Newsgroup: it.comp.sicurezza.varie
Titolo: ogni minuto

Scusate, io ho problema che ogni minuto scatta mio firewall (Jammer) per
questo stronzo che 3-4 mesi mi disrutba.
qualcuno sa perche?
ho antivirus F-Secure - AVP , ho provato anche McAfee e anche the
cleaner(per trojan) e non hano trovato niente.
qualuno sa dirmi perche sempre mi attaccano?
grazie 1000
Vi riferisco i dati di jammer
-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Thu Sep 06 23:12:17 2001 [Local GMT bias +2:00]
Source IP: 62.98.88.134 ()
Ports: 4063->80
-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Thu Sep 06 23:12:55 2001 [Local GMT bias +2:00]
Source IP: 62.98.233.194 ()
Ports: 4767->80
-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Thu Sep 06 23:15:20 2001 [Local GMT bias +2:00]
Source IP: 62.98.66.180 ()
Ports: 1130->80
-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Thu Sep 06 23:15:53 2001 [Local GMT bias +2:00]
Source IP: 62.98.66.180 ()
Ports: 2054->80
-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Thu Sep 06 23:16:17 2001 [Local GMT bias +2:00]
Source IP: 62.98.124.95 ()
Ports: 3925->80
-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Thu Sep 06 23:17:22 2001 [Local GMT bias +2:00]
Source IP: 62.98.67.178 ()
Ports: 4240->80
-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Thu Sep 06 23:25:35 2001 [Local GMT bias +2:00]
Source IP: 62.98.88.160 ()
Ports: 1979->80
-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Thu Sep 06 23:25:43 2001 [Local GMT bias +2:00]
Source IP: 62.98.228.190 ()
Ports: 3623->80
-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Thu Sep 06 23:25:50 2001 [Local GMT bias +2:00]
Source IP: 62.98.88.160 ()
Ports: 1979->80
-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Thu Sep 06 23:25:56 2001 [Local GMT bias +2:00]
Source IP: 62.98.228.190 ()
Ports: 3623->80
-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Thu Sep 06 23:26:00 2001 [Local GMT bias +2:00]
Source IP: 62.98.88.160 ()
Ports: 1979->80
-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Thu Sep 06 23:38:48 2001 [Local GMT bias +2:00]
Source IP: 62.37.147.179 (
62-37-147-179.dialup.uni2.es
)
Ports: 2092->80
-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Thu Sep 06 23:43:03 2001 [Local GMT bias +2:00]
Source IP: 62.98.176.223 ()
Ports: 2202->80
-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Thu Sep 06 23:43:50 2001 [Local GMT bias +2:00]
Source IP: 62.98.137.2 ()
Ports: 3531->80
-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Thu Sep 06 23:53:30 2001 [Local GMT bias +2:00]
Source IP: 62.98.10.13 ()
Ports: 4063->80
-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Thu Sep 06 23:56:14 2001 [Local GMT bias +2:00]
Source IP: 62.98.66.180 ()
Ports: 3802->80
-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Thu Sep 06 23:57:41 2001 [Local GMT bias +2:00]
Source IP: 62.98.137.2 ()
Ports: 3932->80
-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Thu Sep 06 23:59:39 2001 [Local GMT bias +2:00]
Source IP: 62.98.88.134 ()
Ports: 2456->80
-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Fri Sep 07 00:01:56 2001 [Local GMT bias +2:00]
Source IP: 62.98.176.223 ()
Ports: 1664->80
-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Fri Sep 07 00:02:19 2001 [Local GMT bias +2:00]
Source IP: 62.98.16.138 ()
Ports: 2560->80
-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Fri Sep 07 00:10:28 2001 [Local GMT bias +2:00]
Source IP: 62.98.33.14 ()
Ports: 1930->80
-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Fri Sep 07 00:10:44 2001 [Local GMT bias +2:00]
Source IP: 62.98.33.14 ()
Ports: 2331->80
-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Fri Sep 07 00:11:27 2001 [Local GMT bias +2:00]
Source IP: 62.98.66.180 ()
Ports: 1565->80
-------------------------------------------------------------------------
Type of attack: Possible TCP port scanning
Time: The time is Fri Sep 07 00:17:57 2001 [Local GMT bias +2:00]
Source IP: 62.98.152.236 ()
Ports: 2353->80

 questo stronzo che 3-4 mesi mi disrutba. qualcuno sa perche?
scommetto che ha cominciato a scattare appena l'hai istallato..
la triste verita' e' che c'e' gente che non ha un tubo da fare e passa il
tempo buttando banda in porscanner su gruppi interi di ip.

