Newsgroup: it.news.net-abuse
Titolo: Cos'è, una BotNet?

Guardo il mail quotidiano che mi manda il mio router e vedo che ieri ho 
avuto un lungo elenco di DOS (una cinquantina) tutti avvenuti verso il 
mio IP sulla porta 63000 nel giro di 25 secondi, con IP di provenienza 
tutti diversi, dalla cina alla corea, vietnam, turkia, California..., 
con alcune ripetizioni di paese.
 
Cos'ï¿œ, una rete di pc infetti in giro per tutto il mondo che hanno 
ricevuto l'ordine da server del loro ideatore di scatenare un attacco 
verso uno stesso IP a caso (in questo caso il mio)?
 
Non ï¿œ che la cosa mi preoccupi, ma giusto per capire.
Caso mai mi preoccupo di quello che il router non blocca e che non 
vedo....
 
 

 Caso mai mi preoccupo di quello che il router non blocca 
 
il router di suo non blocca molto, anzi, non è quello il "punto debole"
e non è neanche l'eventuale firewall del PC o l'antivirus, quello che
deve o, per meglio dire, dovrebbe funzionare è la conoscenza
dell'utente; usare un computer senza supervisione solo perchè "è
facile" significa semplicemente cercare guai e comunque creare tutta
una serie di problemi ad altri; purtroppo le aziende preferiscono
vendere "semplicità d'uso" fregandosene della sicurezza ed i risultati
sono sotto gli occhi di tutti.
 
 
 

 sono sotto gli occhi di tutti.
 
Sono totalmente d'accordo e vale quello che dicevo sopra, nel senso che 
io supervisiono molto il mio pc. Lo manutengo e lo spolvero spesso.
Vorrei anzi dire che la salute del mio pc delle volte mi rende quasi 
paranoico e mi ï¿œ capitato piï¿œ volte di piallare il pc e rimettere una 
immagine sicuramente pulita al piï¿œ piccolo sospetto.
 
 
Ti ringrazio ancora per la tua risposta molto completa.
 
 

 Come faccio a controllare cosa esce dal tv verso internet?
 
Intanto metti un firewall hardware sulla connessione e blocca in uscita 
le porte 137, 138, 139 e 445 tcp/udp; almeno eviti di far sapere al 
mondo che apparati Windows/Samba ci sono da te.
 
Ciao
Luca

 apparati Windows/Samba ci sono da te.
 
 
Grc mi dice che le porte su citate non solo sono non visibili ma non 
rispondono, quindi sembrerebbe che potrei stare tranquillo.
Questo ï¿œ il firewall del router (dgn3500 netgear).
 
Ogni tanto faccio un test di un blocco di porte (giusto proprio ora) ed 
ï¿œ tutto chiuso tranne le porte scelte da me nel port forwarding del 
router.
 
Non so perï¿œ se Grc ShieldsUp fa il test completo tcp e udp.
 
Mettere su un firewall hardware...intendi un vecchio pc, linux, 
iptables? messo perï¿œ dove? tra modem e router?
Cioï¿œ dovrebbe essere: adsl-> modem-> firewall hw-> router-> Lan e wifi?
 
Siccome ho un modem-router integrato dovrei cambiarlo?
E se prendo un fritz!box o un router asus dd-wrt compatibile? Questi  
hanno un firewall migliore del mio?
 
 

 hanno un firewall migliore del mio?
 
Più o meno tutti hanno difetti e si equivalgono. Basta che ci siano gli 
aggiornamenti.
 
-- 
Flavio Visentin
There are only 10 types of people in this world:
those who understand binary, and those who don't.
http://al.howardknight.net/msgid.cgi?ID=131971124500
 

 tua anche il firewall integrato nel router puï¿œ essere sufficiente.
 
ok, vado cosï¿œ.
Anche se penso di prendere un router migliore.
 
Grazie mille del tuo intervento.
 
 

 Grazie mille del tuo intervento.
 
YW


 Come si fa?
 
dipende dal router
 
 
 

 anch'essi aggiornati.
 
Questo invece non lo sapevo.
Cercherï¿œ oggi pomeriggio info al riguardo.
hai qualche link da consigliarmi?
 
Grazie ancora
 
 

 tale traffico potrï¿œ uscire tranquillamente sulla WAN :P
 
Il mio problema sarï¿œ innanzitutto quello di individuare il traffico 
indesiderato.
Per esempio, sicuramente lo smart tv samsung si connette in automatico 
tramite wifi a samsung e gli dice tutto delle mie preferenze di 
visione, orari etc etc.
 
Come posso fare sul pc/router a individuare questo traffico e l'IP di 
destinazione, tanto poi da bloccarlo sul router?
 
Ho wireShark installato sul pc, ma non lo ho mai usato in profonditï¿œ: 
pensi potrebbe aiutare?
 
