Newsgroup: it.comp.sicurezza.varie
Titolo: (libero or wind) and amazon = 192.168.x.x  ?

In un post precedente (sono su rete wind-libero) segnalavo alcuni strani
pacchetti provenienti dall'esterno con mittente ip 192.168.x.x.
 
 
     Data      proto              IP                SPort     Dport
---------------------------------------------------------------------
May  5 13:58    TCP     Source  192.168.7.5         51156  |    445
May  7 08:43    TCP     Source  192.168.176.15      54354  |    445
May  7 09:51    TCP     Source  192.168.209.30      25133  |   2000
May  7 12:47    TCP     Source  192.168.174.242     58833  |    445
 
 
 
Capitano poche volte al giorno, non tutti i giorni, e che puntano sopratutto
alla porta 445.  Ho messo su uno scriptino che monitorizza, fa alcuni controlli
e li salva in un log.
 
Questi sotto mi sembrano un tantinello anomali...
 
dig @
212.52.97.15
 192.168.0.1
 
; <<>> DiG 9.9.5-9+deb8u15-Raspbian <<>> @
212.52.97.15
 192.168.0.1
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 57101
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0
 
;; QUESTION SECTION:
;192.168.0.1.			IN	A
 
;; ANSWER SECTION:
192.168.0.1.		296	IN	A	54.72.52.58
 
;; Query time: 25 msec
;; SERVER: 212.52.97.15#53(212.52.97.15)
;; WHEN: Tue May 08 05:47:16 UTC 2018
;; MSG SIZE  rcvd: 45
 
 
 
dig @
212.52.97.15
 192.168.7.5
 
; <<>> DiG 9.9.5-9+deb8u15-Raspbian <<>> @
212.52.97.15
 192.168.7.5
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 12242
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0
 
;; QUESTION SECTION:
;192.168.7.5.			IN	A
 
;; ANSWER SECTION:
192.168.7.5.		300	IN	A	54.72.52.58
 
;; Query time: 80 msec
;; SERVER: 212.52.97.15#53(212.52.97.15)
;; WHEN: Tue May 08 05:48:45 UTC 2018
;; MSG SIZE  rcvd: 45
 
 
 
host 54.72.52.58
58.52.72.54.in-addr.arpa domain name pointer 
ec2-54-72-52-58.eu-west-1.compute.amazonaws.com
.
 
 
 
Se faccio lo stesso ip con google:
 
dig @
8.8.8.8
  192.168.7.5
 
; <<>> DiG 9.9.5-9+deb8u15-Raspbian <<>> @
8.8.8.8
 192.168.7.5
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 37962
;; flags: qr rd ra ad; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 1
 
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 512
;; QUESTION SECTION:
;192.168.7.5.			IN	A
 
;; AUTHORITY SECTION:
.			86395	IN	SOA	
a.root-servers.net
. 
nstld.verisign-grs.com
. 
2018050701
 1800 900 604800 86400
 
;; Query time: 29 msec
;; SERVER: 8.8.8.8#53(8.8.8.8)
;; WHEN: Tue May 08 05:50:54 UTC 2018
;; MSG SIZE  rcvd: 115
 
 
... o con opendns:
 
dig @
208.67.222.222
  192.168.7.5
 
; <<>> DiG 9.9.5-9+deb8u15-Raspbian <<>> @
208.67.222.222
 192.168.7.5
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 32574
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 1
 
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;192.168.7.5.			IN	A
 
;; AUTHORITY SECTION:
.			3600	IN	SOA	
a.root-servers.net
. 
nstld.verisign-grs.com
. 
2018050701
 1800 900 604800 86400
 
;; Query time: 34 msec
;; SERVER: 208.67.222.222#53(208.67.222.222)
;; WHEN: Tue May 08 06:02:53 UTC 2018
;; MSG SIZE  rcvd: 115
 
 
... mi smbra un po' più regolare.
 
 
Il dnschanger sul router lo escludo, ho settato a manina i dns di libero-wind
in resolv.conf. E comunque il quel router sono rimasti solo i pochi servizi
necessari per il funzionamente, il resto del software è stato cancellato.
 
 
 
Qualche idea (o sono troppo ciucco io) ?
 
Mgari (sempre se non sono ciucco) è qualcosa inspirato al reindirizzamento di
google che faceva libero-wind anni fa ai suoi server?
 
 
 
-- 
The future is wonderful, the future is terrifying.
The future? But will we still be there?

 
 
Mi sa che sarà così, adesso chiedo a chi di dovere se può spiegare l'arcano.
 
ciao
Gabriele
 

 Chissà che succede se imposti quell'IP ad una tua macchina.
 
Per ora, (veramente da diverse settimane) ho messo in input un DROP
sull'interfaccia ppp0 (quella lato internet) il range 192.168/16 !
 
Una mia idea (tratta dalle fantasie erotiche di un certo Thorin) era di mettere
in ascolto sulla 445 un /dev/urandom... Per ora mi astengo.
 
Non è da escludere, dati i vari "foramenti" di libero-mail (e magari altro che
non sappiamo) che abbiano roba infetta a bordo.
 
