Newsgroup: it.news.net-abuse
Titolo: SMTP bruteforcing (ma anche POP, IMAP,...)

 
So che probabilmente non riceverò risposte "significative" dato che,
ormai da un pezzo, questo NG è in mano ai trolls, ma... ci provo lo
stesso (sisammai). Ho notato un netto aumento di tentativi di "brute
forcing" delle credenziali; controllando i logs, tali tentativi
arrivano in pratica da "mezzo mondo"; mi chiedo se qualcun altto abbia
osservato qualcosa di simile e, nel caso, quale sia l'incremento nel
volume.
 
Prego i partecipanti che non amministrano mail servers e che vengono
qui solo per piangere per il fatto che il loro email provider non è
capace di fare filtering in modo decente (gente che in pratica non
vuole cambiare mail provider passando a qualcuno con un minimo di
serietà) di astenersi dal fare inutile rumore.
 

 serietà) di astenersi dal fare inutile rumore.
Chi vuol capire capisca, quindi non capirà
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
 
www.robyt.eu
 
 

 Chi vuol capire capisca, quindi non capirà
 
eh ... lo so :P
 
 

 volume.
 
Confermo. Ho fail2ban e configserver su tutte le macchine che 
mitragliano da un po'; fra l'altro nei log ho visto dei dictionary 
attacks un tantino scrausi, per così dire, però sono in forte aumento 
rispetto al passato.
 
Ciao
Luca
 
 

 qualcosa di simile e, nel caso, quale sia l'incremento nel volume.
 
Qualche quintale da un po' di tempo.

volume.
 
Non ho tracciato grafici per valutare l'incremento, ma e' un fenomeno
costante.
 
Fail2Ban e OSSEC ti possono aiutare a fare un tempban degli IP che
rompono le scatole.
 
Tutti e due i pacchetti ti permettono di definire regole a piacere
(regexp vs tag based), vedi tu quello che ti piace di piu'/usa meno
RAM/CPU.
 
In alternativa, e se te lo puoi permettere, puoi fare null routing
permanente di tutto il netblock di un attaccante e tanti saluti.
 
-- 
Living in Barbaropoli
http://www.barbaropoli.com
 

 permanente di tutto il netblock di un attaccante e tanti saluti.
 
A questo proposito suggerisco un'occhiata a ConfigServer Firewall 
http://www.configserver.com/cp/csf.html
, che può essere configurato per 
bannare un IP o la classe, scaricare blacklists varie e tarare i vari 
checks individualmente. Va installato in Webmin, di cui fornisce il 
modulo, oppure ha una propria GUI.
 
Ciao
Luca
 
 


sembra interessante, fa veramente tanti controlli..


 osservato qualcosa di simile
 
Uhm... quindi incrementi osservabili; mi confermate quello che vedo
 
A questo punto resta un dubbio; ossia... come mai proprio "adesso" ? Di
solito roba del genere è legata a qualche nuova ondata di "malware" ma
in questo caso non sembra lo sia, viene quasi da pensare che macchine
infette legate ad una botnet dormiente o solo apparentemente
smantellata siano state riattivate di botto :P
 
 

 sembra interessante, fa veramente tanti controlli..
 
L'abbiamo installato su tutte le macchine linux che assistiamo (una 
40ina) e fa il suo lavoro per benino. Personalmente trovo comodo anche 
il bypass sui domini dyndns configurati, così la connessione da 
portatili vari è assicurata.
 
Ciao
Luca
 
 

 portatili vari è assicurata.
 
cambiando leggermente discorso, ma restando nell'ambito di s/w che
permette di "intercettare" robaccia di vario genere, reputo questo
software piuttosto interessante 
http://www.bothunter.net/
 e, nel caso
non lo aveste mai sentito nominare/provato, credo valga la pena di
farci un giro ;)
 
 
 
 

smantellata siano state riattivate di botto :P
 
Negli ultimi mesi c'e' stato un susseguirsi di "breach" col risultato
che sono state compilate liste di password usate piu' di frequente.
 
