Newsgroup: it.news.net-abuse
Titolo: Tentativi di attacco

Ciao a tutti,
oggi ho ricevuto dei tentativi di intrusione da parte del seguente IP:
132.187.190.51
Tale IP appartiene ad una università tedesca. Come posso fare per far 
massacrare il cretino? Per fortuna ho il firewall che mi protegge.
-- 
Ciao.
Manfry

Anch'io ho un firewall che mi segnala numerosi attacchi (in media 4/5 in
un'ora). Quasi tutti vengono da 193.70.192.73. Come hai fatto a dedurre che
quell'indirizzo e' di una universita' tedesca? In che modo si puo' risalire
all'autore? Per difendersi non so esattamente come si fa, anche se ho
trovato un programmino che, ad ogni attacco, rimanda all'autore un messaggio
personalizzabile. Non l'ho installato e non l'ho mai usato, ma serve piu' a
spaventare che ad altro.
Stefano
Manfry <man...@CANCELLAinwind.it> wrote in message
MPG.13d95b15d...@news.it.net...


 quell'indirizzo e' di una universita' tedesca? 
http://www.ripe.net/cgi-bin/whois
L'IP che ti attacca è di infostrada:
inetnum:     193.70.192.0 - 193.70.195.255
netname:     HOUSING-NET-0
descr:       Infostrada Housing
country:     IT
admin-c:     IIS1-RIPE
tech-c:      IIS1-RIPE
status:      ASSIGNED PA
mnt-by:      AS1267-MNT
changed:     
hostm...@iunet.it
 19940201
changed:     
hostm...@iunet.it
 19980608
changed:     
hostm...@iunet.it
 19990316
changed:     
hostm...@iunet.it
 20000111
source:      RIPE
route:       
193.70.0.0/16
descr:       IT-EUNET-193-76
origin:      AS1267
mnt-by:      AS1267-MNT
changed:     
hostm...@iunet.it
 19950711
changed:     
hostm...@iunet.it
 19960322
source:      RIPE
person:      Infostrada Internet Staff
address:     Infostrada SpA
address:     Via Lorenteggio 257
address:     I-20152 Milano
address:     Italy
phone:       
+39 02 413311
e-mail:      
st...@iunet.it
nic-hdl:     IIS1-RIPE
mnt-by:      AS1267-MNT
changed:     
hostm...@iunet.it
 19991124
source:      RIPE
-- 
Ciao.
Manfry

descr:       Infostrada Housing
In pratica un utente Infostrada, IOL, Libero o qualche altro allegato.
Dovresti mandare il log ad 
ab...@iol.it
, con data, ora e IP.
Dovrebbero arrangiarsi loro...
-- 
Ciao
DGP85
http://daps.cjb.net/

Grazie 1000
Stefano
P.S.
Ho installato la patch che dovrebbe consentire le risposte col "Re"
corrette; se cosi' non fosse avvisatemi, grazie.

 descr:       Infostrada Housing
Non c'e' bisogno di scomodare RIPE, bastano semplici lookup DNS.
193.70.192.73 e' uno dei servers di Libero, non un utente.
Corrisponde a 
pop3.libero.it
.
Prima di dire che si tratta di un attacco bisognerebbe pero'
sapere che porte sono coinvolte;  e questo vale soprattutto
se chi riporta l'attacco accede via POP alla posta su Libero!
Incidentalmente, l'abuse desk di un ISP riceve un certo numero
di "notifiche di attacco" totalmente demenziali (nel senso che
non si tratta di attacchi) da parte di programmi installati su
PC, e in particolare da un certo "Jammer" che deve essere stato
programmato da idioti.  La gestione di queste notifiche fasulle
costa inutile lavoro di analisi e risposte, e quindi Jammer
reca un notevole disservizio alla comunita'.
furio ercolessi
Spin - Antispam

