Newsgroup: it.news.net-abuse
Titolo: Sono sotto attacco...

Dunque, in questo preciso momento, da almeno un'ora, sono sotto 
attacco.
 
Il router (netgear) mi sta mandando una quantità di mail ognuno più o 
meno così:
 
TCP Packet - Source:217.57.143.45,30569 Destination:192.168.x.x,443 - 
[DOS]
TCP Packet - Source:203.135.204.112,3277 Destination:192.168.y.y,62793 
- [DOS]
TCP Packet - Source:110.161.235.199,62201 Destination:192.168.y.y,62793 
- [DOS]
TCP Packet - Source:84.228.41.203,2109 Destination:192.168.x.x,443 - 
[DOS]
TCP Packet - Source:189.50.3.138,63431 Destination:192.168.x.x,443 - 
[DOS]
TCP Packet - Source:84.108.237.208,38940 Destination:192.168.y.y,62793 
- [DOS]
TCP Packet - Source:2.38.116.165,1245 Destination:192.168.y.y,62793 - 
[DOS]
TCP Packet - Source:93.89.223.24,3167 Destination:192.168.y.y,62793 - 
[DOS]
TCP Packet - Source:133.51.70.171,50548 Destination:192.168.y.y,62793 - 
[DOS]
TCP Packet - Source:217.58.82.66,3549 Destination:192.168.y.y,62793 - 
[DOS]
TCP Packet - Source:79.46.158.247,1368 Destination:192.168.y.y,62793 - 
[DOS]
 
le destinazioni sono il router o il pc collegato al router (ho cambiato 
i relativi ip nattati in 192.168.x.x e .y.y
 
In generale l'IP sorgente cambia sempre, anche se ci sono ripetizioni; 
delle volte l'attacco viene dalla Russia, altre volte dalla cina, altre 
volte da Telecomn Italia, e per finire anche da IP dedicati a telefoni 
cellulari dalla russia.
 
In questo momento saranno circa 30 mail con circa 20 segnalazioni 
ognuno.
Quello che è "diverso" dal solito è proprio il fatto che non viene 
attaccato sistematicamente il mio IP (dinamico) come è sempre stato 
fino ad ora, ma gli IP nattati del router e del pc.
 
Ho verificato che le porte sotto attacco siano chiuse sotto l'IP del 
router (con 
grc.com
), ma non so come verificare sul pc nattato se le 
identiche porte 443 e 62793 siano chiuse o no (192.168.x.x, 443 e
192.168.y.y,62793.
 
Mi sono forse beccato un trojan che "chiama" gli attacchi?
Mi debbo preoccupare che il pc possa essere oggetto di controllo remoto 
o per i miei dati?
 
Per ora ho staccato il pc dal router, salvo che per mandare questo 
post.
 
Ogni commento è gradito.
 
ArchiPit
 
 

 ognuno.
 
Ah... MAIL !! Per caso hai un mailserver piazzato dietro al router, con
un
IP 192.168... e con port forwarding ? Nel caso... cosa "dicono" i logs
di
tale mailserver ?
 
 

 tale mailserver ?
 
Dunque, vediamo di capire meglio: ho dato istruzione al router che ha 
il suo mailserver di spedire al mio indirizzo ogni giorno il registro 
del router. Il mail viene spedito usando il server di alice che mi 
fornisce l'adsl. Quando il router spedisce il mail, io vedo solo l'IP 
pubblico e non anche/o l'IP nattato del router.
 
Ho alcune regole di port forwarding sul router, relative alle mie 3 
netcam ip, con porte diverse da quelle sotto attacco dos. Il mail 
server
 
Questo mail server fornito dal router può essere causa di qualche 
casino?
 
ArchiPit
 
 

 Questo mail server fornito dal router può essere causa di qualche casino?
 
 
Aggiungo che ho configurato il router per mandare il mail anche ogni 
volta che riceve DOS o portscan, quindi sotto attacco ricevevo un mail 
ogni minuto con circa una 20 di segnalazioni ognuno come dicevo nel 
primo post.
 
ArchiPit
 
 

 del router. Il mail viene spedito usando il server di alice che mi
 
Ah ok, ecco come c'entrava la mail; avevo capito che si trattasse
di traffico email ma vedo che non c'entra nulla; tra l'altro
considerando
il manifesto di questo gruppo, il thread è piuttosto OT; credo che sia
meglio spostarsi in altro gruppo più appropriato (vedi follow-up)
 
 
 

 primo post.
 
Rumore di fondo e router SoHo che non ci capisce una fava; un classico