Onderwerp: Windows zonder firewall software zou ik het strafwetboek moeten komen.

"Lucvdv" <name@null.net> wrote in message
news:bfvio1149tpfmli3326fie3tg4jfm8f5fs@4ax.com...
> Ik heb je experiment eens herhaald (staat nu zo'n 10 minuten te
> draaien), met een ongepatchte Win2000, wel *met* password.

Zoals door anderen ook al aangehaald, ben ik er vrij zeker van dat het
Telenet netwerk stukken veiliger is dan andere. Skynet en Scarlet
(behalve Scarlet One) is een pak onveiliger. Als ik naar de LEDs van
mijn kabelmodem hier bij Telenet kijk zie ik zo af en toe eens RX(aka
RD,aka receive) knipperen, ook al ben ik niets aan het doen. Als ik bij
Skynet of Scarlet klanten langsga staan die ADSL modems bijna continu te
knipperen, ook al zijn die PC's dan niet geinfecteerd...

> Van malware of toenemende trafiek tot nu toe nog geen spoor, maar
> messenger-spam had ik inderdaad binnen een paar seconden al binnen.
> Met nog maar 150 pakketten in en uit (gecaptured in ethereal op een
> andere machine) heb ik al vier van die messenger popups gehad. Alle
> vier popups die zich proberen voor te doen als berichten wan windows
> zelf, met reclame voor websites die o.a. anti-spyware beweren te
> verkopen. Het zou me niet verbazen als die sites bezoeken echt iets
> binnen duwt.
>
> Voor zo'n messenger spam is er dan ook weinig nodig: gewoon een
> pakketje met wat tekst in, en de messenger service laat die tekst zien
> in een window.
>
> De rest schijnt 'normale' trafiek van windows zelf te zijn (zo gauw
> die op het netwerk kan, begint hij te zoeken naar andere computers in
> zijn omgeving: is dat misschien de eerste 'infectie' die jij zag na
> 1,5 sec?

Neen. Die 2s is het verschil tussen het ogenblik dat ik de netwerkkabel
inplugde, en de betandswijzigingsdatum van het eerste bestand dat op de
harde schijf terechtkwam (in c:\ en dat volgens Norton AV geinfecteerd
was). Nu is die bestandsdatum geen waterdichte garantie dat het systeem
effectief na 2s geinfecteerd was, maar gezien de rest van het verloop
van het gedrag heb ik geen reden om aan te nemen dat die datum vervalst
zou zijn.

Wat dat zoeken betreft naar andere computers, bedoel je NetBios
broadcasts op UDP/138 edm, of UDP/1900? Of bedoel je dat Windows vanzelf
gaat connecteren op poorten tcp/139 en tcp/445 van alle PC's en zelfs
netwerkadressen van het netwerk? Dat laatste is nl. abnormaal Windows
gedrag typisch voor geinfecteerde machines.

netstat -a -n levert dan typisch een waslijst van uitgaande connecties
of connectiepogingen.

--
V

V wrote:
> "Lucvdv" <name@null.net> wrote in message
> news:3ario1h69knj10k3gp46jd715q50g71uup@4ax.com...
> > LSA (voluit eigenlijk LSASS) is dat deel van windows dat van elke
> > toegangspoging, zowel lokaal als via het netwerk, beslist of ze
> > toegelaten wordt of niet. Als je de portier geen toegang geeft kan
> > hij niemand meer binnen laten
>
> En als iemand de portier KO slaat?

Wat jij in het onderwerp voorstelt is het hotel daarvoor strafbaar
stellen in plaats van de dader.

Klinkt niet echt logisch

Alhoewel, er zijn al gelijkaardige precedenten (geen wetten, denk ik).
Wie zijn auto of zijn achterdeur niet op slot doet wordt zelf als
verantwoordelijk gezien als er iets gestolen wordt, in feite al even
onlogisch, maar dat neemt niet weg dat het dom is om de deur niet op
slot te doen.

En dat is echt een ontwikkeling van de laatste 50 jaar: daarvoor was
het de normaalste zaak van de wereld wanneer er niet eens een slot op
de deur was.

