Hanno violato il mio PC

[Sery Sery]

Buongiorno, ho un problema di sicurezza (purtroppo te ne accorgi sempre dopo il fattaccio).
Ho un pc con Seven, provider Telecome (alice), router il classico Pirelli di Alice.
Il Pc è in condivisione con un Medley3, un portatile, ed un tablet, al pc ho dato condivisione "everyone" per farlo vedere al Medley.
Avevo impostato il Mac Address per tutti i dispositivi, poi mamma Telecom e con la telegestione ha aggiornato il router e da alcuni giorni mi chiedeva di cambiare chiave wpa, cosa che per pigrizia non ho fatto.

Questo il prologo, veniamo ai fatti, da un paio di giorni trovo il pc in modalità richiesta psw (ho pensato ad un riavvio anomalo, niente di che.
L'altro ieri trovo la stessa cosa, accedo e noto che Avira è disattivato....lo attivo e finisce tutto li.
Ieri mattina trovo il pc in modalità richiesta psw ma trovo anche un nuovo utente con proprietà di admin
A quel punto cancello il nuovo account, imposto i mac address di nuovo e cambio psw a tutto, mail, forum, account Seven etc etc.

Stamani nel registro eventi di Seven trovo un evento alle 5.27 (a quell'ora ero a letto con mio marito...)

"Accesso di un account riuscito, evento 4624"


Soggetto:
ID sicurezza: SYSTEM
Nome account:
Dominio account: WORKGROUP
ID accesso: 0x3e7

Tipo di accesso: 5

Nuovo accesso:
ID sicurezza: SYSTEM
Nome account: SYSTEM
Dominio account: NT AUTHORITY
ID accesso: 0x3e7
GUID accesso: {00000000-0000-0000-0000-000000000000}

Informazioni sul processo:
ID processo: 0x214
Nome processo: C:\Windows\System32\services.exe

Informazioni di rete:
Nome workstation:
Indirizzo rete di origine: -
Porta di origine: -

Informazioni di autenticazione dettagliate:
Processo di accesso: Advapi
Pacchetto di autenticazione: Negotiate
Servizi transitati: -
Nome pacchetto (solo NTLM): -
Lunghezza chiave: 0



La mia domanda è:

"devo pensare che il tipo sia entrato di nuovo nel mio pc?"

Se la risposta è si, vi pregherei di darmi dei suggerimenti per proteggermi, grazie.

Sery

[Sery Sery]

Alla faccia del forum di tecnologia....

PS- Complimentoni....

[xcdegasp]

domanda: perchè è abilitata la connessione da remoto al pc?

[nV 25]

Originariamente inviato da Sery Sery

Alla faccia del forum di tecnologia....

PS- Complimentoni....

poichè chi scrive su questo forum lo fa anzitutto gratis, uno risponde..se sa e se ne ha voglia.

Altrimenti paghi, e a quel punto puoi anche lamentarti in caso di disservizio.

[Sery Sery]

Originariamente inviato da xcdegasp

domanda: perchè è abilitata la connessione da remoto al pc?

Mai abilitata, se puoi darmi chiarimenti, ti ringrazio in anticipo

[xcdegasp]

mi sembra che di default è abilitata l'assistenza remota ma non ricordo se questo valga anche per la connessione remota o se questa si attivi qualora venga impostata una password per accedere a windows.
l'ultima volta che ho reinstallato un windows seven è stato piu di un anno fa'..

[Sery Sery]

Originariamente inviato da xcdegasp

mi sembra che di default è abilitata l'assistenza remota ma non ricordo se questo valga anche per la connessione remota o se questa si attivi qualora venga impostata una password per accedere a windows.
l'ultima volta che ho reinstallato un windows seven è stato piu di un anno fa'..

Hai ragione c'era una connessione remota abilitata (l'ho disattivata) da un paio di giorni il registro evento mi segnala winlogon fallito ad ogni ora e il firewall (aggiuntivo che ho istallato) mi riporta una serie interminabile di attacchi....ma la gente non ha niente da fare?

[gd350turbo]

Originariamente inviato da Sery Sery

Hai ragione c'era una connessione remota abilitata (l'ho disattivata) da un paio di giorni il registro evento mi segnala winlogon fallito ad ogni ora e il firewall (aggiuntivo che ho istallato) mi riporta una serie interminabile di attacchi....ma la gente non ha niente da fare?

La gente per collegarsi e/o tentare di collegarsi al tuo computer ha bisogno di conoscere il tuo indirizzo ip, quindi a meno che tu non abbia una qualche specie di malware/spyware o altra porcheria che lo pubblica da qualche parte, basta un reset o un adsl reboot via telnet, che ti cambia ip e l'attaccante non ti trova più.

[Sery Sery]

Originariamente inviato da gd350turbo

La gente per collegarsi e/o tentare di collegarsi al tuo computer ha bisogno di conoscere il tuo indirizzo ip, quindi a meno che tu non abbia una qualche specie di malware/spyware o altra porcheria che lo pubblica da qualche parte, basta un reset o un adsl reboot via telnet, che ti cambia ip e l'attaccante non ti trova più.

Ti ringrazio, seguo subito il tuo consiglio con un reset

[Sery Sery]

Originariamente inviato da gd350turbo

La gente per collegarsi e/o tentare di collegarsi al tuo computer ha bisogno di conoscere il tuo indirizzo ip, quindi a meno che tu non abbia una qualche specie di malware/spyware o altra porcheria che lo pubblica da qualche parte, basta un reset o un adsl reboot via telnet, che ti cambia ip e l'attaccante non ti trova più.

Aggiornamento, da un paio di giorni, riavviando il pc mi trovo con una schermata nera, il cursore, ma non la pagina dove scegliere l'utente

[amigaos]

direi che il formattone in questo caso e' l'unica cosa che potrebbe ristabilire quel minimo di fiducia nel pc, visto anche il comportamento anomalo magari creato da un problema software.

[gd350turbo]

Originariamente inviato da amigaos

direi che il formattone in questo caso e' l'unica cosa che potrebbe ristabilire quel minimo di fiducia nel pc, visto anche il comportamento anomalo magari creato da un problema software.

Confermo & sottoscrivo !