Newsgroup: it.news.net-abuse
Titolo: Tentativi di accesso da rete interbusiness

Buongiorno a tutti
Questa notte qualcuno ha cercato di farsi autorizzare dal nostro mail server
fornendo credenziali varie (admin,webmaster,user,root,test,web,sybase,...) e
grazie al cielo, ma soprattutto alle precauzioni che avevo preso, non ha
avuto successo... mi ritrovo comunque con 2600 righe di log dei sui
tentativi...
L'IP è del range di interbusiness... mi conviene segnalarlo all'abuse
(
ab...@interbusiness.it
) oppure posso rinunciarci tanto non conta nulla?
Suggerimenti?
Grazie
Matteo

 ha scritto nel messaggio
news:c4jdbo$2jmnh0$1...@ID-123015.news.uni-berlin.de...

Segnala e contatta all' 800018914 opzione 5 (numero verde interbusiness),
fatti rilasciare un ticket e digli che si configura un reato penale (se non
ricordo male il 615) , visto che è un palese accesso abusivo a sistema
informatico.
Alla mail di abuse allega un estratto del log, nel caso.
Non agendo sarà dura far passar la voglia a dei cialtroni di far gli
hackerini di turno commettendo reati di rilevanza penale.

 conta nulla?
Hm .. sicuro che sia interbusiness ? Lo chiedo perchč ho visto simili
probes venire da IP olandesi (blocco "adiacente" ad interbusiness)
se potessi postare qualche info in piů si potrebbe verificare...
Ciao

 ha scritto nel messaggio
news:c4jqap$2j6isl$1...@ID-180886.news.uni-berlin.de...