 ho antivirus F-Secure - AVP , ho provato anche McAfee e anche the
E ti allarmi tanto per un portscan?
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 Type of attack: Possible TCP port scanning
istruisci jammer a *non* visualizzare la "filtratura"

qualcuno sa perche?
Sono tutte povere vittime di CodeRed :-(
Leonardo
-- 
"Open Source programs are designed and developed.
 Our products are tested."
 Steve Lipner, manager, Microsoft Security Response Center

la triste verita' e' che c'e' gente che non ha un tubo da fare 
Direi che sono tutti "coderedizzati", invece.
Notare le porte di destinazione.

Secondo me hai dei vicini di rete infetti dal code-red che tenta 
disperatamente di diffondersi, attaccandosi alla tua porta 80.
Se fosse un port scanner vedresti attivita' anche sulle altre porte.

 ha scritto nel messaggio
news:b3fan9...@192.168.1.1...



Cambiato From? :-)
-- 
   ___         (o_
   |_|         //\
   | |ndry     V_/_ Linux Newbie (quasi User :-) ), RH 7.1 (Seawolf)
                    Linux User #221457

 Cambiato From? :-)
No, cambiato client ;)
Henryx
-- 
Questo senso di approssimazione che pervade i windowsFan a volte mi
sconforta (V. Valvano)

scusa, non ho capito, spiegati meglio..
Gli indirizzi da cui partono "gli attacchi" sono tutti simili,
probabilmente provengono tutti dalla stessa sottorete.
Tutti "gli attacchi" sono indirizzati alla porta 80, che e' quella del
web server.
A questo punto, i casi sono due: 
1) Un dns li' nei paraggi ha assegnato l'IP bersaglio all'URL
www.playboy.com
 e una marea di utenti si sta chiedendo dove sono le
donnine nude.
2) Da quelle parti ci sono alcuni server infetti dal worm Code-Red,
piuttosto attivo negli ultimi tempi, che sta cercando altri IIS da
infettare, e insistono perche' trovano la 80 aperta proprio dallo
strumento che dovrebbe controllarla, che se non ci fosse, nessun
code-red che si rispetti proverebbe ad insistere, trovando la porta
inesistente.
Io propendo per la seconda ipotesi.
PS: quota, per favore.
-- 
           |Save our planet!
  Ciao     |Save wildlife;
  roberto  |For your E-MAIL use only recycled Bytes !!
           |roberto poggi  
rpo...@softhome.net

Cambiato From? :-)
Post estemporaneo da macchina, sistema operativo, client e latitudine
diversi dal solito, non configurati, con indirizzo modificato al volo.
Se sapessi che giro hanno fatto, quei bit, prima di arrivare all'NG.
Sono transitati per un paio di tunnel ssh, due macchine windows, quattro
linux diversi prima di riprendere la corretta via attraverso il mio
leafnode d'ufficio.


 tempo buttando banda in porscanner su gruppi interi di ip.
Mi sa che sei fuori strada.
Non so se hai notato la destination port e il fatto che gli IP cambiano
volta per volta...
Io in questi casi... vedo codice rosso! :)
-- 
Ciao!
HappyCactus

 disperatamente di diffondersi, attaccandosi alla tua porta 80.
...mi date qualche dritta su questo code red?
Mi capita un problema analogo.
Se mi indicaste qualche link, ve ne sarei grato.
Ciao a tutti.
y58

yankee58 wrote:
scusate l'aggiunta, dimenticavo...
S.O. Linux, Firewall iptables, port-watcher Ipsentry, porta in genere 
scansionata la 80, ovviamente il risultato dell'attacco e' nullo, ma e' una 
rottura di....... continua:-)
Ciao,y58