O abbiano cazzeggiato in maniera spavalda su qualche configurazione.
 
O qualcuno che sta cazzeggiando (almeno dai primi giorni di gennaio).
 
Un traceroute si ferma abbastanza presto:
traceroute 192.168.7.5
traceroute to 192.168.7.5 (192.168.7.5), 30 hops max, 60 byte packets
 1  gateway (192.168.x.x)  0.880 ms  1.125 ms  1.581 ms
 2  151.6.142.106 (151.6.142.106)  10.966 ms  11.613 ms  14.314 ms
 3  151.6.56.140 (151.6.56.140)  16.107 ms  18.219 ms  21.134 ms
 4  151.6.56.64 (151.6.56.64)  23.070 ms  26.033 ms  29.250 ms
 5  151.6.7.216 (151.6.7.216)  34.459 ms 151.6.0.147 (151.6.0.147)  37.267 ms 151.6.7.216 (151.6.7.216)  39.215 ms
 6  * * *
 7  * * *


 Anche se faccio un dig, al dns di wind di un mio ip interno.
 
Mi sorge il sospetto che qualche "genio", in Wind, avendo impostato
internamente in qualche sw (o altro) gli IP 192.168... invece degli
host names, si sia trovato con il sw che, migrato su AWS e con IP
diversi, non funzionava più, a quel punto il nostro "genio" ha pensato
di inserire quegli IP nel DNS ma non come PTR bensì come records A con
il risultato che è ora sotto gli occhi di tutti
 
E' solo un'ipotesi, non ho prove, ma il sospetto è molto forte :D
 
 

 E' solo un'ipotesi, non ho prove, ma il sospetto è molto forte :D
 
Anch'io avevo pensato e scritto di qualche loro babbuinata.
 
E poi perchè cercano sul mio indirizzo internet (151.x.y.z)?
Non ho micca un server dns io...
E nemmeno nella mia rete interna ho quegli ip.
 
Sarebbe interessante vedere se altri che sono su libero/wind notano queste
anomalie. Sono solo pochi al giorno, in orari diversi (anche 2 di notte) e non
tutti i giorni, per esempio oggi a questo momento solo uno intorno a
mezzogiorno:
 
Source  192.168.130.130  --->  445
 
Da febbraio (i log di gennaio sono persi in logrotatate) sono 89 ip diversi
sparsi sulle 2 ultime terzine di ip4. Spazzolano da 192.168/16 !
Troppi.
 
Il fatto che le porte a cui puntano siano ristrette ad un range limitato (con
preferenza 445)? Share?
 
      1 1111
      1 1433
      1 33564
      1 3384
      1 43874
      1 47526
      1 48702
      1 48790
      1 55694
      1 58956
      1 8291
      1 9090
      2 554
      3 22
      3 81
      4 45454
      6 54540
      6 5555
      7 54610
      9 2000
      9 23
     10 80
     65 445
 
 
Per me c'è anche altro, non escludo esperimenti o qualche parassita su qualche
loro macchina che per la tua ipotesi finisce per cercare vittime in un range
errato.


      65 445
 
Allora, se l'IP origine è *veramente* (scusami ma sono della parrocchia
di S.Tommaso :D) un 192.168/16 e se i tentativi arrivano *veramente* da
WAN e non da altrove (S.Tommaso come sopra, includi WiFi) allora c'è
del marcio in Danimarca, nel senso che, per un qualche motivo Wind ha
sistemi interni alla propria rete su IP 192.168/16 che sono configurati
per avere un routing che gli permette di arrivare alle utenze; se
questo è il caso, questi sistemi sono probabilmente infetti, visto che
l'elenco di porte di cui sopra è un classico "portscan"; tra l'altro,
il fatto che Wind abbia un routing che permette agli IP RFC-1918 di
girare sulla WAN è, a prescindere da qualsiasi altra consideranzione,
un indice di cialtroneria; a questo punto, restando in ambito di RFC,
mi chiedo se in Wind, per risolvere i problemi di rete (includendo gli
apparati e la loro configurazione) utilizzino un avanzatissimo device
costruito ad hoc secondo la RFC-2321 ;-D :D :D
 
 
 
 

 costruito ad hoc secondo la RFC-2321 ;-D :D :D
 
 
Faccendo dig IP, mi viene fuori amazon (che ormai ha messo le mani dappertutto)
solo se uso come dns i server di libero o wind.
 
Dato che tu e Gabriele ne sapete molto più di me (io ciappino e sono un
curioso, non sono un esperto e neppure un professionista), mi affido ai vostri
giudizi.
 
Vedo delle cose che mi sembrano strane e chiedo.
Se ci fosse poi qualcuno che ha wind e può verificare...
 
Oggi, al momento solo uno:
 
     Data         proto              IP                SPort     Dport
------------------------------------------------------------------------
May 10 10:47:52    TCP     Source  192.168.1.17        63704  |    445
 
Palese che nella mia rete non esiste un 192.168.1.17 (e non è nemmeno
192.168.1.0/24
)!
