Newsgroup: it.comp.sicurezza.varie
Titolo: 57/TCP (MTP)

Ecco tre hit curiose sul mio firewall, ripetute a distanza di poco tempo
(poche ore) da un altro host, stessa sequenza, stesse caratteristiche.
Curioso l'uso della porta destinazione 57/TCP (MTP, Mail Transfert
Protocol, o forse una porta vty di un cisco?)
22:17:05 input - ppp0 PROTO=6 
62.47.154.196:3399
 
151.38.74.48:80
 L=48
S=0x38 I=46509 F=0x4000 T=114 SYN (#12) 
22:17:27 input - ppp0 PROTO=6 
62.47.154.196:3871
 
151.38.74.48:57
 L=48
S=0x38 I=49911 F=0x4000 T=114 SYN (#12) 
22:17:49 input - ppp0 PROTO=6 
62.47.154.196:4195
 
151.38.74.48:21
 L=48
S=0x38 I=53972 F=0x4000 T=114 SYN (#12) 
16:14:45 input - ppp0 PROTO=6 
66.88.228.35:39388
 
151.38.74.48:80
 L=48
S=0x38 I=64283 F=0x4000 T=103 SYN (#12) 
(vi risparmio il resto)
Un router mal configurato? dall'altra parte pero' sembra rispondere un
win ME/ win 2k-RC1...
Mera curiosita'.
-- 
HappyCactus - Linux User #209744 - LFS User #6046 - >>> SMSPM1050 <<<
              YAGF Member Group >>> 
www.google.com
 <<<
Ci sono 10 categorie di persone al mondo: quelle che capiscono
il sistema binario e quelle che non lo capiscono.

 S=0x38 I=64283 F=0x4000 T=103 SYN (#12) 
Non hai anche un ICMP echo request con 'hello ???' nel payload?
Fabio

 Non hai anche un ICMP echo request con 'hello ???' nel payload?
Non mi risulta. O meglio, il firewall (cazzo, lo script non e' mio, e
tempo per metterci le mani non ne ho) dovrebbe loggarli, ma non ne sono
sicuro.


 sicuro.
Ci sono stati alcuni incidenti simili al tuo: echo con hello, 57/tcp, 
80/tcp con ravanamento 'a la nimda', test di scrittura FTP per utente
anonymous. Me ne ero interessateo a settembre in occasione di un post
su 
sikurezza.org
 e uno su incidents, tutti e due negli stessi giorni:
 
 
http://www.sikurezza.org/ml/09_02/msg00074.html
 
http://archives.neohapsis.com/archives/incidents/2002-09/0073.html
In seguito sono apparsi alcuni altri post di incidenti simili, spesso
a seguito di rilevazioni nei log della stringa 
a...@ano.com
 usata come
password per l'accesso ftp anonimo. Per un qualche tempo ho tenuto su
una honeypottina in ascolto su quei servizi ma non ho beccato niente.
Alcuni riportano qualche dettaglio in piu' in relazione all'accesso a
ftpd, tipo:
 
http://archives.neohapsis.com/archives/incidents/2002-11/0015.html
 
http://archives.neohapsis.com/archives/incidents/2002-11/0013.html
Un analisi l'avevo trovata in:
 
http://archives.neohapsis.com/archives/incidents/2002-11/0060.html
e fa risalire il tutto ad uno scanner chiamato FX-csanner, utilizzato
con le impostazioni di default. Dopo me ne sono disinteressato. Prima
ho dato una sbirictina al sito dello scanner ma sembra morto: c'e' la
pagina in cache da google:
 
http://216.239.53.100/search?q=cache:http%3A//www.fx-tools.net/
Incidentalmente hanno solo rimosso la home page, ed il resto funziona
ancora... database, interprete php, docz... mancano solo i filez. 
Dalla descrizione sembra uno strumento lamero: fai l'upload del server
su una vittima via ftp e poi lo puoi controllare da remoto per fare un
po' di scanz qua e la. Probabilmente se non riesce via ftp prova anche
con IIS. Sulla 57/tcp non ho capito cosa faccia. Magari c'e' nei docz.
Il sito sembra ancora attivo, a dispetto della home page: l'ultimo mex
nel forum e' del 23 e in questo momento ci sono dentro 5 utenti.
Fabio

 nel forum e' del 23 e in questo momento ci sono dentro 5 utenti.
Infatti. Un diversivo.
