Newsgroup: it.news.net-abuse
Titolo: abuse@nac.net - è normale che rispondano così?

Dopo aver segnalato un tentativo di intrusione (460 tentativi in 10 
minuti...)
mi rispondono al volo (e probabilmente automaticamente) cosě:
======
Your abuse complaint entitled "Breakin Attempt from 66.246.72.156" has been 
received. It
is being tracked under Trouble Ticket ID : 1602056.
We have processed your request, AND we have determined that the IP address
(66.246.72.156) has been delegated To: (), email address: 
(
swa...@yahoo.com
)
We have forwarded a copy of this complaint To them AND ask that you contact
them directly should you have any additional queries.======
Non ne vedo la logica.
Suggerimenti?
-- 
Gerolamo 

 Suggerimenti?
magari è la persona che gestisce quelle macchine che tu hai 
segnalato?
-- 
- VIVISEZIONE: 
http://www.novivisezione.org/
- LABORATORI CRIMINALI: 
http://www.laboratoricriminali.cjb.net/
- TRAFFICI di animali: 
http://www.bairo.info/traffici.html
- NON BASTA!!!!!: 
http://www.bairo.info/pag172.html
------------------------------------------------------------------
* X-Privat NNTP and MAIL services: 
http://www.x-privat.org
 *

 segnalato?
Mah... può essere.
Mi lascia 2 dubbi, però:
1- L'indirizzo su yahoo non è che mi sembri molto professionale
2- Se è proprio quello che gestisce la macchina ad aver tentato
     l'intrusione non mi pare un intervento molto efficace da parte
    dell'abuse
-- 
Gerolamo 

     dell'abuse
si, sono d'accordo su entrambi i punti, però magari ha qualche baco 
di sicurezza su quella macchina che genera quelli che a te paiono 
attacchi.
ad ogni modo, si, è vero, non è il massimo che ti abbiano risposto 
cosi. Al limite avrebbero dovuto interfacciarsi tra di loro e poi 
dare una risposta ufficiale a te.


 dare una risposta ufficiale a te.
ok, grazie.
-- 
Gerolamo 

 non č che lasci molti dubbi...
effettivamente..


 non č che lasci molti dubbi...
Parzialmente OT, ma consiglio di spostare ssh dalla porta 22 ad altra 
arbitraria scelta da te. In questo modo ti risparmi gli attacchi brute 
force generati dagli script piů comuni.

    dell'abuse
È altamente improbabile, visto che nel 99.9% dei casi si tratta di worm.
-- 
ciao, |
Marco |  The Italian Usenet Cabal, Abuse Department (TINC)
"It's about damn time that all of us who actually give a damn about Usenet
stand up and tell the people who don't to fuck off and die." -- Russ Allbery

 di worm.
Ciò nonostante non mi è parsa una gran mossa da parte
dell'abuse.
Io discutevo il metodo; e volevo sapere se era quella la prassi.
-- 
Gerolamo 

 wrote:

Scusate, volevo chiederlo da tempo e ora colgo la palla al balzo..
Ma su questi attacchi (ne ho avuti diversi anche io su un Mac OS X) non
capisco cosa sperano di combinare.
Passano al setaccio tutti (o quasi) i nomi sperando che ne esista uno
come user locale. E poi? Dovrebbe essere senza password. E poi? Dovrebbe
avere i privilegi di sudo. E poi? Dovrebbe essere senza password pure
root.
Ma che probabilita' hanno? 
Oppure non importa che "becchino" root e basta un utente comune
passwordless, per "zombizzarlo"?
Ciao,
-- 
      Ermanno Polli   (INFN-LNF)
    user:      hostname:  subdomain:  domain:  country:
ermanno.polli    N/A        lnf         infn     it

 Ciao,
Se a loro interessa solo mandare spam, non hanno neppure bisogno della 
password di root o di un utente con id in sudoers.

 passwordless, per "zombizzarlo"?
Non necessariamente passwordless: provano, afair, delle
password banali.
E poi si parte alla ricerca di un exploit locale...
-- 
Chaos A.D.		|	Raging crowd
Tanks on the streets	|	Burning cars
Confronting police	|	Bloodshed starts
Bleeding the Plebs	|	Who'll be alive?

