Newsgroup: it.comp.sicurezza.varie
Titolo: Flood?

Da alcuni giorni, in vari orari, trovo nel log:
 
16:57:47 ICMP Packet Source:46.232.206.3 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:46.232.206.66 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:37.29.13.130 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:46.232.206.195 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:37.29.0.164 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:94.97.3.5 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:37.29.13.194 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:46.232.206.227 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:46.232.206.130 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:175.41.5.34 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:46.232.206.179 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:37.239.40.2 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:174.35.32.136 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:46.232.206.3 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:37.29.0.218 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:14.0.61.58 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:46.232.206.66 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:37.29.13.130 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:4.79.82.141 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:94.97.3.5 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:46.232.206.195 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:37.29.13.194 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:37.29.13.163 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:37.29.0.164 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:46.232.206.227 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:46.232.206.130 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:37.29.0.146 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:46.232.206.179 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:175.41.5.34 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:37.239.40.2 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:174.35.32.136 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:37.29.0.218 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:14.0.59.45 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:14.0.61.58 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:103.4.200.144 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:4.79.82.141 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:37.29.13.163 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:37.29.0.146 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:14.0.59.45 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:116.212.132.6 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:103.4.200.144 Destination:__Mio_IP__ 
16:57:47 ICMP Packet Source:116.212.132.6 Destination:__Mio_IP__ 
 
Qualcosa di nuovo che c'é in giro o sto sulle palle a qualcuno?
 
-- 
+---------------------------------------------------------------------------+
|       Velocita' e alcool uccidono. Fatti una pera che e' meglio.          |
+-----#11--------------------Campagna contro le pubblicita` idiote.---------+

 16:57:47 ICMP Packet Source:37.29.13.130 Destination:__Mio_IP__ 
 
se sei su IP dinamico, cambia IP e poi verifica se il traffico
riappare, se non è questo il caso, nessun problema, altrimenti potrebbe
esserci qualcosa sulla tua rete che "chiama casa"; detto questo, di che
tipo di pacchetti ICMP stiamo parlando; echo request o cosa ?
 
 


Scusa se rispondo solo ora.
 
Il log del firewall del router non dice altro.
Pero' ....   mi sa di avere un buchetto!
 
In questo momento, sto usando una live scaricata tempo fa.
 
Piccola cronistoria: Il 5 aprile, un ip (francese) poi un ip fastweb  tentano
per circa una giornata ad accedere con user/pass ad una ipcam che avevo
attivato alcuni giorni prima per verificare alcuni problemi notturni in
garage.
 
L'ipcam (una cinese che avevo da alcuni anni) era con user e pass decenti e su
porta 81.
 
Scopro (ora) che in tale "bagalio" /proc/kcore e' accessibile e leggibile da
cani&porci con un semplice GET all'ip. E mantiene tutte le informazioni degli
ultimi accessi e delle vecchie configurazioni anche staccando l'alimentazione!
 
Ok, mi hanno cannato 2 user a caselle mail (trash), ed un accesso ftp ad un
sito web (trash) su libero (e' gratis per i suoi utenti)..
 
Ho adsl di libero (non ridere) e la politica (di tanti altri o forse tutti )
e' una pass per tutti i servizi!
 
Nella pagina del profilo, i dati ... ovviamente, sono in chiaro...
 
Fortuna che c'e' solo nome, cognome citta' e (sfiga) codice fiscale.
Non ho ceduto ad inserire anche le altre info!
 
Nei log dei giorni successivo, vedo per circa una giornata, un centinaio di ip
che tentano inutilmente un brute-force alla 22 (debbo tenerla aperta e non la
posso cambiare, causa fottuto firewall dell'ufficio dove lavoro) su un
raspberry che mi serve per tenere alcuni files e programmi "personali" che mi
servono per fare meno fatica al lavoro, e che non voglio che i miei colleghi
possano cannibalarmi dal pc che uso in ufficio (e no, la password di accesso
deve essere pubblica).
 
No, niente porno e cazzate varie, sono programmi per creare tabelle e
"cross-reference" di variabili usati in programmi per plc e cnc industriali e
che i produttori non hanno incluso nei loro software.
 
Seguono nei giorni successivi, ad ondate, quei pacchetti ICMP, presumo per
mandare in crash il router.
 
Il router linksys wag200 sarebbe vulnerabile alla porta 32764, cosa che so da
quando lo comprai diversi anni fa, ma 2 trucchi mi hanno sempre salvato. Il
primo, all'inizio era di indirizzare la porta ad un ip interno, poi
successivamente alla scoperta pubblica del problema, con uno script che ad
ogni avvio killa il processo in ascolto, e rende praticamente non-funzionnte
l'interfaccia web di configurazione.
 
Sul pc in questione che uso, non ho servizi particolari, no web, no ssh,
 
Ho un "aggeggio" che in cron verifica alcune cose nella rete, tra cui se
"sparisce" la invulnerabilita' della porta 32764 del router, ma in quel giorno
e nei successivi, non ha dato allarmi.
 
