¿El Zone Alarm NO es confiable?

Pos vaya con el zonealarm, aunque hay otra nueva version ya en la web la 3.0.091 que no se si le afectara lo que cuentas.

Yo tengo la version que tu dices y de momento no tengo nada de lo que comentas, aunque antes de instalarla tube mis dudas y si lo llego a saber aplico lo de "mas vale lo bueno conocido, que los bugs por conocer"

Sobre todo cuando estamos comentando n el foro d hack q existe la posibilidad d q el zone no sea el culpable... decir asi a la ligera q es un coladero sin hacer mencion a q no hay nada seguro aun no m parece bien, por lo menos comprobar la noticia no?

yo es que lo flipo cada dia más con esta web que al principio parecía que iba a ser la leche y cada dia se hunde más con noticias como esta que no están contrastadas ni de ningún modo y se publican igual, alegremente, sin tener en cuenta que hay gente que no tiene idea de nada y todo lo que lee aquí se lo toma como leido de la biblia de la informática.

vayamos por puntos...

aquí el tal hypnosys se ve que mucho de inglés no sabe o se lee las cosas a la ligera y sin asimilar el contenido.

sobre la traducción que hace este tio en cuanto al tema de las condiciones legales previas a la instalación, el coleguita hace una traducción muy suya porque no tiene nada que ver con el texto original.en la web que cita como fuente de la noticia (cexx.org/newnet.htm) dice textualmente esto: "It is asserted, but unverified, that the NewDotNet component is not substantially disclosed in the install agreements (if at all). This observation is due to the many mails we have received from customers who found New.Net on their systems and had no idea how it got there. It is asserted by a large number of readers that they don't know how this got on their systems"

es decir, resumiendo, el párrafo viene a decir que el componente newdotnet no suele estar suficientemente reseñado en las condiciones legales previas a la instalación (resaltar que indica "agreements", PLURAL de "agreement", porque se está refiriendo a condiciones legales de programas en general, no a las condiciones del Zone Alarm como dice este tal hypnosys) y se apolla para decir eso en que mucha gente se ha encontrado con el new.net en sus sistemas sin tener ni idea de como ha llegado hasta ahí.

así que... que quede bien claro que el zone alarm no contiene el new.net en su instalación

y sobre el otro punto... el hecho de que zone alarm no pudiera detectar a new.net en sus conexiones dice así: "There are also unverified reports that the plug-in is capable of accessing the Internet undetected by the popular personal firewall software, Zone Alarm. Other reports indicate ZA successfully detecting and blocking its connection attempts. A user has confirmed that Zone Alarm (free) 2.6 detects the app successfully. This behaviour is most likely because the DLL is a function library and not a stand-alone program--it must be linked by Windows' "RunDLL32.exe" wrapper. If a ZA rule has already been established for RunDLL32.exe running another DLL, newdot~*.dll would obtain the same permissions already granted to RunDLL32.exe. This behaviour appears to have been fixed as of version 2.6"

con lo que, primero decir, que cita casualmente el zone alarm como ejemplo ya que es un firewall muy conocido y según parece hay gente que ha informado de que en ocasiones no detecta el new.net, pero, como bien explica más adelante también dice que esto es sobre todo debido a un problema respecto a cuando se ha instalado zone alarm si antes o después del new.net ya que de ello dependerá que zone alarm deje pasar el new.net al ser un dll asociado al permiso de acceso del rundll32.exe que es un componente de windows al que zone alarm le permite obviamente el acceso.

y para terminar dice que de todos modos este incoveniente parece que ha sido corregido con la versión 2.6 de zone alarm. por lo que en el peor de los casos, sería un problema que ya ha dejado de ser tal!!

una última cosa... si vais a la web original y os meteis en la sección de "adware/spyware" vereis que si vais a pinchar en el artículo que trata sobre este tema teneis este enlace "New Net, Inc (NewDotNet) Installed by BearShare among others" es decir, que el artículo fue escrito pensando en el programa BearShare y otros (casi todos los que instalan el new.net son programas de intercambio de archivos). por no hablar de que este artículo tiene ya meses de antiguedad con lo que seguramente el zone alarm está más pulido que pulido ya sobre este tema del new.net.

total... que el tipo este no se entera de la mitad y los moderadores dejan pasar las noticias sin... leerlas?? parece que solo mirasen si son ofensivas o contienen insultos, si pasan ese filtro se publican aunque no tengan nada de contrastadas o de ciertas... ¿será falta de tiempo? chicos... si os hace falta gente para echar una mano... pedidla coño ;) pero no dejeis que esto se vaya de las manos!!

Como no me deja editarlo pongo la explicacion aqui...

Esta tarde n el foro le pedi a un bocadepez (bike no?, por cierto muchas gracias por el envio ;) ) el keygen al q el achacaba la supuesta infeccion:

"hola , mira , mi nivel , seguramente no es tan bueno como el tuyo , pero te puedo contar mi experiencia con el run32dll.exe.tmp
anoche antes de ins. el zone 3 , me baje el keygen , y por exeso de paranoia , ANTES de instalar el zone 3 , probe el keygen , y mi zone 2.6 me pide paso al run32dll , se lo niego , lo quito del zone (programs) y me lo sigue pidiendo!!!!
de esto deduzco que el zone 3 , que ni siquiera lo comence a instalar en ese momento , no lo tiene , lo tiene en mi caso el keygen , asi que a cuidarse d los keygen , que si es verdad lo de los centavos , los que hacen los key gen , se forraran!!
saludos
bike"

Como su post m llamo la atencion quise desensamblar el keygen a ver q tenia dentro (por si a alguien le interesa uso el w32dasm 8.93) d entrada el fichero es grande pa lo q es (107.251 bytes) aqui no vale q tenga un efecto tipo demo ni musica ni ostias, he visto keygens muy currados con animaciones y sonido y no pasaban d los 20 kb asi q m olio mal solo verlo. Al desensamblar un aviso d q el formato d ejecutable no era standard... y tanto, no habia llamadas a funciones ni nada q se le pareciese, obviamente estaba hecho d forma q al desensamblar no se pudiera ver nada, asi q ejecuté el programa n cuestion a ver q pasaba...

