Spybot Search & Destroy ­ Open Proxy
A seguito dell'installazione del software “Spybot – Search & Destroy” (test effettuati
utilizzando la versione 2.X) vengono automaticamente avviati sulla postazione
alcuni servizi che si pongono in ascolto su porte TCP comprese fra la 21320 e la
21323:
Uno di questi servizi però risulta essere alquanto pericoloso in presenza di una
postazione Windows con Firewall disabilitato o configurato in modo non
appropriato. In particolare, infatti, il servizio SDFSSvc.exe, in ascolto sulla porta
21320, può essere utilizzato da utenti malintenzionati come un Open Proxy
(http://en.wikipedia.org/wiki/Open_proxy):
Tale servizio è stato introdotto in Spybot per proteggere l'utente durante la
navigazione in internet. Esso infatti, dopo l'installazione, viene utilizzato da Internet
Explorer come un normale proxy filtrando eventuali contenuti malevoli presenti
all'interno dei siti web visitati.
In Internet Explorer è possibile scegliere se utilizzare o meno questo servizio
andando nel menù “Tools” del browser, quindi “Manage Add­on” e disabilitando
l'estensione “Spybot­SD IE Protection”:
1
È possibile effettuare la stessa operazione utilizzando però direttamente lo “Start
Center” del software Spybot andando a modificare opportunamente la
configurazione del proxy presente all'interno del menù “Settings” degli “Advanced
Tools” (le modalità di configurazione del proxy variano da versione a versione, è
consigliabile quindi fare riferimento direttamente al sito del produttore del software
http://www.safer­networking.org):
2
Questo servizio però presenta principalmente 2 problemi di sicurezza abbastanza
rilevanti:
­) Attraverso la finestra di configurazione del software Spybot è possibile solamente
scegliere se utilizzare o meno questo servizio ma non è possibile disabilitarlo. La
porta TCP 21320 rimarrà quindi in ogni caso aperta.
­) Il software Spybot apre la porta TCP 21320 facendo il binding su 0.0.0.0 e non su
localhost rendendo il servizio accessibile anche dall'esterno della postazione su cui
è stato installato il software.
Non avendo la possibilità di disattivare il solo servizio proxy tramite i “Services” degli
“Administrative Tools” di Windows (sarebbe possibile fermare il servizio SDFSSvc.exe
ma con esso, oltre al proxy, verrebbero disattivate tutte le funzionalità principali
del software Spybot) è quindi consigliabile non utilizzare questo software fino a che
i problemi indicati non saranno risolti dal produttore del software. Se Spybot
venisse infatti installato su una postazione avente il firewall di Windows disabilitato
o non correttamente configurato permetterebbe ad utenti malintenzionati di
navigare su internet in totale anonimato consentendogli quindi di effettuare azioni
illecite utilizzano le postazioni degli utenti del Politecnico.
3