Ieri ho installato unhide, e vedo 4 processi all'avvio nascosti, diversi ogni
volta (e con rete disattivata), poi quando indago per capire meglio, cambiano
o spariscono.
 
Un netbook vecchissimo che uso quando vado in ferie, l'altro giorno,
collegandomi con firefox nella casella di libero che usavo per vedere le
immagini della ipcam, mi segnala un cerificato strano, creato il 7 maggio,
credo da un qualcosa di cinese o da quelle parti.
 
Insomma, mi sa che sia impestato, ma non capisco come ci siano riusciti...
 
Intanto sto tirando su una jessie su un hd nuovo (ma mi sa che i ragazzi
debbano lavorare ancora un po' per risolvere problemini nell'installer), ho
riflashato (ancora) il router, cosa che male non fa.
 
Sempre con una live, mi sono fatto una copia con dd ed una con tar dell'intero
hd del notebook, tanto per indagine da confrontare con un vecchio backup che
ho, giusto per vedere se capisco cosa mi hanno infilato.
 
No, per ora non mi suicido. Con una live e dall'ufficio ho cambiato un sacco
di password varie, anche quelle che non "dovrebbero" essere sputtanate, tanto
per fare pulizia.
 
Pensa, presi un solo virus su un windows 3.0, ma fu una cosa quasi voluta, per
cercare di capire un problema di un mio amico, un virus (dos). Lo studiai un
pochino, poi inviai le info a fprot. Una settimana dopo fu aggiunto nella
lista col nome heartquake, ma intanto avevo gia' formattato passando a w3.1.
 

 l'interfaccia web di configurazione.
 
Quando ho letto mesi fa di questa backdoor sulla 32764 anche io ho 
reindirizzato ogni accesso a quella porta del mio Netgear DGN3500 ad un 
IP interno a cui però non è connesso nessun dispositivo.
 
In tal caso penso che il tentativo di accesso vada a perdersi nel 
nulla.
E' corretto?
 
Invece mi piacerebbe sapere di più come accedi alla IPcam: fai ftp 
della Ipcam su un tuo sito per vedere le singole immagini che comunque 
vengono registrate?
 
 

 vengono registrate?
 
La ipcam (ne ho 4) invia una serie di foto per mail. Per evitare di perderne avevo messo 2 account diversi, fosse mai ci fosse problemi di antispam, ad ogni movimento rilevato. Inizialmente avevo pensato di inviare immagini in ftp sul mio sito (3 pagine di cazzate, giusto per dare una parvenza di sito), ma mi sono accorto che una volta rilevato un movimento, non smetteva piu', cosi' ho lasciato solo le mail.
 

 cosi' ho lasciato solo le mail.
 
Ti ringrazio della risposta.
 
Io ho fatto diversamente cioè solo quando ogni ipcam rileva un 
movimento manda 3 foto prima e 3 foto dopo il rilevamento.
Inoltre avendo alice a casa ho generato un account di posta dedicato e 
ho configurato questo sul sito di alice tale per cui quando ricevo una 
mail su quell'account proveniente dall'account usato dalla camera 
(diverso dal precedente) mi viene inviato un sms sul telefonino.
Allora mi collego dallo smartphone, vedo in diretta cosa succede e 
registro sul momento.
 
 

 movimento manda 3 foto prima e 3 foto dopo il rilevamento.
 
Che ipcam usi? Sono pan-tilt? Prezzo?
 
 


wrote:

Direi D-Link 942, senza pan-tilt, un affarone.
 
Leonardo
 
-- 
A stultis ex omnibus gentium varie pictis
A sanctae fidei adeptis, ab eorum odore;
AB insanis Iacobinis, ab eorum ardore
AB idolatris et martyribus odii et terroris;
A paradisi fautoribus dicentibus "est pro amore",
A manichaeis ululantibus "Nisi nobiscum prodes";
LIBERA, libera, libera, libera nos, Domine.

 Direi D-Link 942, senza pan-tilt, un affarone.
 
Il pan-tilt mi sarebbe utile...
Non fosse cloud (o come si dice anche P2P) visto che la devo vedere con un browser su un portatile...
Ma sopratutto mi piacerebbe fosse un filino "sicura" (NSA permettendo)...
 
Appro' conosci qualcuno che sia competente ed attrezzato a scovare rootkit?

 Direi D-Link 942, senza pan-tilt, un affarone.
 
se interessa, queste 
http://www.stardot-tech.com/products.html
 hanno un
pinguino a bordo
 

 un pinguino a bordo
 
in alternativa
 
http://classic.www.axis.com/products/video/camera/index.htm
 
 
 
 

Ma sopratutto mi piacerebbe fosse un filino "sicura" (NSA permettendo)...
 
Per quello ti servirebbe un serverino che supporti connessioni cifrate. Da
fuori entri in HTTPS e sei lesto.
 
Se l'IPcam ha l'audio a due vie, con un decoder DTMF e relativi attuatori,
un set di replicatori ad alta impedenza per i segnali degli stepper, e due
motori NUMA con uguale numero di avvolgimenti e rapporto di demoltiplica -
cd. configurazione "Waldo" o "Ghost Rider" - uno puo' orientare un secondo
supporto, molto piu' massivo, asservito alla telecamera. Utile per es. per
controllare, che so, una mitragliera.
 