De entrada el zone alarm dio un aviso d q rundll32.exe queria salir al exterior, lo curioso no es la ip (americana, le perdi el rastro n n.york) sino el puerto... 65.161.40.3:6667 si no m falla la memoria el sub7 cuando infectaba una maquina conectaba un bot d irc para saber q maquinas estaban disponibles... q cosas... Obviamente le digo q no y salta un 2º aviso, este mas divertido aun, queria privilegios d servidor...

Al mismo tiempo el tcmonitor empieza a cantar q ha habido un cambio n una clave del registro:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
"Win32 Rundll Loader"="Rundll32.exe"
(t suena hypnosis? xD)

Y no contento con esto m encasqueta dentro d system32 un rundll32.exe.tmp nada mas q 3 veces mas grande q el original (como pa pasar desapercibido xDDDDD)

Ah si, tb generaba un serial pero no lo he probado porq no m he molestado n bajar el zone 3 asi q dudo q haya sido el firewall quien m infectase xDD

Lo mejor d la historia fue q win2k se porto como un campeon y se dio cuenta del jaleo "Se intentó remplazar el archivo en el archivo de sistema protegido e:\winnt\system32\rundll32.exe. Se restauró este archivo a su versión original para mantener la estabilidad del sistema. La versión del archivo de sistema es 5.0.2134.1"

Bueno, borro la clave (si alguien tiene problemas d este tipo puede borrar la clave n cuestion, the cleaner confirmo q no deberia existir) y desensamblo los ficheros a ver q encuentro. Como no todo el mundo tiene nociones d ensamblador y seria muy largo explicar todo lo q vi voy a resumir lo mas posible. Al desensamblar un ejecutable sale una relacion d funciones q emplea la aplicacion, como windows es modular a partir d las fn q usa sabemos lo q hace ese programa (n lineas generales)

Aqui teneis la cabecera d mi rundll32.exe legitimo tras ser restaurado por el sistema:

+++++++++++++++++++ IMPORTED FUNCTIONS
Number of Imported Modules = 4 (decimal)

Import Module 001: KERNEL32.dll <- sistema
Import Module 002: GDI32.dll <- entorno grafico (formularios)
Import Module 003: USER32.dll <- fn d usuario
Import Module 004: IMAGEHLP.dll <- no es representativa (dcom)

y aqui la cabecera del rundll32.exe.tmp q expandio el keygen

+++++++++++++++++++ IMPORTED FUNCTIONS
Number of Imported Modules = 6 (decimal)

Import Module 001: wsock32.dll <- control d sockets (conexiones)
Import Module 002: WININET.DLL <- si, se refiere a internet
Import Module 003: SHELL32.DLL <- para ejecutar otros programas
Import Module 004: KERNEL32.DLL <- nucleo del sistema
Import Module 005: ADVAPI32.DLL <- esta api le da acceso al registro
Import Module 006: CRTDLL.DLL <- runtime d c para windows...

Esta bastante claro q el rundll32.exe q pretendia encasquetarme el keygen lejos d hacer lo q tiene encomendado normalmente estaba "un pelin" orientado a la red no?

Es decir ha habido un intento d infeccion tal y como describia hypnosis sin q haya aparecido por mi disco duro el zone alarm 3, tan solo un keygen firmado n el .nfo por T H E W O L V E S H O U S E

Conclusion: el zone alarm 3 NO tiene vulnerabilidades propiamente dichas, sino q es el keygen (al menos este n concreto) el q infecta la maquina (hace un rato q he terminado d "desinfectar" y m acaba d salir la pantalla d instalacion del gator xDDDDDDDDDD) Lo q si es un riesgo potencial es lo q se menciona n el articulo q propuso hipnosys acerca d q si el rundll32.exe original tenia permitido el acceso a internet, una infeccion d este tipo es factible aunq supongo q sea un fallo d alguna version n concreto ya q el zone distingue los ejecutables incluso detecta si han sido modificados.

De una forma u otra, hay q recordar q con los keygen toda precaucion es poca, hace tiempo q no traen virus pero nunca conviene bajar la guardia.

A pasarlo bien, q io mañana madrugo :)

P.D. Si alguien quiere los archivos q he mencionado (keygen, codigo desensamblado o demas) q m los pida, los enviaré encantado para contrastar opiniones, mientras a lo mejor habria q editar el titulo d la noticia, no sea q os denuncien por difamacion :D

www.iptables.org
www.netfilter.org

trinca el ethereal y mira a ver que es realmente. Sobre el empaquetado del exe, pues claro, es lo más normal, compilarlo y comprimirlo despues, tienes varias decenas de compresores decentes... y otros MUY decentes jeje. Los descompresores los podras encontrar en cracktools.com porque como lo desensambles directamente con el wdasm no vas a ver ni pijo... y aun con todo, con el wdasm tienes pa años luz pa ver lo que hace XDDDDDDDDDDDDDDDDDDDDDDDDDDDDDD

Sami.