Ammyy admin (W11 Home) ed attacchi vari rilevati da McAfee LiveSafe

[VRR]

Ho installato Ammyy Admin in Windows 11 Home
Nel notebook (HP Omen 16 Gaming) è presente l’antivirus McAfee LiveSafe (gratuito per 1 anno).
Nei miei precedenti notebook (Windows 7) Ammyy non mi ha mai dato problemi, ma usavo un antivirus diverso….

Per evitare che McAfee mi mettesse in quarantena AA_v3.exe ho dovuto mettere AA_v3.exe in esclusione nella scansione in tempo reale.
Facendo una scansione McAfee però mi ha rimesso in quarantena AA_v3.exe

Chi conosce bene McAfee LiveSafe ? Che altre configurazioni vanno fatte per non bloccare Ammyy ?

COSE STRANE DOPO L’INSTALLAZIONE DI AMMYY
Dopo aver installato Ammyy ed averlo configurato anche per eventuali accessi da remoto (ANY con password), succedono cose strane:
1) da vari IP USA stanno tentando di entrare nel mio PC usando varie porte (da 192.229.221.95…. da 44.212.169.116 ecc….. verificati con https://www.lookip.net). Stanno sniffando la rete Ammyy e risalgono agli indirizzi IP per tentare intrusioni ? E’ successo anche ad altri questo fatto ?
2) cosa ancora più strana, da fd00:: 464e:6dff:fede:4fa8 ci sono vari tentativi di accesso su varie porte….. McAfee dice “L’indirizzo IP di origine è il DNS in uso. L’ndirizzo IP di origine appartiene alla rete locale”.

Per il problema al punto 2) ho controllato il Fritz!Box 7590 per vedere quali indirizzi utilizzano i miei dispositivi in lan, ma non trovo nulla con fd00:: 464e:6dff:fede:4fa8
Da dove sbuca questo IP ? Come fa ad essere nella rete locale ?

Che succede ?
Qualcuno ha avuto i medesimi problemi e può darmi consigli ?

[VRR]

......cut
2) cosa ancora più strana, da fd00:: 464e:6dff:fede:......

Trovato !!
E' il server DNS IPv6 !!!!!
Ma perchè McAfee lo blocca ?

Inoltre, approfondendo il discorso dei tentativi di intrusione, ho visto che anche prima di installare Ammyy ci sono stati molti tentativi da USA

Mi sarebbe piaciuto che McAfee LiveSafe permettesse di bloccare questi IP in modo definitivo, ma non vedo configurazioni possibili....
Qualcuno c'è riuscito ?
Sto provando ad inserire il blocco nel Fritz!Box 7590 "Internet/Filtri/Liste/Liste di blocchi IP"......

Ma sono solo io ad avere tentativi di intrusione da siti USA in particolare ?

[crazy.cat]

Non amo per niente i prodotti mcafee, li trovo pesanti e invasivi, oltre che inutili su windows 11.
Hai qualche motivo particolare per usare Ammyy Admin che non è più aggiornato dal Aug 18 2018 e anche prima non è che fosse tra i software più famosi per il desktop remoto?
Teamviewer o anydesk non vanno bene?
L'ipv6 ti è necessario per qualche motivo per navigare?
Quanto a tutti i tentativi di intrusione bisognerebbe avere tutti gli ip per cercare di capire da dove provengono.
Se sei abbastanza esperto potresti provare ad analizzare il tuo traffico di rete per vedere cosa prova ad uscire dal tuo pc
https://turbolab.it/browser-455/come-sc ... ddler-1787
Magari scopri che uno dei tuoi software installati sta chiamando casa ed è proprio uno degli ip che noti tu e che ti sta rispondendo.

[CUB3]

Per prima cosa ti suggerisco di rimuovere Mcafee (inutile, come dice crazy.cat, su Windows 11, dato che ha già un buon antivirus integrato) e poi trovare un programma di controllo remoto più aggiornato!! Questa parte è molto importante dato che esponi un servizio ad internet è assolutamente fondamentale che questo sia costantemente aggiornato! Fra l'altro nemmeno il sito ufficiale viene più aggiornato dal 2020...

COSE STRANE DOPO L’INSTALLAZIONE DI AMMYY
Dopo aver installato Ammyy ed averlo configurato anche per eventuali accessi da remoto (ANY con password), succedono cose strane:
1) da vari IP USA stanno tentando di entrare nel mio PC usando varie porte (da 192.229.221.95…. da 44.212.169.116 ecc….. verificati con https://www.lookip.net). Stanno sniffando la rete Ammyy e risalgono agli indirizzi IP per tentare intrusioni ?