Personalmente credo che questo abbia contribuito all'incremento delle
attivita' dei vari pezzenti (di spirito/etica/provenienza geografica,
a scelta) collegati a internet.


 a scelta) collegati a internet.
 
hmm... non sono sicuro che quanto sopra, da solo, possa giustificare
questo incremento
 

 dal filtro per dovecot (usato anche per la sasl di postfix) Per
 
hmm... fail2ban va benone, ma preferisco ove possibile approcci di tipo
diverso, ossia, oltre al discorso "fail" che vale sino a quando i bots
non riescono a beccare una o più pass, bisognerebbe considerare l'uso
di meccanismi di rate-limiting per cui non sia permesso alle utenze
(fatte salve eventuali eccezioni) di inviare più di tot messaggi in un
dato arco di tempo (rifiutando con un tempfail l'invio di ulteriori
messaggi ed usando una finestra temporale "scorrevole")
 


Il rate limiting e' uno strato in piu' che usi per arginare le
attivita' di un account di posta compromesso.
 
Se usi postfix, lo dovrai integrare con policyd, viato che le
funzionalita' di rate-limiting "out of the box" sono limitate.
 
Fail2ban lo usi per prevenire il problema in base al numero di
tentativi falliti e intervallo temporale da analizzare: se un IP
sbaglia username/password, ad esempio, per 10 volte nell'arco di 60
secondi lo null-routi e tanti saluti.
 
Anche forzare l'utente a usare come campo from lo username con cui
s'e' autenticato e' utile nel caso in cui l'account venga compromesso.


 forcing"
 
A proposito, non so se è in relazione con quello che dici, ma proprio dal 24 
di questo mese, un ip di questa classe:
 
inetnum:        5.34.247.0 - 5.34.247.255
netname:        MNT-WEBEXXPURTS
descr:          Virtual Service Provider
country:        US
admin-c:        NW1707-RIPE
tech-c:         NW1707-RIPE
status:         ASSIGNED PA
remarks:        INFRA-AW
mnt-by:         MNT-WEBEXXPURTS
source:         RIPE # Filtered
 
role:           NOC Webexxpurts
address:        VINTROSAGATAN 10
address:        124 73 BANDHAGEN
address:        STOCKHOLM SE
abuse-mailbox:  
b...@webexxpurts.com
 
nic-hdl:        NW1707-RIPE
mnt-by:         MNT-WEBEXXPURTS
source:         RIPE # Filtered
 
Tempesta il mio postfix al ritmo di 2 o 3 connessioni al secondo
 
Nei log trovo: lost connection after AUTH from unknown[5.34.247.173]
 
e poi fail2ban lo blocca per un po' ma poi ricomincia.
 
 
Anche altri IP fanno la stessa cosa ma in genere non vanno avanti per più di 
un giorno.
 
 
Secondo voi vale la pena di segnalare, oppure quelli che insistono li metto 
nella blacklist del firewall insieme a cinesi e russi e amen ? 
 
Oppure li ignoro e basta ?
 
 
-- 
Stefano L.

 metto nella blacklist del firewall insieme a cinesi e russi e amen ? 
 
potresti fare un minimo di "escalation", inizi con il normale fail2ban
ma tieni traccia degli IP "bannati" poi (al limite usando uno script da
schedulare) controlli se determinati IP/range continuano per più di tot
tempo ed in tal caso fai null routing (definitivo o per un bel pezzo...)
 
 
 
 
 

 in qualsiasi caso, confermo che molti degli IP appartengono a VPS
 
c'è da dire che tra i vari IP trovo anche delle chicche come ad esempio
23.99.16.141, 137.117.226.41 e 138.91.233.208 ... e non ti dico di chi
si tratta per non togliere suspance :D
 
 
 

 tempo ed in tal caso fai null routing (definitivo o per un bel pezzo...)
 
E' un idea...
 
Dici che se provo a usare fail2ban per monitorare i suoi stessi log 
relativamente agli IP che banna, con un findtime di qualche giorno mi faccio 
male ?  (Si lo so, sono pazzo)
 
 
 
-- 
Stefano L.

 faccio male ?  (Si lo so, sono pazzo)
 
secondo me un "ouroboros" [1] del genere potrebbe essere utile per
vedere quali siano gli effettivi limiti di CPU e disco :D !! No ok, sul
serio, pensavo più ad un qualcosa di schedulato (es. cron) da far
girare ad intervalli sugli elenchi di IP "bannati"; dopotutto non ti
serve farlo in tempo reale, basta individuare gli IP "testardi" e poi
gestirli... ammodino :)
 
 
[1] 
http://en.wikipedia.org/wiki/Ouroboros
 
 
 

 girare ad intervalli sugli elenchi di IP "bannati"; dopotutto non ti
 
Intendi un qialcosa, per esempio da far eseguire dopo il "cron daily" ed
analizzare i *log.1 (in modo da fare l'analisi su una situazione stabile)?
Ci avevo pensato giá un po' di tempo fa, per farmi delle statistiche sui "tipi
assillanti".
 
