP. En este caso, descubrirás que es una IP administrada por Telefónica.

2) En la información que da esa página, siempre hay una dirección de contacto de la empresa administradora, y por lo general uno especial para avisar de "abusos" (ataques): en este caso, nemesys@telefonica.es. Escríbeles un correo denunciando el ataque, adjuntando si es posible el log del cortafuegos, que deberá incluir la IP atacante y el puerto y tu IP con su puerto correspondiente, así como el tipo de ataque. Además, fecha, hora y zona horaria.

No es que sirva para mucho, pero al menos según la ley están obligados a atender estas denuncias una a una. En teoría, si uno de sus usuarios está realizando estos ataques, se le corta el servicio.

Información sobre el DCOM exploit:
http://www.hackhispano.com/foro/arc...php/t-8065.html

WRW, consíguete un windows actualizable como sea, porque si no más vale que le pagues horas extra a tu firewall.

EDIT: Lo olvidaba

No contaban con mi astucia...

Last edited by jasev on 26-11-2004 at 01:45

	26-11-2004 03:02									#5
	Lose 30 kilos (of popups)

quote: Originally posted by jasev Cuando te pasa eso, sigue estas instrucciones: 1) vete a www.ripe.net/whois y busca la información de la IP. En este caso, descubrirás que es una IP administrada por Telefónica. 2) En la información que da esa página, siempre hay una dirección de contacto de la empresa administradora, y por lo general uno especial para avisar de "abusos" (ataques): en este caso, nemesys@telefonica.es. Escríbeles un correo denunciando el ataque, adjuntando si es posible el log del cortafuegos, que deberá incluir la IP atacante y el puerto y tu IP con su puerto correspondiente, así como el tipo de ataque. Además, fecha, hora y zona horaria. No es que sirva para mucho, pero al menos según la ley están obligados a atender estas denuncias una a una. En teoría, si uno de sus usuarios está realizando estos ataques, se le corta el servicio. Información sobre el DCOM exploit: http://www.hackhispano.com/foro/arc...php/t-8065.html WRW, consíguete un windows actualizable como sea, porque si no más vale que le pagues horas extra a tu firewall. EDIT: Lo olvidaba No contaban con mi astucia...

Bueno antes de nada gracias por la interesante información.

Un ídolo de juventud:





¡Madre mía hasta el SP4 del W2000 tiene ese agujero!


Carajo, tengo avisos de esos ataques cada 30 segundos y cada vez de una ip distinta. ¡pero ésto es más peligroso que ¡Johannesburgo por la noche...!


Estoy haciendo gestiones para poder actualizar a SP2 a ver qué tal...

	26-11-2004 03:35									#6
	Full PM-box? Change here!

¿Cuál es el impedimento para instalar el SP2? Yo tengo el Win XP "alternativo" y sin embargo bajé el SP2 y lo instalé sin ningún problema

	26-11-2004 04:04									#7
	Support Apolyton, buy Civilization 2

quote: Originally posted by Gerar Dean ¿Cuál es el impedimento para instalar el SP2? Yo tengo el Win XP "alternativo" y sin embargo bajé el SP2 y lo instalé sin ningún problema

En muchas casos de Xp's "alternativos" hay números de serie que te dejan instalar el SO como si nada pero... ...MS cuando sacó el SP2 programó una rutina para que las copias "alternativas" no pudieran actualizarse al SP2 (cabronazo el G. Puertas )

Hoy día ya hay solución circulando... ...lo acabo de comprobar.

	26-11-2004 04:18									#8
	Increase the size of your Attachments

quote: En muchas casos de Xp's "alternativos" hay números de serie que te dejan instalar el SO como si nada pero... ...MS cuando sacó el SP2 programó una rutina para que las copias "alternativas" no pudieran actualizarse al SP2 (cabronazo el G. Puertas )

Algunas sí, otras no

Cuestión de suerte a la hora de elegir en la mula, supongo

	26-11-2004 04:26									#9
	Suffering from ads?

Te está intentando entrar un virus, el Blaster o alguno parecido.

	26-11-2004 04:38									#10
	Full PM-box? Change here!

Sobre el SP2, basta con cambiar la clave por otra y funciona. Hay un keygen para eso, como reemplazarla no me acuerdo pero se puede, yo lo hice hace mucho.
Otra opción es generar la clave nueva antes de instalar windows, pero si ya formateaste y terminaste de instalar todo no vale la pena.

	26-11-2004 05:13									#11
	Inflate your Upload Space

Llamada a procedimiento remoto (RPC) es un protocolo que se utiliza en el sistema operativo Windows. RPC proporciona un mecanismo de comunicación entre procesos que permite a un programa que se ejecuta en un equipo ejecutar código sin dificultades en un sistema remoto. Este protocolo se deriva del protocolo RPC de OSF (Open Software Foundation), pero con la incorporación de algunas extensiones específicas de Microsoft.