Dato che Ammy è una ditta con sede in america e che gli IP fanno capo a siti di hosting, potrebbe essere un comportamento normale del serve centrale di Ammy che verifica la presenza dei client ma è difficile dirlo senza vedere il log completo. Comunque, se fosse questo il caso, bloccando questi IP, potresti non essere più in grado di connetterti da remoto...
In alternativa potrebbero essere sistemi di scansione automatici in cerca di servizi esposti ad internet come Shodan che sono molto comuni; in questo caso possono risultare fastidiosi da vedersi ma non rappresentano di solito un problema, soprattutto per chi ha una connessione con IP variabile e non fisso.

2) cosa ancora più strana, da fd00:: 464e:6dff:fede:......

Trovato !!
E' il server DNS IPv6 !!!!!

È del Fritz!box, vero? Quello è un indirizzo locale per cui non dovrebbe essere niente di preoccupante.

[VRR]

Per prima cosa ti suggerisco di rimuovere Mcafee (inutile, come dice crazy.cat, su Windows 11, dato che ha già un buon antivirus integrato) e poi trovare un programma di controllo remoto più aggiornato!! Questa parte è molto importante dato che esponi un servizio ad internet è assolutamente fondamentale che questo sia costantemente aggiornato! Fra l'altro nemmeno il sito ufficiale viene più aggiornato dal 2020...

Visto che tu e crazy.cat avete la medesima idea, mi avete convinto.
Io ero rimasto ai primi tempi di Windows 7 dove Microsoft Defender non era affidabile e causa infezione da virus fui costretto ad installare un antivirus e scelsi Avira......
Se disinstallo McAfee, automaticamente Microsoft Defender si attiva, giusto ?
Per Ammyy non avevo fatto caso che non è più aggiornato.... è passato qualche anno dall'ultima volta che l'avevo usato....
Ok, allora installo Teamviewer o Anydesk.

Dato che Ammy è una ditta con sede in america e che gli IP fanno capo a siti di hosting, potrebbe essere un comportamento normale del serve centrale di Ammy che verifica la presenza dei client ma è difficile dirlo senza vedere il log completo. Comunque, se fosse questo il caso, bloccando questi IP, potresti non essere più in grado di connetterti da remoto...
In alternativa potrebbero essere sistemi di scansione automatici in cerca di servizi esposti ad internet come Shodan che sono molto comuni; in questo caso possono risultare fastidiosi da vedersi ma non rappresentano di solito un problema, soprattutto per chi ha una connessione con IP variabile e non fisso.

Penso siano sistemi di scansione automatici.... sono molti... una cinquantina negli ultimi 3 o 4 mesi.... tentano l'accesso a porte specifiche tcp/udp....

È del Fritz!box, vero? Quello è un indirizzo locale per cui non dovrebbe essere niente di preoccupante.

Si, DNS IPv6 del 7590 Fritz!Box
Mi blocca anche 192.168.178.1
Mai vista una cosa simile....
Disinstallo McAfee !!!!
Ci sono particolari accorgimenti da tenere in considerazione dopo la disinstallazione ?
Penso che Microsoft Defender automaticamente si attiverà.... male che vada lo attivo manualmente....
Giusto ?

[CUB3]

Ci sono particolari accorgimenti da tenere in considerazione dopo la disinstallazione ?
Penso che Microsoft Defender automaticamente si attiverà.... male che vada lo attivo manualmente....
Giusto ?

Tenere il sistema aggiornato (compreso tutti i programmi che utilizzi!! ).

Se l'antivirurs di Windows non si attiva automaticamente, dovrebbe mostrarti un messaggio al riguardo dal quale puoi attivarlo.

Visto che tu e crazy.cat avete la medesima idea, mi avete convinto.

Riguardo a Windows e virus, puoi fidarti della parola di crazy.cat, senza bisogno di una seconda opinione!!!

[VRR]

Non amo per niente i prodotti mcafee, li trovo pesanti e invasivi, oltre che inutili su windows 11.

Disinstallato McAfee !!! Dopo la disinstallazione Microsoft Defender si è attivato da solo.
Ha individuato Ammyy come app potenzialmente indesiderata.... (momentaneamente accensentita).

Hai qualche motivo particolare per usare Ammyy Admin che non è più aggiornato dal Aug 18 2018 e anche prima non è che fosse tra i software più famosi per il desktop remoto?
Teamviewer o anydesk non vanno bene?