V wrote:

> Als ik naar de LEDs van
> mijn kabelmodem hier bij Telenet kijk zie ik zo af en toe eens RX(aka
> RD,aka receive) knipperen, ook al ben ik niets aan het doen. Als ik bij
> Skynet of Scarlet klanten langsga staan die ADSL modems bijna continu te
> knipperen, ook al zijn die PC's dan niet geinfecteerd...

Bij telenet verschilt het van geval tot geval.

Nog maar onlangs heb ik een nieuwe modem gekregen (digitale TV werkt
blijkbaar niet met de oude CLDP's). De activiteit van die LED op de
nieuwe is _veel_ minder dan op de oude, daar stond die ook continu te
knipperen, maar zo goed als alles was ARP verkeer.

Nu bij die test (die nog altijd staat te draaien) zie ik dat er zo
goed als geen ARP is, het meeste is UDP (van die messenger spam).

Het staat nu iets meer dan een uur te draaien, het totaal is nog
altijd maar een 250 pakketten, en buiten die messenger-spam heb ik nog
niets abnormaals gemerkt.
Om 100% zeker te zijn zal er natuurlijk een scan moeten gedaan worden,
maar aan de hand van geheugengebruik en aantal draaiende processen
denk ik niet dat daar iets gaat uitkomen: dat is allebei nog hetzelfde
als onmiddellijk na de boot (41 MB, 17 processen, waarvan 4 zelf
gestart).

"Lucvdv" <name@null.net> wrote in message
news:gh2jo1titkurvk15rlkn0b34atu8m0mmli@4ax.com...
>V wrote:
>> "Lucvdv" <name@null.net> wrote in message
>> news:3ario1h69knj10k3gp46jd715q50g71uup@4ax.com...
>> > LSA (voluit eigenlijk LSASS) is dat deel van windows dat van elke
>> > toegangspoging, zowel lokaal als via het netwerk, beslist of ze
>> > toegelaten wordt of niet. Als je de portier geen toegang geeft kan
>> > hij niemand meer binnen laten
>>
>> En als iemand de portier KO slaat?
>
> Wat jij in het onderwerp voorstelt is het hotel daarvoor strafbaar
> stellen in plaats van de dader.

Neen, dat is jouw voorstel. Als een portier geen opleiding heeft genoten
in o.a. sociale vaardigheid vind ik dat hotel medeaansprakelijk voor
eventuele letsels. Mijn voorstel is de stad die dergelijk hotel toelaat
open te blijven strafbaar te stellen.

> Klinkt niet echt logisch

..

> Alhoewel, er zijn al gelijkaardige precedenten (geen wetten, denk ik).
> Wie zijn auto of zijn achterdeur niet op slot doet wordt zelf als
> verantwoordelijk gezien als er iets gestolen wordt, in feite al even
> onlogisch, maar dat neemt niet weg dat het dom is om de deur niet op
> slot te doen.

Dat staat in het verkeersreglement, en is dus een wet.

> En dat is echt een ontwikkeling van de laatste 50 jaar: daarvoor was
> het de normaalste zaak van de wereld wanneer er niet eens een slot op
> de deur was.

De schuld van de toegenomen mobiliteit...

--
V

Cyrano wrote:
> In article
> <Ll4if.57949$Eg7.3760249@phobos.telenet-ops.be>,
> "FluffyB" <fb@yahoo.com> wrote:
>
>> Cyrano wrote:
>>> Laat dat "logisch" er maar af. Probeer 't zelf eens en
>>> je zal zien.
>>>
>>> 't is me recent ook overkomen. Afgelegen locatie, alleen
>>> XP CD om te installeren, geen SP2-CD's en dan updaten
>>> via een analoge modem-verbinding. Wel, XP is niet te
>>> installeren op die manier. Voor je een update
>>> binnenkrijgt, zitten er al enkele virussen op...
>>
>> Niks houdt je tegen - als je weet dat je naar een
>> afgelegen locatie gaat - om Xp te herinstalleren met een
>> kopie van Winxp Home SP2 of Prof SP2 . Het verbaast me
>> eigenlijk dat je daar niet aan denkt.
>
> tsja...
>
> familiebezoek, nieuwe PC...

Vreemd...Nieuwe pc zonder SP2?