Existe un punto vulnerable en la parte de RPC que se encarga del intercambio de mensajes sobre TCP/IP. Los errores son el resultado de la gestión incorrecta de los mensajes mal formados. En concreto, esta vulnerabilidad afecta a una interfaz Modelo de objetos de componentes distribuido (DCOM) con RPC, que escucha en el puerto TCP/IP 135. Esta interfaz controla las solicitudes de activación de objetos DCOM que envían las máquinas cliente (como puedan ser las rutas de acceso de Convención de nomenclatura universal (UNC)) al servidor.

Para aprovechar este punto vulnerable, un atacante debería enviar una solicitud especialmente diseñada al equipo remoto en el puerto 135.

copia de...
----------------------------------------------------------------

Blaster es un gusano que sólo afecta a ordenadores con sistemas operativos Windows 2003/XP/2000/NT. Blaster aprovecha la vulnerabilidad conocida como Desbordamiento de búffer en interfaz RPC para propagarse al mayor número de ordenadores posible.

Blaster producirá ataques de denegación de servicio (DoS) contra el sitio web windowsupdate.com durante los días 15 a 31 de cada mes, y durante todos los días de los meses de septiembre a diciembre de cualquier año. Para ello, Blaster envía un paquete de tamaño 40 Bytes a dicho sitio web cada 20 milisegundos, a través del puerto TCP 80.

Blaster se propaga atacando direcciones IP generadas aleatoriamente, intentando aprovechar la vulnerabilidad arriba mencionada para descargar en el ordenador atacado una copia de sí mismo, para lo cual incorpora su propio servidor de TFTP (Trivial File Transfer Protocol).

Si su ordenador tiene como sistema operativo Windows 2003/XP/2000/NT, es recomendable descargar el parche de seguridad desde la Web de Microsoft. Pulse aquí para acceder a la página de descarga del parche.


Síntomas Visibles

Dos claros síntomas de la presencia de Blaster dentro del ordenador son los siguientes:

Un aumento considerable del tráfico de red a través de los puertos TCP 135 y 4444 y UDP 69.
El bloqueo y reinicio del ordenador atacado, debido a errores de codificación del gusano.



copio de...

	26-11-2004 18:20									#12
	Support Apolyton, buy GURPS/ Alpha Centauri

quote: Originally posted by el mencey Te está intentando entrar un virus, el Blaster o alguno parecido.

Bueno pero en principio es sólo un intento ¿no? Se supone que lo bloquea, al menos eso pone en el mensajito


Ahora llego yo y digo... ...¡SORPRESA!... ...Ayer actualice a SP2 (incluso tengo todas las actualizaciones posibles de Windowsupdate) y sigue saliendo el mensajito cada minuto...

Hombre supongo que se podrá configurar el Antivirus Avast para que no los muestre, pero lo que realmente me preocupa es que habiendo acutlaizado a SP2 sigan habiendo intentos. Creí que el parche cerraba esa vulnerabilidad ¿no?

	26-11-2004 18:39									#13
	Support Apolyton, buy Civilization: The Boardgame

quote: Originally posted by WRW Hombre supongo que se podrá configurar el Antivirus Avast para que no los muestre, pero lo que realmente me preocupa es que habiendo acutlaizado a SP2 sigan habiendo intentos. Creí que el parche cerraba esa vulnerabilidad ¿no?

Si el ordenador no se apaga un minuto después del intento, supongo que tienes el ordenador actualizado.

Ahora solo tienen que actualizarse todos los ordenadores que están intentando contagiar el tuyo

Solo te queda el pataleo o decirle al Avast que se calle

	26-11-2004 21:18									#14
	Help yourself to an AD-FREE life

Lo que te está pasando es que el puto firewall ese te avisa que alguien quiere entrar, no que está adentro. El SP2 no tiene nada que hacer aquí porque nadie "vulneró su seguridad".

¿No podés configurarlo para que no te avise a cada rato? ¿O cambiarlo por otro firewall menos hincha pelotas?

	26-11-2004 23:56									#15
	Suffering from ads?

quote: Originally posted by Gerar Dean Lo que te está pasando es que el puto firewall ese te avisa que alguien quiere entrar, no que está adentro. El SP2 no tiene nada que hacer aquí porque nadie "vulneró su seguridad". ¿No podés configurarlo para que no te avise a cada rato? ¿O cambiarlo por otro firewall menos hincha pelotas?

Oye, oye que a mí no me ha vulnerado nadie ¡Eh!...


...ya había quitado el aviso del Antivirus...


Lo que me extraña es que si ese virus aprovecha una vulnerabilidad del XP antes del SP2, por qué podrá hacerlo, de no ser por el firewall, una vez actualizado.

	27-11-2004 00:16									#16
	Increase the size of your Attachments

A lo mejor es que tu cortafuegos actúa antes que el de windows. Eso significaría que aunque no tuvieras el cortafuegos (o no funcionara), windows detendría los ataques.

	27-11-2004 02:19									#17
	Support Apolyton buy from Amazon

Lo que pasa es que el gusano no sabe que ya estás inmunizado y continua intentando. Es como dice GD, el firewall detecta el intento cuando el gusano trata de conectarse al puerto.

	27-11-2004 04:18									#18
	Remove this text

Sasto, el firewall ataja antes que el Windows.