Newsgroup: it.comp.sicurezza.varie
Titolo: Attacco (su una subnet?) solo porte 5555 e 8888

Buongiorno a tutti.
Avantieri gironzolavo su IRC, e siccome ho una versione un po' datata,
qualche spiritosone si divertiva a buttarmi fuori. Okkei, niente
panico...lancio il buon ZA (pro) e vado avanti. Dopo 3 secondi dal
lancio iniziano ad arrivare decine e decine di alert. Ne riporto solo un
paio perche' vi voglio bene! ;-)
FWIN 2002/04/22 00:05:16 +2:00 GMT 
218.225.46.4:2173
 
62.211.45.119:5555
TCP (flags:S)
FWIN 2002/04/22 00:05:19 +2:00 GMT 
211.128.185.80:3527
62.211.45.119:5555
 TCP (flags:S)
Avevo aperti oltre che mIRC Grokster (file-sharing tipo Kaaza , OE ed
Hamster). Chiudo tutto e gli alert continuano. Mi disconnetto, mi
riconnetto ma Tin mi da' lo stesso IP (grrrrr!) e la cosa non cambia.
Provo a connettermi col dial-up a 56 e tutto tace. Mi riconnetto ADSL,
nuovo giro di mazurka. Morale della favola: 600 alerts in poche ore,
*tutti* sulla 5555, e dicasi *tutti*.
Non capisco ma mi adeguo. Oggi riavvio il PC, faccio partire il modem,
non apro nessun programma (nulla di insolito nei task) (IP diverso,
questa volta) e la storia rinizia, ma sulla 8888:
FWIN 2002/04/22 16:53:07 +2:00 GMT 
61.124.104.117:2095
 
62.211.45.44:8888
TCP (flags:S)
FWIN 2002/04/22 16:53:07 +2:00 GMT 
61.214.12.254:60327
 
62.211.45.44:8888
TCP (flags:S)
400 alerts in poche ore, tutti cosi'.
Per entrambi i giorni, gli IP sono *sempre* diversi, e anche di
parecchio, c'è un po' di tutto.
Oggi tutto tace.
Io non ho capito che cercavano, qualche anima buona mi illumina?
Saluti
Lella uhu?

questa volta) e la storia rinizia, ma sulla 8888:
Sulla 5555 e la 8888 cercano server di napster o gnutella.
-- 
Lapalissiano
Icq 57269703

 FWIN 2002/04/22 16:53:07 +2:00 GMT 
61.124.104.117:2095
 
62.211.45.44:8888
Sia la 5555 che la 8888 sono utilizzate da napster, l'ultima anche dai 
server ultima online;
nulla di preoccupante, considerato anche l'adsl e le porte remote 
abbastanza basse (tranne in un caso) penso sia causa dell'utente 
precedente che aveva molte richieste di connessione (magari forniva 
chissa' quali golosita') ma si e' sconnesso senza chiudere prima il 
programma (BTW: ma napster in caso contrario, aggiorna i DB?)
Il fatto che poi tu ti sia accorta solo con l'apertura di ZA e' dovuto al 
fatto che prima non ne venivi allertatam, IMHO.
Questa e' la deduzione che si puo' dare dalle poche informazioni dei 
log...
-- 
Campagna europea per la pulizia in ics.*
Ogni post provocatorio o polemico verra' automaticamente killato 
assieme al suo poster.
http://www.google.com
 - 
http://groups.google.com/advanced_group_search

 
62.211.45.119:5555
 TCP (flags:S)
Incredibile cosa si trova con google :)
http://www.google.it/search?q=cache:qF2tYSldAxsC:www.jim-n-geri.com/ptcc/web
nap/servers.php%3Fgetstats%3D1+62.211.45.119&hl=it
http://www.google.it/search?q=cache:V0o9drP_uwsC:mx.ug.to/serverlist.php+62
.
211.45.119&hl=it
Fabio

 Incredibile cosa si trova con google :)
Mai che avrei pensato di fare una ricerca sul mio IP. Grazie.
Preciso che avevo pensato a Grokster (il primo giorno), nel senso che
pensavo che il suo server non avesse aggiornato il database e fosse
rimasto il mio "ghost", ma 600 persone che cercavano *me* mi sembravano
troppine. Ed il discorso poi non reggeva dopo 12 ore (almeno ogni tanto
lo faranno il refresh, no? ;-)
Questo invece direi che spiega tutto. La prossima volta che vedo
quell'IP plonko Tin! :-)
Saluti
Lella