>
>> Overigens ,een herinstallatie met WinXP , SP1 of SP2 en
>> met een analoge modem is eenvoudig weg niet in een paar
>> uren te klussen. In bepaalde configuraties met SP2 moet
>> je de Bestands en printerdeling uitzondering in de
>> firewall uitschakelen want dan blokkeer je TCP
>> 138,139,137,445 of je kunt in het bereik wijzigen van
>> Elke computer(incl. internet) naar het alleen het
>> lokale subnet.
>
> Huh?

De OP heeft het toch over poort 445. Indien ISP's niet
blokkeren onder 1024 dan blokkeer je die poort of laat je
die poort alleen toe in je eigen subnet. Indien in
bedrijfs-situaties dan tunnel je over VPN.

Paul Cobbaut wrote:
> V wrote:
> > Niet aangeweest. Ik weet eigenlijk niet of het default uit of aanstaat
> > onder W2K.
> >
> >> IIS geinstalleerd of niet?
> >
> >
> > Standaard installatie. Daar zitten dus geen internet information
> > services in, denk ik.
>
> Vroeger zat IIS er altijd standaard in!
> ...tot en met sp3(denk ik) wordt IIS standaard mee geïnstalleerd.
> Bij sp4 is IIS zeker uit de default gegooid!
>
> pol

Pol, ik heb hier zojuist een nieuwe Win2000 Pro SP0 geinstalleerd:
geen default IIS, en in Professional heeft dat er ook nooit standaard
ingezeten, zelfs niet in de betas.

"Paul Stynen" <mammoth__no_spam__@scarlet.be> wrote in message
news:5r6dna4IH7GVDBTeRVnyjA@scarlet.biz...
>V wrote:
>> Zoals door anderen ook al aangehaald, ben ik er vrij zeker van dat
>> het
>> Telenet netwerk stukken veiliger is dan andere. Skynet en Scarlet
>> (behalve Scarlet One) is een pak onveiliger.
>
> Kan je even toelichten waarom Scarlet onveilig is en Scarlet one niet
> ?

Bij Scarlet One gebruiken ze NAT voor de IP adressen. Als klant krijg je
een IP adres dat niet routeerbaar is, en dus onbereikbaar van op het
Internet. De IP adressen die ik tot nog toe gezien heb voor Scarlet One
zitten in de range 172.16.0.0/12 (vergelijkbaar met de meer bekende
192.168.0.0/16).

Bij Scarlet "gewoon" zit je net zoals bij alle andere providers in
Belgie op een publiek adres.

--
V

Paul Cobbaut wrote:
> Lucvdv wrote:
> > Paul Cobbaut wrote:
> >
> >>V wrote:
> >>
> >>>Niet aangeweest. Ik weet eigenlijk niet of het default uit of aanstaat
> >>>onder W2K.
> >>>
> >>>
> >>>>IIS geinstalleerd of niet?
> >>>
> >>>
> >>>Standaard installatie. Daar zitten dus geen internet information
> >>>services in, denk ik.
> >>
> >>Vroeger zat IIS er altijd standaard in!
> >>...tot en met sp3(denk ik) wordt IIS standaard mee geïnstalleerd.
> >>Bij sp4 is IIS zeker uit de default gegooid!
> >>
> >>pol
> >
> >
> > Pol, ik heb hier zojuist een nieuwe Win2000 Pro SP0 geinstalleerd:
> > geen default IIS, en in Professional heeft dat er ook nooit standaard
> > ingezeten, zelfs niet in de betas.
>
> idd, dat stukje is uit de thread weggeknipt, we hadden het over servers.
> IIS bestaat niet op de pro (is dat niet Personal WS ofzo)

Personal WS was voor Win9x dacht ik, en misschien NT4 WS.

Op Win2000 Pro kan je IIS installeren, maar je moet het doen nadat
setup klaar is, langs "add/remove windows components".


Bij Win2000 Server dacht ik dat je altijd al de keuze had in setup,
maar dat het default aangevinkt stond. Hier zou ik me wel kunnen
vergissen, is een tijd geleden dat ik er nog een geinstalleerd heb.

