Newsgroup: it.news.net-abuse
Titolo: attacchi ssh ?

Sara' circa dalla mezzanotte di oggi che ricevo (e non sono l'unico, lo 
stesso capita su altre macchine dell'istituto) tentativi di connessione 
ssh come root "a raffica".
Si tratta di circa un tentativo al minuto, ognuno apparentemente da un 
IP diverso (e per questo DenyHosts non li registra). Tanto per dire, nei 
giorni scorsi ci sono stati 1 e 8 tentativi, mentre oggi saremo sopra i 
900 ...
Qualcuno ha avuto sentore del tipo di cosa ?
Personalmente ho bloccato in /etc/hosts.deny tutte le connessioni ssh da 
fuori LAN ( sshd: ALL EXCEPT LOCAL ) dato che al momento non devo 
viaggiare,
Cosi' per lo meno proprio non entrano e invece di
Nov  3 10:48:24 xxxx sshd[7026]: error: PAM: Authentication failure 
for root from 180.168.5.184
vedo messaggi comd
Nov  3 11:21:07 xxxxx sshd: refused connect from 
priateli.net
 
(::ffff:93.152.158.141)
-- 
----------------------------------------------------------------------
nos...@mi.iasf.cnr.it
 is a newsreading account used by more persons to
avoid unwanted spam. Any mail returning to this address will be rejected.
Users can disclose their e-mail address in the article if they wish so.

 scorsi ci sono stati 1 e 8 tentativi, mentre oggi saremo sopra i 900 ...
Intanto installa qualcosa tipo blockhosts 
http://www.aczoom.com/blockhosts
Poi nega l'accesso a root via ssh, abilita solo un utente per persona e 
usa le chiavi anziché le password. Una volta loggato puoi passare a 
root.
Ciao
Luca

viaggiare
Un altro sistema si puň basare sul fatto che questo worm apparentemente
usa SSH-2.0-libssh-0.4.3.
iptables -I INPUT -p tcp --dport 22 -d $YOUR_IP \
	-m string --to 64 --algo bm --string 'SSH-2.0-libssh' -j TARPIT
o suppergiů.
Qui altre info utili:
http://spamcleaner.org/en/misc/w00tw00t.html
Leonardo
-- 
Enough, enough!  But, stranger, ere we part,
Glancing farewell to each nefarious bier,
This warning would I beg you take to heart:
There is an end to e'en the worst career!

 viaggiare,
fatti un favore, cambia la porta da 22 a qualcosa di diverso
ED implementa port knocking per l'accesso
http://www.linuxjournal.com/article/6811
http://www.portknocking.org/
e, tanto per stare sul sicuro, segui anche i consigli di Luca
e di Leo
HTH

 ED implementa port knocking per l'accesso
facendo riferimento a
http://www.portknocking.org/view/implementations
alcuni tools che, conoscendo gli autori, mi sento
di suggerire sono cerberus e tumbler ovviamente
troverai implementazioni a bizzeffe (o potresti
implementare il tutto anche da solo); i due di
cui sopra sono solo degli spunti possibili

 Intanto installa qualcosa tipo blockhosts
Abbiamo gia' da tempo immemorabile DenyHost
http://denyhosts.sourceforge.net/index.html
ma il senso di questo tipo di tool e' bloccare gli host che tentano 
ripetutamente dei login multipli. Questo ovviamente fallisce nel caso 
presente ... me ne sono accorto solo per un crontab che logga i 
tentativi di ingresso
Ho passato i suggerimenti a chi di dovere, ma credo sara' piuttosto 
difficile convincere i colleghi "viaggiatori" a implementare protocolli 
scomodi o complessi.
Personalmente per me (che non viaggio molto) mi sento a posto avendo 
messo in /etc/hosts.deny sshd: ALL EXCEPT LOCAL   ... se dovessi 
viaggiare lo riapro prima, oppure, al momento che servisse, entrando 
attraverso la unica macchina ponte che gia' abbiamo per quando serve 
telnet.


 telnet.
TELNET ? Esposto su Internet ?

 ssh come root "a raffica".
Non mi sembra che ci sia nulla di nuovo ... invece ho la curiosità di
sapere se qualcuno ha mai notato uno di questi tentativi provenire da
un IP italiano o almeno sul territorio europeo ...

 un IP italiano o almeno sul territorio europeo ...
Beh... Svizzeri (green e bluewin) ed anche Portoghesi; per gli
Italiani... mi sembra di ricordare qualcosa ma dovrei rivedere
i logs