 Spin - Antispam
Ammetto sull'argomento la mia piu' totale ignoranza.
Posso solo dirti che da quando ho installato zone alarm, ho ricevuto una
quantita incredibile di messaggi di allarme, che ho salvato in un file.
Di seguito ne posto qualcuno (alla fine c'e' il numero della porta):
FWIN,2000/07/14,13:04:48 +1:00 GMT,
193.70.192.71:110
,
151.28.250.20:1064
,TCP
FWIN,2000/07/14,13:14:40 +1:00 GMT,
193.70.192.73:110
,
151.28.250.20:1152
,TCP
FWIN,2000/07/14,13:56:18 +1:00 GMT,
193.70.192.71:110
,
151.28.250.20:1416
,TCP
FWIN,2000/07/14,14:24:12 +1:00
GMT,
216.234.161.197:3396
,
151.28.250.20:1080
,TCP
FWIN,2000/07/14,14:26:20 +1:00 GMT,
193.70.192.72:110
,
151.28.250.20:1845
,TCP
FWIN,2000/07/14,15:08:28 +1:00 GMT,
193.70.192.71:110
,
151.28.250.20:2118
,TCP
FWIN,2000/07/14,15:15:06 +1:00 GMT,
193.70.192.72:110
,
151.28.250.20:2161
,TCP
FWIN,2000/07/14,15:40:26 +1:00
GMT,
216.234.161.197:1763
,
151.28.250.20:1080
,TCP
FWIN,2000/07/15,14:49:50 +1:00 GMT,
193.70.192.73:110
,
151.28.248.230:1069
,TCP
FWIN,2000/07/15,16:00:50 +1:00 GMT,
139.142.47.244:137
,
151.28.248.230:137
,UDP
FWIN,2000/07/15,16:13:06 +1:00 GMT,
193.70.192.72:110
,
151.28.248.230:2999
,TCP
FWIN,2000/07/15,16:32:36 +1:00 GMT,
199.172.144.72:80
,
151.28.248.230:3283
,TCP
FWIN,2000/07/15,16:35:36 +1:00 GMT,
193.70.192.73:110
,
151.28.248.230:3492
,TCP
FWIN,2000/07/15,16:56:26 +1:00 GMT,
193.70.192.71:110
,
151.28.248.230:4054
,TCP
FWIN,2000/07/15,17:02:56 +1:00 GMT,
193.70.192.71:110
,
151.28.248.230:4107
,TCP
FWIN,2000/07/15,17:45:40 +1:00 GMT,
193.70.192.72:110
,
151.28.249.52:4255
,TCP
Ho anche installato CheckBO, che pero' non mi ha mai notificato alcun
tentativo di intrusione.
Saluti
Stefano

 FWIN,2000/07/15,16:32:36 +1:00 GMT,
199.172.144.72:80
,
151.28.248.230:3283
,TCP
HTTP...
-- 
Windows ha causato un errore di protezione all'indirizzo 666

HTTP...
Ecco, questo è un attacco....
Attento, se trovi alla porta 137, si tratta di un tentativo di un
server di verificare chi si è connesso con un suo sito durante il
giorno, potrebbe essere stato un altro utente con lo stesso IP, dopo
diventa il tuo, il server tenta un NetBios Name Resolver e non vuol
far nulla.


 Ecco, questo è un attacco....
Attacco? E' il server sulla 80! Lui (il client) usava la 3283. 
Probabilmente stava sul web in quel momento!


Probabilmente stava sul web in quel momento!
Ops, ho letto 151 che era il primo settore del secondo IP come
porta...
Ehm... capita....


Quanto sopra significa che posso stare tranquillo?
Scusate ma di porte, client ecc. ecc. non ne capisco un tubo.
Ciao
Stefano


wrote:
Visto che mi pare ZoneAlarm, imposta per Internet la modalità Media,
così non avrai di questi problemi.


Scusate ma di porte, client ecc. ecc. non ne capisco un tubo.
Agganciare it.comp.sicurezza.varie e it.comp.sicurezza.windows nonche'
leggere le rispettive FAQ puo' aiutarti immensamente, soprattutto per
evitare di scriverne in net-abuse, dove c'entra poco.
Fabrizio

 Fabrizio
Questo devi dirlo a chi ha iniziato il thread
Stefano

 Questo devi dirlo a chi ha iniziato il thread
Mi pare che il thread si sia sviluppato su una tua richiesta. Per quanto 
mi riguarda il cretino che mi ha attaccato si trovava nel centro di 
calcolo dell'università di Wuerzburg ed ha eseguito un semplice 
scanport.
-- 
Ciao.
Manfry

 Manfry
Non volevo fartene una colpa (anche se il messaggio originario e' tuo). Non ha senso che
qualcuno mi dica che sono OT in un thread a cui hanno partecipato piu' persone. Tutto qui
Stef

 qualcuno mi dica che sono OT in un thread a cui hanno partecipato piu' persone. Tutto qui
No problem.
-- 
Ciao.
Manfry

Manfry ha scritto nel messaggio ...

Ecco, se spegnete le code di paglia e' meglio, cosi' non rischiamo di
propagare incendi.
Fabrizio O:-)