Leonardo "Ah sì, il regno di Geova... vi spiace mica se mando avanti voi?"


 Che ipcam usi? Sono pan-tilt? Prezzo?
 
Due sono dlink dcs932L non ptz, le altre 2 sono Linksys Wvc200 con 
pantilt, vecchiotte di almeno 8anni, una delle quali mi sa che è in 
agonia, perchè risponde sempre più malvolentieri...
 
Le dlink, girando, si trovano anche a 70€ (mi sembra da Saturn).
 
 

 
http://classic.www.axis.com/products/video/camera/index.htm
 
 
Ti ringrazio, ma sono oggetti un poco carucci per quello che devo fare.
 
P.S. scusa se rispondo ora, ma ho ancora il pc e tutto il resto smontato e vado con una live.
 
 

 Leonardo "Ah sì, il regno di Geova... vi spiace mica se mando avanti voi?"
 
Cos'hai contro i Genovesi?  Ah no scusa, avevo frainteso Genova con...
Come non detto!
 

 Le dlink, girando, si trovano anche a 70 EURO (mi sembra da Saturn).
 
Grazie!
Comunque, coi tempi che corrono, meglio stare su roba recente.
Vedi anche le risposte ad ObiWan e leonardo.

 Vedi anche le risposte ad ObiWan e leonardo.
 
Giusto per completezza, dlink fa il modello dcs942L con PIR e microsd a 
circa 100-120€, e la dcs2330L per uso notturno in HD outdoor con PIR e 
sd che ho visto ma non provato, che da mediaworld si trova a 220€.
 
Ciao
 
 

 Cos'hai contro i Genovesi?  Ah no scusa, avevo frainteso Genova con...
 
I testimoni della Sampdoria ?
 
 

e l'errore di parallasse come lo correggi ?
 
In teoria via software; e' trigonometria di base. In pratica pero' e' piu'
di soddisfazione montare la telecamera assialmente alla mitragliera.
 
 
http://ars.userfriendly.org/cartoons/?id=19980429
 
 
Leonardo


Cos'hai contro i Genovesi?
 
E' da quando ho in mano le prove della corruzione dei suoi amici puffi
della postale di Milano che ce l'ha con me... ;-)
 
-- 
Lex Tutor
L'Asilo Infantile di Bofhland® è un argomento che sarà oggetto
di un libro di prossima pubblicazione, quindi sto discutendo
di una questione che mi interessa per finalità di ricerca

 della postale di Milano che ce l'ha con me... ;-)
 
...in effetti, ce l'ho con te circa tanto quanto tu sei genovese... che per
l'appunto, e' pari al numero di amici (e conoscenti) che ho alla Postale di
Milano. Curiosamente e' anche uguale al numero di Puffi realmente esistenti
sul pianeta (una coincidenza? Noi di Boiager pensiamo di no).
 
A questo punto, per una questione di armonia numerologica, ho il dubbio che
sia anche pari alle prove che hai :-D
 
Leonardo


sia anche pari alle prove che hai :-D
 
Pensa che nemmeno so che prove io abbia ma ieri mattina ho saputo
quante prove avevano LORO, e cioè NESSUNA.
Questo non gli ha impedito, però, di FARE LA PORCATA CHE HANNO FATTO,
danni inclusi al sottoscritto.
Dato che di cognome non faccio Tortora, ora io farò la MIA. BEG


Dato che di cognome non faccio Tortora, ora io farò la MIA. BEG
 
...ma capisco bene, se ti senti animato da impulsi meno cristiani. Solo,
sta' attento a che di cognome non ti facciano fare Piccione. Sono sempre
volatili, in fondo, e somigliano pure alle tortore. Pero' dice volino di
molto piu' bassi.


molto piu' bassi.
 
Non fa niente.
Qualunque cosa succeda, io qualcuno, corrotto o non corrotto,
all'inferno con ME ce lo porto. BEG
Tanto, peggio di così, che cos'altro possono farmi?
Mettere il mio DNA sulle mutandine di una ragazzina trovata cadavere
in un campo e, dopo diversi mesi dalla sua morte/scomparsa, dire che
l'ho rapita io per tentare di stuprarla e poi ucciderla (per esempio)?
 
Sappino, lor signori, che mi sono preparato anche a casi come questo.
BEG
 
 
PS: il conto, dei danni e delle spese, spannometricamente considerato
si aggira per il momento sui 250kN€, senza considerare i danni morali
ed esistenziali, da pagare a parte.
Se paghi *tu*, TACCIO ORA e non parlo mai più, come mi è stato chiesto
di fare giusto venerdì mattina.
Altrimenti, se non vedo il risarcimento che ho chiesto giovedì mattina
in Procura (il giorno prima dell'udienza di venerdì!), SI CONTINUA.
 
Fino alla fine.
 
Di chi, però, non so.


Perché sul mio valore di genovese non accetto critiche
 
E chi critica? Mi limitavo a ignorare.
 
Vabbe' che "Lex ignorantiam non excusat", ma... :-D