"Lucvdv" <name@null.net> wrote in message
news:ca6jo11q9o0rgf5gvudpkbl386qnjfrnjq@4ax.com...
> Paul Cobbaut wrote:
>> Lucvdv wrote:
>> > Paul Cobbaut wrote:
>> >
>> >>V wrote:
>> >>
>> >>>Niet aangeweest. Ik weet eigenlijk niet of het default uit of aanstaat
>> >>>onder W2K.
>> >>>
>> >>>
>> >>>>IIS geinstalleerd of niet?
>> >>>
>> >>>
>> >>>Standaard installatie. Daar zitten dus geen internet information
>> >>>services in, denk ik.
>> >>
>> >>Vroeger zat IIS er altijd standaard in!
>> >>...tot en met sp3(denk ik) wordt IIS standaard mee geïnstalleerd.
>> >>Bij sp4 is IIS zeker uit de default gegooid!
>> >>
>> >>pol
>> >
>> >
>> > Pol, ik heb hier zojuist een nieuwe Win2000 Pro SP0 geinstalleerd:
>> > geen default IIS, en in Professional heeft dat er ook nooit standaard
>> > ingezeten, zelfs niet in de betas.
>>
>> idd, dat stukje is uit de thread weggeknipt, we hadden het over servers.
>> IIS bestaat niet op de pro (is dat niet Personal WS ofzo)
>
> Personal WS was voor Win9x dacht ik, en misschien NT4 WS.
>
> Op Win2000 Pro kan je IIS installeren, maar je moet het doen nadat
> setup klaar is, langs "add/remove windows components".
>
>
> Bij Win2000 Server dacht ik dat je altijd al de keuze had in setup,
> maar dat het default aangevinkt stond. Hier zou ik me wel kunnen
> vergissen, is een tijd geleden dat ik er nog een geinstalleerd heb.

als mijn geheugen mij niet in de steek laat staat die bij W2K pro ook
standaard aangevinkt, 't eerste wat ik doe na een fresh install en *voor*
Inet connectie is die boel grondig opkuisen voor functies die ik niet nodig
heb :-)

imbsysop wrote:

[IIS]
> als mijn geheugen mij niet in de steek laat staat die bij W2K pro ook
> standaard aangevinkt,

Toch niet, en zo heb ik er deze middag nog een geinstalleerd, dus het
zit nog vers in het geheugen

In article <lagif.58307$ny5.3709053@phobos.telenet-ops.be>,
"FluffyB" <fb@yahoo.com> wrote:

> Cyrano wrote:
> > In article
> > <Ll4if.57949$Eg7.3760249@phobos.telenet-ops.be>,
> > "FluffyB" <fb@yahoo.com> wrote:
> >
> >> Cyrano wrote:
> >>> Laat dat "logisch" er maar af. Probeer 't zelf eens en
> >>> je zal zien.
> >>>
> >>> 't is me recent ook overkomen. Afgelegen locatie, alleen
> >>> XP CD om te installeren, geen SP2-CD's en dan updaten
> >>> via een analoge modem-verbinding. Wel, XP is niet te
> >>> installeren op die manier. Voor je een update
> >>> binnenkrijgt, zitten er al enkele virussen op...
> >>
> >> Niks houdt je tegen - als je weet dat je naar een
> >> afgelegen locatie gaat - om Xp te herinstalleren met een
> >> kopie van Winxp Home SP2 of Prof SP2 . Het verbaast me
> >> eigenlijk dat je daar niet aan denkt.
> >
> > tsja...
> >
> > familiebezoek, nieuwe PC...
>
> Vreemd...Nieuwe pc zonder SP2?

Vreemd? Vrijdag vier Acers binnengekregen. Alle vier zonder SP2...

> >
> >> Overigens ,een herinstallatie met WinXP , SP1 of SP2 en
> >> met een analoge modem is eenvoudig weg niet in een paar
> >> uren te klussen. In bepaalde configuraties met SP2 moet
> >> je de Bestands en printerdeling uitzondering in de
> >> firewall uitschakelen want dan blokkeer je TCP
> >> 138,139,137,445 of je kunt in het bereik wijzigen van
> >> Elke computer(incl. internet) naar het alleen het
> >> lokale subnet.
> >
> > Huh?
>
> De OP heeft het toch over poort 445. Indien ISP's niet
> blokkeren onder 1024 dan blokkeer je die poort of laat je
> die poort alleen toe in je eigen subnet. Indien in
> bedrijfs-situaties dan tunnel je over VPN.