Avevo acquistato una licenza Ammyy qualche anno fa.... non lo usavo da qualche anno e mi è sfuggito il mancato aggiornamento dal 2018.... grazie per la segnalazione !
Installerò Teamviewer o Anydesk

L'ipv6 ti è necessario per qualche motivo per navigare?
Quanto a tutti i tentativi di intrusione bisognerebbe avere tutti gli ip per cercare di capire da dove provengono.
Se sei abbastanza esperto potresti provare ad analizzare il tuo traffico di rete per vedere cosa prova ad uscire dal tuo pc
https://turbolab.it/browser-455/come-sc ... ddler-1787
Magari scopri che uno dei tuoi software installati sta chiamando casa ed è proprio uno degli ip che noti tu e che ti sta rispondendo.

l'IPV6 non è necessario. Mi stupisce solo che McAfee blocchi il DNS IPv6 ... blocca anche 192.168.178.1 .... ma non si capisce cosa stia combinando esattamente, quindi ho preferito disinstallarlo
Interessante Fiddler, lo proverò appena possibile.
Io usavo sniffer IP per vedere il traffico (NirSoft), ma da quello che ho letto Fiddler è molto più performante.
Gli IP individuati con McAfee sembrano sistemi di scansione automatici.... sono molti... una cinquantina negli ultimi 3 o 4 mesi.... tentano l'accesso a porte specifiche tcp/udp...
Appena ho tempo guardo cosa mi dice Microsoft Defender...
Avevo iniziato a bloccare alcuni IP sul Fritz!Box 7590 (Liste di blocchi IP), vedrò se è il caso di continuare.... ma devo anche rinfrescarmi le idee sulla numerazione IP e sottoreti...
Ad esempio nel 7590 come blocco ho inserito anche indirizzi IP con /24, come ad esempio 34.247.233.0/24 per coprire una numerazione ampia (ciò a seguito di un tentativo di intrusione dall'Irlanda 34.247.233.198 ) ma non ricordo cosa esattamente copre l'IP/24
Sono diventato vecchio

[crazy.cat]

l'IPV6 non è necessario.

E allora dalle proprietà della scheda di rete lo puoi disattivare, almeno sino a quando non ti serve.

[VRR]

Da quando ho disinstallato McAfee ed attivato Windows Defender (W11) non vedo più tentativi di accesso su specifiche porte da IP di vari paesi....
Nel Fritz!Box 7590 ho inserito alcuni filtri ed ho bloccato molti IP (anche in CIDR classe C).
Uno in particolare l'ho bloccato perchè giornalmente tentava di loggarsi nel Fritz!Box con varie userid e password.... l'ho bloccato anche in Windows Defender Firewall....

Però dal TUTTO al NULLA mi suona strano.....
Sono andato a vedere il log C:\Windows\System32\LogFiles\Firewall ed anche gli EVENTI del Fritz!Box ma non trovo alcun tentativo di intrusione o scan....
Possibile ?
Spero continui così...... mi chiedo però: casualità o strategie commerciali per vendere McAfee ?? Se fossero strategie sarebbe molto grave !!!

IL LOG DEL FIREWALL WINDOWS 11 HOME
Per aprire C:\Windows\System32\LogFiles\Firewall\pfirewall.log sono costretto a copiarlo in altra cartella, altrimenti non me lo fa leggere e indica "Non si ha l'autorizzazione per aprire questo file. Rivolgersi al proprietario del file od a un amministratore per ottenere l'autorizzazione."
Però dalle proprietà risulta che gli amministratori hanno il controllo completo del file
Qualcuno ha suggerimenti in merito ?

[crazy.cat]

Da quando ho disinstallato McAfee ed attivato Windows Defender (W11)

Queste sono alcune delle connessioni aperte dal mcafee, altre non riuscivo a prenderle perché si aprivano un attimo e poi sparivano.

Quindi mcafee è un gran "chiacchierone".

Per aprire C:\Windows\System32\LogFiles\Firewall\pfirewall.log sono costretto a copiarlo in altra cartella, altrimenti non me lo fa leggere e indica "Non si ha l'autorizzazione per aprire questo file. Rivolgersi al proprietario del file od a un amministratore per ottenere l'autorizzazione."

E' normale, quindo windows si impossessa di un file di log di qualche programma attivo poi non te lo lascia aprire.

[VRR]

Queste sono alcune delle connessioni aperte dal mcafee, altre non riuscivo a prenderle perché si aprivano un attimo e poi sparivano.
Quindi mcafee è un gran "chiacchierone".

Si chiacchiera parecchio, ma forse combina anche altro.... e sono contento di aver seguito il tuo consiglio di disinstallarlo...
Mi pento solo di non aver prima salvato il log di McAfee.... mi ero segnato solo sulla carta una ventina di IP...

E' normale, quindo windows si impossessa di un file di log di qualche programma attivo poi non te lo lascia aprire.

Chiaro.... visto però che è il log del firewall mi aspettavo fosse comunque consultabile almeno in sola lettura...
Siamo sicuri che in C:\Windows\System32\LogFiles\Firewall\pfirewall.log trovo tutto ? ... tentativi di intrusione... scan... ecc ?
Oppure esistono altri log per questi eventi ?
Nella proprietà del Firewall ho abilitato "Registra pacchetti ignorati" ed anche "Registra connessioni riuscite" nei profili di dominio, privato e pubblico.
Che dici @crazy.cat, va bene così ?
Grazie