 E poi si parte alla ricerca di un exploit locale...
Non necessariamente serve un exploit, se lo scopo e' quello di
spedire spam a quel punto basta far partire un "kit" di spedizione
dotato di proprio client e lista di indirizzi.
La cosa puo' anche essere pilotata remotamente, ossia la macchina
viene usata come un proxy; ed infatti una buona fetta di spam
viene da router DSL e altri ammenicoli simili privi di storage
magnetico, in cui lo spammer e' entrato usando una password di default.
furio

 furio
Sarebbe a dire che un cracker che scopra la password del mio router 
dotato di firewall sempre connesso anche di notte, ma con pc spento, 
potrebbe usare il mio router per spedire spam o craccare sistemi 
nascondendosi sotto il mio IP?
Insomma, più precauzioni prendi, più falle devi turare?
ArchiPit

 Insomma, più precauzioni prendi, più falle devi turare?
Diciamo che se prendi un disinfettante e poi lo usi con uno straccio
sporco di letame per pulirti una ferita non fai una bella mossa.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 sporco di letame per pulirti una ferita non fai una bella mossa.
Non è esattamente il paragone migliore, ma ok, capito.....
Spegnerò il router quando non lo uso, penso, forse qualche volta, ma 
non voglio entrare in paranaoia da cracker per questo.
Grazie
ArchiPit

 E poi si parte alla ricerca di un exploit locale...
Come "ultima ratio"...


 ArchiPit


 voglio entrare in paranaoia da cracker per questo.
Nessuno lo ha detto.
Ma verifica che impostazioni ha il router in questione,solo questo.


 RAM. Poi, al prossimo reboot, non esiste piu'..
Nessuna necessità. Basta che permetta sessioni telnet uscenti (e lo 
permettono quasi tutti i router), che a pilotarlo per le sessioni SMTP 
ci pensa lo spammer...

 ci pensa lo spammer...
Proprio cosi'.  E non e' nemmeno una cosa nuova, ad esempio
un s/w di nome ProxyPlus veniva abusato regolarmente in questo
modo gia' nel 2000
[ 
http://archives.neohapsis.com/archives/bugtraq/2000-06/0268.html
 ]
La precauzioni chiave sono:
- password non di default
- ACL che impedisca accesso telnet o ssh dall'esterno verso il router,
  se non proveniente da IP di fiducia
Non dovrebbe essere troppo complesso adottarle.
furio

 RAM. Poi, al prossimo reboot, non esiste piu'..
Possono fare l'upload da remoto di un filesystem che contenga il
loro software e metterlo in avvio al runlevel che viene eseguito
al reboot.
Fabio

 furio
Ok, allora sono abbastanza tranquillo, avevo preso ambedue queste 
precauzioni fin dal primo uso del router.
Ciao e grazie a tutti
ArchiPit

 di tutti?
Ovviamente no.
Il buon senso mi aveva fatto configurare in modo corretto il mio 
router.
Password non banale, gestione remota disabilitata :-)
Grazie mille
ArchiPit

 precauzioni fin dal primo uso del router.
Giusto per non lasciar nulla tra le righe, citerei anche un'eventuale
interfaccia web d'amministrazione e, per chi si mette tranquillo dopo
essersi fatto scansionare le porte _tcp_, un eventuale servizio SNMP,
sulla 161/udp, in ascolto sull'interfaccia pubblica.
Fabio

 ci pensa lo spammer...
Pero'.. Proprio come si fa "a manina".
Pensavo si collegasse lui stesso alla smtp...
Comunque il mio piccolino ha la pagina web e un text box dice "accetta
connessioni remote da: " Spero sia quello a chiudere il telnet in uscita
e accettare solo l'IP che gli do, in ingresso.