Aha. Dat is iets leesbaarder ;-)

In article <ADgif.58330$Xe5.3636283@phobos.telenet-ops.be>,
"V" <v@telenet.be> wrote:

> "Paul Stynen" <mammoth__no_spam__@scarlet.be> wrote in message
> news:5r6dna4IH7GVDBTeRVnyjA@scarlet.biz...
> >V wrote:
> >> Zoals door anderen ook al aangehaald, ben ik er vrij zeker van dat
> >> het
> >> Telenet netwerk stukken veiliger is dan andere. Skynet en Scarlet
> >> (behalve Scarlet One) is een pak onveiliger.
> >
> > Kan je even toelichten waarom Scarlet onveilig is en Scarlet one niet
> > ?
>
> Bij Scarlet One gebruiken ze NAT voor de IP adressen. Als klant krijg je
> een IP adres dat niet routeerbaar is, en dus onbereikbaar van op het
> Internet. De IP adressen die ik tot nog toe gezien heb voor Scarlet One
> zitten in de range 172.16.0.0/12 (vergelijkbaar met de meer bekende
> 192.168.0.0/16).
>
> Bij Scarlet "gewoon" zit je net zoals bij alle andere providers in
> Belgie op een publiek adres.

Aha. Goeie tip! Ik heb Scarlet One, maar had nog nooit zover gedacht...

"Lucvdv" <name@null.net> wrote in message
news:sbjgo1pgi8j31f21h6mnugnlb0c0h2bo27@4ax.com...
> Stond er een password op de administrator-account? Guest-account
> uitgeschakeld laten staan? IIS geinstalleerd of niet?

Heb de test herhaald met W2KPro + IE6SP1 + SP4 + SRUP1, met een
administrator paswoord dat niet kraakbaar is via brute force attacks,
guest account disabled en geen IIS (die laatste twee zoals bij vorige
test).

Na 22.5 minuten was de PC geinfecteerd met een worm (W32.Mocbot.A), die
even daarna trachtte zichzelf te verpreiden via tcp/445.

Na installatie van alle beschikbare security updates (post SP4+SRUP1),
kon de PC alle aanvallen gedurende meer dan twee uur tegenhouden (en
misschien langer, maar ik niet langer niet gewacht).

Dus een admin paswoord zetten heeft klaarblijkelijk een gunstig effect,
maar houdt niet alles tegen.

WXPSP2 resultaten normaal voor morgen.

--
V

V wrote:

> Na 22.5 minuten was de PC geinfecteerd met een worm (W32.Mocbot.A), die
> even daarna trachtte zichzelf te verpreiden via tcp/445.

22.5 minuten wil ik geloven.
Dat is al minuten langer dan het SANS institute beweert

Ik blijf erbij (dus ik geef je gelijk) dat een windows-PC niet zonder
bescherming op internet hoort. Liefst te beginnen met externe
bescherming, en die kan bestaan uit een simpel NAT routertje.

Ik blijf het oneens met de onderwerpregel, omdat je bij geen enkel
misdrijf het slachtoffer straft. Dat is immoreel.

"V" <v@telenet.be> wrote in message
newsBIif.59485$cD5.3820611@phobos.telenet-ops.be...
> "Lucvdv" <name@null.net> wrote in message
> news:sbjgo1pgi8j31f21h6mnugnlb0c0h2bo27@4ax.com...
>> Stond er een password op de administrator-account? Guest-account
>> uitgeschakeld laten staan? IIS geinstalleerd of niet?
>
> Heb de test herhaald met W2KPro + IE6SP1 + SP4 + SRUP1, met een
> administrator paswoord dat niet kraakbaar is via brute force attacks,
> guest account disabled en geen IIS (die laatste twee zoals bij vorige
> test).
>
> Na 22.5 minuten was de PC geinfecteerd met een worm (W32.Mocbot.A), die
> even daarna trachtte zichzelf te verpreiden via tcp/445.

tiens ... dus toch poort 445 LOL! alhoewel sommigen niet eens schijnen te
wten dat ze bestaat LOL!