[...]
2004/04/01 01.02.23 I   {4b0} Client 
80.181.79.176:110
 (592) connected
2004/04/01 01.02.23 I   {318} < +OK POP3-Server Classic Hamster Vr. 2.0
(Build 2.0.4.0) greets you! <c4fpmv...@FQDN-not-set.he608cd82.invalid>
2004/04/01 01.02.23 I   {4b0} Client 
80.181.79.176:110
 (504) connected
2004/04/01 01.02.23 I   {318} > USER root
2004/04/01 01.02.23 I   {318} < +OK More authentication information required
2004/04/01 01.02.23 I   {138} < +OK POP3-Server Classic Hamster Vr. 2.0
(Build 2.0.4.0) greets you! <c4fpmv...@FQDN-not-set.h910ffd14.invalid>
2004/04/01 01.02.23 I   {318} > PASS [...]
2004/04/01 01.02.23 I   {318} < -ERR [AUTH] No permission
2004/04/01 01.02.23 I   {4b0} Client 
80.181.79.176:110
 (636) connected
2004/04/01 01.02.23 I   {138} > USER admin
2004/04/01 01.02.23 I   {138} < +OK More authentication information required
2004/04/01 01.02.23 I   {564} < +OK POP3-Server Classic Hamster Vr. 2.0
(Build 2.0.4.0) greets you! <c4fpmv...@FQDN-not-set.h0f6b68b7.invalid>
2004/04/01 01.02.23 I   {318} > QUIT
2004/04/01 01.02.23 I   {318} < +OK closing connection - goodbye!
2004/04/01 01.02.23 I   {138} > PASS [...]
2004/04/01 01.02.23 WAR {138} User admin tried to login with incorrect
password
2004/04/01 01.02.23 I   {138} < -ERR [AUTH] No permission
2004/04/01 01.02.23 I   {4b0} Client 
80.181.79.176:110
 (316) connected
2004/04/01 01.02.23 I   {564} > USER webmaster
2004/04/01 01.02.23 I   {564} < +OK More authentication information required
2004/04/01 01.02.23 I   {3dc} < +OK POP3-Server Classic Hamster Vr. 2.0
(Build 2.0.4.0) greets you! <c4fpmv...@FQDN-not-set.h786c5821.invalid>
2004/04/01 01.02.23 I   {318} Client 
80.181.79.176:110
 (592) disconnected
2004/04/01 01.02.23 I   {138} > QUIT
2004/04/01 01.02.23 I   {138} < +OK closing connection - goodbye!
2004/04/01 01.02.23 I   {4b0} Client 
80.181.79.176:110
 (680) connected
2004/04/01 01.02.23 I   {564} > PASS [...]
2004/04/01 01.02.23 I   {564} < -ERR [AUTH] No permission
2004/04/01 01.02.23 I   {3dc} > USER user
2004/04/01 01.02.23 I   {3dc} < +OK More authentication information required
2004/04/01 01.02.23 I   {318} < +OK POP3-Server Classic Hamster Vr. 2.0
(Build 2.0.4.0) greets you! <c4fpn0...@FQDN-not-set.h45018430.invalid>
2004/04/01 01.02.23 WAR {35c} Connection refused:
80.181.79.176:110
Connection rejected - more than 5 open connections from you not allowed!
2004/04/01 01.02.23 I   {138} Client 
80.181.79.176:110
 (504) disconnected
2004/04/01 01.02.23 I   {564} > QUIT
2004/04/01 01.02.23 I   {564} < +OK closing connection - goodbye!
2004/04/01 01.02.23 I   {4b0} Client 
80.181.79.176:110
 (708) connected
2004/04/01 01.02.23 I   {3dc} > PASS [...]
2004/04/01 01.02.23 I   {3dc} < -ERR [AUTH] No permission
2004/04/01 01.02.23 I   {318} > USER test
2004/04/01 01.02.23 I   {318} < +OK More authentication information required
2004/04/01 01.02.23 I   {138} < +OK POP3-Server Classic Hamster Vr. 2.0
(Build 2.0.4.0) greets you! <c4fpn0...@FQDN-not-set.hd5be99a1.invalid>
2004/04/01 01.02.23 I   {564} Client 
80.181.79.176:110
 (636) disconnected
2004/04/01 01.02.23 WAR {35c} Connection refused:
80.181.79.176:110
Connection rejected - more than 5 open connections from you not allowed!
2004/04/01 01.02.23 WAR {564} Connection refused:
80.181.79.176:110
Connection rejected - more than 5 open connections from you not allowed!
2004/04/01 01.02.23 I   {3dc} > QUIT
2004/04/01 01.02.23 I   {3dc} < +OK closing connection - goodbye!
2004/04/01 01.02.23 I   {318} > PASS [...]
2004/04/01 01.02.23 I   {318} < -ERR [AUTH] No permission
2004/04/01 01.02.23 I   {138} > USER web
2004/04/01 01.02.23 I   {138} < +OK More authentication information required
2004/04/01 01.02.23 I   {4b0} Client 
80.181.79.176:110
 (332) connected
2004/04/01 01.02.23 I   {318} > QUIT
2004/04/01 01.02.23 I   {3dc} Client 
80.181.79.176:110
 (316) disconnected
2004/04/01 01.02.23 I   {138} > PASS [...]
2004/04/01 01.02.23 I   {318} < +OK closing connection - goodbye!
2004/04/01 01.02.23 I   {138} < -ERR [AUTH] No permission
2004/04/01 01.02.23 I   {564} < +OK POP3-Server Classic Hamster Vr. 2.0
(Build 2.0.4.0) greets you! <c4fpn0...@FQDN-not-set.ha2b9a937.invalid>
2004/04/01 01.02.23 I   {4b0} Client 
80.181.79.176:110
 (692) connected
2004/04/01 01.02.23 I   {3dc} < +OK POP3-Server Classic Hamster Vr. 2.0
(Build 2.0.4.0) greets you! <c4fpn0...@FQDN-not-set.h5cfd0d5c.invalid>
2004/04/01 01.02.23 I   {138} > QUIT
[...]
e va avanti cosě per 2600 righe...
il whois mi ha dato
inetnum:      80.181.0.0 - 80.181.109.255
netname:      TINIT-ADSL
descr:        Telecom Italia
descr:        Accesso ADSL BBB
country:      IT
admin-c:      BS104-RIPE
tech-c:       BS104-RIPE
status:       ASSIGNED PA
remarks:      Please send abuse notification to 
ab...@telecomitalia.it
notify:       
ripe-...@telecomitalia.it
mnt-by:       TIWS-MNT
changed:      
net...@telecomitalia.it
 20020905
source:       RIPE
ho capito male?
Grazie
Matteo

 web,sybase,...)
A proposito ... anche se riporti l'IP come
InterBusiness .. hai letto queste info  ???
http://www.spamhaus.org/rokso/search.lasso?evidencefile=2669
Ciao

 ho capito male?
No .. penso proprio di no ...
whois -h 
whois.radb.net
 80.181.79.176
route:        
80.181.0.0/16
descr:        INTERBUSINESS
origin:       AS3269
notify:       
net...@cgi.interbusiness.it
mnt-by:       TIWS-MNT
mnt-routes:   INTERB-MNT
changed:      
net...@telecomitalia.it
 20021001
source:       RIPE
oltretutto si tratta di tentativi su POP3 non su SMTP (pensavo fossero
tentativi di relay) ... č strano, a meno che .. qualcuno non stia usando
POP3 per cercare di trovare degli account/password da usare poi
con SMTP AUTH .. hmmmm

 ha scritto nel messaggio
news:c4jrlu$2jhp8h$1...@ID-180886.news.uni-berlin.de...

