Newsgroup: it.news.net-abuse
Titolo: Port scanning e tentativi di telnet

E' da un paio di giorni che cercano di entrare su un nostro server.
Prima hanno fatto un bel port scanning su tutta una classe C,
poi hanno tentato di entrare in telnet; sembra però che non
tentino coppie di userid e password, ma aprono un telnet
e aspettano che vada in timeout.
Il port scanning arriva da una macchina di un'università
coreana e ho già provveduto ad avvertire il tech-c.
I telnet in timeout, invece, arrivano dagli indirizzi di due nameserver.
C'è qualche funzione DNS che lo prevede? Ho dimenticato
qualcosa?
Nel syslog mi trovo
Apr  9 04:24:34 napoli in.telnetd[20068]: connect from 
ro...@210.92.96.194
Apr  9 04:24:34 napoli in.telnetd[20069]: connect from 210.92.96.194
Apr  9 04:24:49 napoli named[15362]: Lame server on
'194.96.92.210.in-addr.arpa'
 (in '96.92.210.IN-ADDR.ARPA'?): [210.120.128.213].53 '
nis.dacom.co.kr
'
Apr  9 04:24:49 napoli named[15362]: Lame server on
'194.96.92.210.in-addr.arpa'
 (in '96.92.210.IN-ADDR.ARPA'?): [164.124.107.9].53 '
ns2.dacom.co.kr
'
Apr  9 04:24:51 napoli telnetd[20068]: ttloop:  peer died: Connection timed
out
Apr  9 04:25:01 napoli telnetd[20069]: ttloop:  peer died: Connection timed
out
C'è una spiegazione a questo?
A proposito, (pubblicità progresso) da quando ho installato rbl ricevo un
sacco di spam in meno...
Saluti,
Valerio
--
"Microsoft Outlook Express: cosa vuoi postare
postare postare oggi?"
---------------------------------------------------------------------------
          GetNet S.r.l.  Network & System Integrator
               - Partner Infostrada - Sede di Napoli -
 
http://www.getnet.it
     0815625909     03395452296       03394733180
---------------------------------------------------------------------------

 e aspettano che vada in timeout.
Sarà stato qualcuno che stava utilizzando wingatescanner.. nulla di male penso.

C'è qualche funzione DNS che lo prevede? Ho dimenticato
Si, ma non credo che i proprietari lo sappiano. :-)
Si tratta probabilmente di vecchie red hat bucate, segnala ai
proprietari che hanno ospiti.
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco |  The Italian Usenet Cabal, Abuse Department (TINC)
"It's about damn time that all of us who actually give a damn about Usenet
stand up and tell the people who don't to fuck off and die." -- Russ Allbery

Fatto. Mi hanno risposto che hanno una macchina con
il 'root free for all' :-(
Comunque mi hanno assicurato che provvederanno....
Ciao,
Valerio
--
"Microsoft Outlook Express: cosa vuoi postare
postare postare oggi?"
---------------------------------------------------------------------------
          GetNet S.r.l.  Network & System Integrator
               - Partner Infostrada - Sede di Napoli -
 
http://www.getnet.it
     0815625909     03395452296       03394733180
---------------------------------------------------------------------------
Marco d'Itri ha scritto nel messaggio ...


Valerio Granato ha scritto:


 Valerio
Se hanno scannato un intero dominio C sulla 23 (telnet) è probabile stessero
utilizzando uno scanner, cioè un programma che testa la presenza di una porta
aperta predefinita dall'utente su una subnet intera.

Mi puoi dire di più?
secondo la leggenda , il wingate permette di fare quello che (da quello ho
capito) si puo' fare con backorifice , pero' senza dover instalalre il
server sul pc vittima 
evidentemente stanno cercando appunto di fare lo scan della tua classe C 
alla ricerca di qualche wingate (che riosponde sulla porta 23) da usare
come "ponte" per hackare/spammare altre macchine
almeno questo e' quello che ho letto in un manualetto di un tipo che
parlava di come usare wingate come ponte per mandare fakemail 
senza farsi sgamare , non saprei se oltre a fakemail puoi fare il redirect
di altre cose 
-- 
http://www.marche.linux.it/bladespammer
----------------------------------------------
Blade Spammer II     
AntiSpam Net-Runner Unit
" I've seen SPAMs you people wouldn't believe.
   Time to shutdown. "                     ;^)
----------------------------------------------

Ach! Ecco cosa mi mancava... la porta 23!
Non sapevo che il wingate usasse quella porta.
Ciao,
Valerio
--
"Microsoft Outlook Express: cosa vuoi postare
postare postare oggi?"
---------------------------------------------------------------------------
          GetNet S.r.l.  Network & System Integrator
               - Partner Infostrada - Sede di Napoli -
 
http://www.getnet.it
     0815625909     03395452296       03394733180
---------------------------------------------------------------------------
Vice Blade Spammer ha scritto nel messaggio ...


 Non sapevo che il wingate usasse quella porta.
La porta 23 è il telnet. Ecco perchè i tuoi log riportavano questa
dicitura.

 come "ponte" per hackare/spammare altre macchine
Così è già meglio...

...


No, assolutamente.
 in effetti ho citato,e anche in maniera piuttosto inesatta, una leggenda
...
e quindi c'era solo un fondo di verita' :-)
diciamo che soprattutto e' possibile usare quel sistema (collegarsi a
wingate , scovandoli prima attraverso uno scan di una classe C)  
cercando di mettere "in serie" questi  ponti , in modo che sia difficile 
riuscire ad arrivare al lamer 
visto ad esempio che questi ip sono dinamici quindi la vittima dovrebbe
chiedere ad ogni provider che e' coinvolto in questa "cascata" di
controllare i log , ci vorrebbero mesi e intanto magari qualcuno ha gia
cancellato i log ....