-- 
+---------------------------------------------------------------------------+
| Non asciugarti le palle col phon! Le bruci e poi ti nascono figli neri... |
| (Sentita nello spogliatoio)                                               |
+-----#27--------------------Campagna contro le pubblicita` idiote.---------+

 statistiche sui "tipi assillanti".
 
si, una roba del genere; ad occhio farebbe comodo avere un "db" di
backend (andrebbe bene anche un berkeleyDB) per tenere traccia degli
IP, data, ora e numero di hits in modo da poter gestire dei valori "di
soglia" e/o da poter rimuovere eventuali IP dopo un certo tempo - che
sarà più alto di quello "normale" usato in fail2ban - il tempo potrebbe
essere calcolato moltiplicando gli hits per un valore base e poi
controllando se supera il limite massimo, in quest'ultimo caso si gira
l'IP nel secchio, in caso contrario lo si banna per un periodo di tempo
proporzionale allo scassamento di maroni :)
 
 
 

 
 
 
Ah tipo questo "genio":
Sat, 9 Nov 2013 17:52:14 +0100	POP3 unknown user 
te...@onenet.it
 from 5.34.244.117
Sat, 9 Nov 2013 17:52:14 +0100	POP3 unknown user 
te...@onenet.it
 from 5.34.244.117
Sat, 9 Nov 2013 17:52:18 +0100	POP3 unknown user 
te...@onenet.it
 from 5.34.244.117
Sat, 9 Nov 2013 17:52:18 +0100	POP3 unknown user 
te...@onenet.it
 from 5.34.244.117
 
 
Gabriele

 5.34.244.117
 
yes, ma del resto...
 
route:          
5.34.244.0/24
 
descr:          WEBEXXPURTS
origin:         AS57858
mnt-by:         MNT-WEBEXXPURTS
mnt-routes:     MNT-WEBEXXPURTS
 
ma anche ...
 
inetnum:        5.34.247.0 - 5.34.247.255
netname:        MNT-WEBEXXPURTS
descr:          Virtual Service Provider
country:        US
admin-c:        NW1707-RIPE
tech-c:         NW1707-RIPE
status:         ASSIGNED PA
remarks:        INFRA-AW
mnt-by:         MNT-WEBEXXPURTS
 
bella fogna :P
 
 
 
 

>> (definitivo o per un bel pezzo...)
 
A proposito di "definitivo", un piccolo aneddoto personale.
 
Avevo appena (forzatamente) cambiato provider, da TIN a (bleurgh) Telecom 
interbusiness.
Di colpo non accedevo piu' a people, anzi, a 
vene.dave.it
.
Ho dovuto tentare la connessione con telnet e postargli come il server 
manco mi "fumava".
Ci ho messo del bello e del buono per convincere Davide: cosa avreste 
pensato, al suo posto?
Invece avevo ragione io, quando sommessamente gli dicevo che, dal 
comportamento, era "lui" che mi sfanculava.
 
Alla fine della fiera, ha controllato (dopo un BEL po') ... e beh, aveva 
messo in blocco sul router (per questo non "mi" trovava, all'inizio) una 
classe di IP... "me" incluso.
Fatto tanto tempo prima, non si ricordava nemmeno il perche' (di motivi ce 
ne saranno sicuramente stati tanti, per carita').
 
Cosi', quando leggo "definitivo"... penso a quell'antico episodio e sento 
un brividino e non e' soltanto l'influenza.
 
Fabrizio
 
 
1) L'Omino Bufo. Cit.
 
 
 
 

 mnt-routes:     MNT-WEBEXXPURTS
 
oh... a proposito di info su IP... risulta anche a voi un netto
decadimento dei dati ritornati da "senderbase" ? Per chiarire da un
certo tempo a questa parte noto che "
sa.senderbase.org
" spesso non
ritorna risultati; lo stanno per caso smantellando :P ??