Porte TCP che si aprono da sole?

[Santovasku]

esordisco premettendo che non sono certo questo sia il forum giusto, se scrivo qui è perchè altrove non mi hanno saputo aiutare e sto maturando il sospetto che dietro i miei guai possa esserci un problema di scarsa sicurezza informatica...


orbene... nelle ultime tre settimane ho avuto un pò di problemi con la mia connessione internet e, smanettando alla ricerca di una soluzione, ho scoperto (grazie al comando netstat -a) che il mio pc ha la strana abitudine di aprire un sacco di porte TCP in locale e lasciarle aperte (status: LISTENING'), apparentemente senza alcuna ragione...

in pratica, a partire da quando lo accendo, il pc comincia ad aprire in locale tutte le porte TCP dalla 1024 alla 5000, lentamente ma senza tregua, fino a che dopo un'ora o due arrivo ad'avere 4000 porte tutte aperte con status 'LISTENING' che sembrano star lì a far nulla... praticamente dopo qualche ora la schermata di netstat è così:


Proto---Indirizzo locale------Indirizzo remoto-------Stato
TCP-----0.0.0.0:1025----------0.0.0.0:0--------------LISTENING
TCP-----0.0.0.0:1026----------0.0.0.0:0--------------LISTENING
TCP-----0.0.0.0:1027----------0.0.0.0:0--------------LISTENING

E così via, fino alla porta 5000 senza saltarne nessuna...


ora, non so se questo possa essere legato agli altri miei problemi (cui ho accennato all'inizio) e sicuramente alcune di quelle porte aperte avranno una loro funzione, ma... tutte le altre migliaia?!? io sono ignorante in materia di sicurezza e non vorrei fosse qualcosa di brutto...



ecco un pò di dettagli assortiti:

- uso WINDOWS 2000 PRO (+ Service Pack 2), il resto della configurazione la vedete nella sign... se volete altri dettagli su hardware/software, chiedete...

- questo strano comportamente non sembra legato all'essere connesso a internet: se accendo il pc ma non mi collego, lui pian piano le porte se le apre tutte lo stesso...

- parimenti, il comportamente non sembra legato a eventuali applicazioni in esecuzione: me lo fa anche se avvio il pc e lo lascio lì senza lanciare o eseguire nulla...

- riguardo eventuali applicazioni in esecuzione automatica, non tengo niente di pesante e cmq nè il taskmanager nè 'SiSoft Sandra 2003' rilevano niente di anomalo o indesiderato in esecuzione... se volete dettagli, chiedete pure...



ora passiamo a quello che ho già tentato:

- ho installato spybot 1.2 e l'ho aggiornato a ieri, non ha rilevato nulla di grosso a parte un dialer e due/tre vecchi spyware, che ho già eliminato... ci sarebbero pure una manciata di vecchie chiavi di registro in disuso ma non credo c'entrino nulla e cmq non mi azzardo a toccare... non si sa mai...

- ho controllato con AVG7 aggiornato a ieri e non ho rilevato virus... idem con bitdefender provato tre ore fa...

- anti-trojan 5.5 aggiornato a oggi non ha rilevato nessun trojan attivo sui dischi o nel registro di sistema... alcune delle porte aperte l da come 'potenzialmente sospette' ma poi non rileva nulla sui dischi...

- non ho firewall installati... sò furbo, lo so...



credo di non aver dimenticato nulla, nel caso fatemelo notare... e grazie mille ha chi ha avuto la forza di leggersi tutto quello che ho scritto...

[Santovasku]

piccolo aggiornamento... ho scoperto che ad aprire tutte queste porte è un file chiamato XMDM.EXE che si nasconde nella cartella system32 assieme al su degno compare xdoor3.exe (un backdoor credo)... dopo qualche ricerca su google, ho tovato essere una qualche specie di trojan/virus poco diffuso e che la maggior parte degli antivirus non sembrano nemmeno rilevare... voi ne sapete nulla?


seguedo il consiglio del sito mcafee (http://vil.mcafee.com/dispVirus.asp?virus_k=100485) ho caricato win2000 in modalità provvisoria, sono riuscito a visualizzare i due file e rimuoverli, cancellandoli anche dalla cartella dllcache, ma le chiavi di registro che li controllano (e che me li ricreano a ogni riavvio) non si riescono a rimovere manualmente, mi danno divieto di accesso... come le posso bastonare??


thanks a tutti...