 

 Avevo totalmente dimenticato questa possibilità.
 
vedi
 
http://www.manualslib.com/manual/298852/Netgear-Rangemax-Dgn3500.html?page=48#manual
 
 
http://www.manualslib.com/manual/298852/Netgear-Rangemax-Dgn3500.html?page=49#manual
 
 
non è difficile, in pratica prima di tutto dovrai definire le porte
(vengono chiamate "service") poi potrai creare delle regole di blocco
 
 

 preferenze di visione, orari etc etc.
 
http://javahaxxor.blogspot.it/2011/10/samsung-smarttv-traffic.html
 
 
 



dimenticavo...
 
http://forum.samygo.tv/viewtopic.php?f=25&t=3646
 
 
http://delaat.net/rp/2012-2013/p39/report.pdf
 
 
considera che comunque non è solo samsung, le "smart TV" di LG ed altri
hanno le stesse "brutte abitudini" e gli stessi "buchi di sicurezza" :P
e la cosa non si ferma alle TV, come scrivevo, la maggior parte dei
dispositivi "intelligenti" che usiamo sono a tutti gli effetti dei
computers (con tutto quello che ciò comporta, incluse vulnerabilità
eccetera), solo che si tende a non considerarli tali dato che non hanno
l'aspetto di un computer :P
 

 altri hanno le stesse "brutte abitudini" e gli stessi "buchi di
 
per dire
 
http://doctorbeet.blogspot.co.uk/2013/11/lg-smart-tvs-logging-usb-filenames-and.html
 
 
:P
 

 (vengono chiamate "service") poi potrai creare delle regole di blocco
 
Grazie.
ora cerco di vedere il traffico wifi della smart tv e di bloccargli 
tutte le cose non volute.
 
 

 tutte le cose non volute.
 
PRIMA di tutto blocca le porte che ti hanno suggerito Luca e Zippo;
ossia 137, 138, 139 e 445 sia TCP che UDP; 25, 6666, 6667 TCP; fatto
quanto sopra PER TUTTI (non solo per la TV o altro) potrai procedere
con il resto
 
 

 con il resto
 
Ok, fatto.
Ora verifico che tutto funga come prima.
 
 

  :P
 
Sto leggendo questo e gli altri link che mi hai dato: 
interessantissimi.
Ora cerco di sniffare il traffico della smart tv...
 
Ciao e grazie
 
 



verifica che il blocco funzioni; prova, ad esempio un
 
c:\> telnet 
smtp.gmx.net
 25
 
se il blocco funziona NON dovresti riuscire a connetterti
 
 

 se il blocco funziona NON dovresti riuscire a connetterti
 
Strano...ho anche fatto il reboot del router, ma mentre con le altre 
porte indicate la richiesta di connessione va in timeout, con la porta 
25 invece mi si connette subito e risponde
"
gmx.com
 (mrgmx103) Nemesis ESMTP Service ready"
 
Se invece non indico la porta va lo stesso in timeout ma indicando la 
porta 23 che deve essere il suo default.
 
Stesso comportamento con
telnet 
smtp.virgilio.it
 25 che risponde con 
mta21.smtppout-v-12a.virgilio.net
 bizsmtp ESMTP server ready
 
Questa ï¿œ il blocco servizi del mio router
http://it.tinypic.com/r/fbetti/8
 
 
Dove cacchio ho sbagliato...
 
 

 Dove cacchio ho sbagliato...
 
prima di tutto, invece di usare tinypic usa 
http://postimage.org/
 non
per altro, ma ... lo preferisco :) in secondo luogo, apparentemente non
dovresti aver sbagliato, ma in pratica, se non blocca la 25/tcp credo
che non blocchi neanche il resto; potresti caricare la videata
(o anche più videate) relativa/e al *dettaglio* della regola per la
porta 25 (e magari anche quella per le 137-139) ?
 
 

 wrote:
 

dimenticavo, se per caso hai in outbound la regola di default visibile
qui
 
http://www.manualslib.com/manual/298852/Netgear-Rangemax-Dgn3500.html?page=45#manual
 
 
ossia la "allow all" e se tale regola è la prima, le regole di blocco
da te impostate non avranno effetto e dovrai spostare la regola allow
in fondo in modo che le regole di blocco funzionino correttamente.
 

 porta 25 (e magari anche quella per le 137-139) ?
 
Disgraziatamente il fw del mio dgn3500, rigorosamente ufficiale, non 
corrisponde affatto a quanto descritto nel manuale che avevi indicato.
E' un router ufficiale, non ï¿œ un clone.
 
Qui ti dï¿œ le immagini del dettaglio delle regole della porta 25 e delle 
137-139.
 
Non compare assolutamante nulla circa dettagli come l'IP di 
destinazione o se si vuole un dettaglio nel log.
 
E quello che piï¿œ conta, non ï¿œ presente da nessuna parte la regola base 
che deve essere l'ultima (l'Allow all).
 
La cosa ï¿œ strana, e la avevo notata anche io subito anche prima di 
comporre le regole per le porte che avevi indicato, perchï¿œ invece 
ricordo benissimo che nel vecchio router (netgear dg834G) c'era...
 
http://postimg.org/image/3qpgx2i67/
 
 
http://postimg.org/image/lluwrs327/