accaz... questo non avevo pensato... vabbč... se anche ci riuscissero se la
prendono in quel posto... quel server č in una DMZ blindata e puň offrire
solamente il servizio POP3 ai portatili aziendali... per l'SMPT ognugno
s'arrangia col proprio provider di connessione ;))
Cioč... c'č un server SMTP attimo, ma lo tengo su per mio diletto per vedere
quanto spam raccolgo... e ne ho raccolto davvero tanto... ovviamente č tutta
roba che non č mai stata rispedita ai destinatari...
In ogni caso, quel server di posta elettronica gira come "user" in un server
blindato al piů non posso... tanti danni non puň fare..
Ciao
Matteo

 roba che non è mai stata rispedita ai destinatari...
Hm .. beh se il server "non esce" ok, in caso contrario se qualcuno
becca una "logon" POP3 (assumendo che sia uguale ad SMTP)
potrebbe in teoria usare il server per fare relay .. occhio !!
Ciao

 sata come "ponte".
non ho capito...
Matteo

 smbclient -L
cfr. nbtstat nel caso di windows :-) ad ogni modo credo
si tratti di qualcosa sul tipo di 
http://tinyurl.com/285vj
 ed
è probabilmente un bot/script o qualcosa di simile
Ciao

smbclient -L 
a me, nmap, da questo:
PORT     STATE    SERVICE
135/tcp  filtered msrpc
137/tcp  filtered netbios-ns
138/tcp  filtered netbios-dgm
139/tcp  filtered netbios-ssn
-- 
http://e-0.org

 ha scritto nel messaggio
news:0f0r609se37k7pj1t...@4ax.com...

ehia, avevo notato.
Rimane il fatto, ponte o non ponte, bot o pistola, cialtrone o guru, che per
quanto 
ab...@interbusiness.it
 e il loro call center rimbalzino ampiamente,
personalmente scelgo la strada di tempestarli di mail e farmi assegnare
ticket, mai che si decidano a intervenire quantomeno comunicando al cliente
"inconsapevole" che dal suo IP partono tonnellate di vermi :)

Penso che siano access-list del tuo fornitore. ;)
e' vero; da un altro server:
[root@seta_linux php]# hping2 80.181.79.176 -p 139
HPING 80.181.79.176 (eth0 80.181.79.176): NO FLAGS are set, 40 headers
+ 0 data bytes
len=46 ip=80.181.79.176 ttl=120 id=21676 sport=139 flags=RA seq=0
win=0 rtt=101.7 ms
len=46 ip=80.181.79.176 ttl=120 id=21691 sport=139 flags=RA seq=1
win=0 rtt=101.8 ms
-- 
http://e-0.org

 Prova il client samba sulla 445: magari quella non e' filtrata.
azz.
grazie whip, mi sa che devo controllare qualche cosina anche da me :)

 cfr. nbtstat nel caso di windows :-) ad ogni modo credo
NET VIEW, volendo essere pignoli.. :-)

 138/tcp  filtered netbios-dgm
Da cui si avrebbe parziale conferma che chi gestisce quella
macchina e' un fessacchiotto anche se, forse, non nel senso
che intendeva whiplash.
Adesso non filtra niente su quelle porte tcp: o e' dinamico
o e' in ROTFLmanutenzione o... o... mica sara' il tuo isp a
filtrare quel traffico, eh? :-)
Fabio

mica sara' il tuo isp a filtrare quel traffico, eh? :-)
purtroppo, questa e' l'ipotesi valida. :)
-- 
http://e-0.org

 informatico.
'tentativo' di accesso abusivo.
-- 
WOMEN.ZIP:  A great program, but it doesn't come with documentation...
News 2000 [v 2.06] / StopDialer / PopDuster - 
http://www.socket2000.com
Akapulce portal: 
http://www.akapulce.net