Newsgroup: it.comp.sicurezza.varie
Titolo: Attacchi da 127.0.0.1

Ciao ragazzi,
è dal giorno 24 dicembre 2004 che il mio firewall Outpost 2.5 mi segnala
attacchi dall'IP 127.0.0.1, che riconosce come attacchi di tipo "Mio
Indirizzo" e pertanto blocca quell'IP per 5 min (così è impostato di default
e infatti così si comporta).
Purtroppo durante quei 5 min raggiungo cone ESTREMA lentezza tutti i siti su
internet, mentre terminati quei 5 min (o sbloccando manualmente quell'IP dal
blocco), tutto torna normale.
Io utilizzo Tin.it come ADSL, e finchè avevo come ip 80.180.160.76 ricevevo
questi attacchi in media ogni 15-20 min....potete immaginare come sia
drammatico poi nei 5 min successivi all'attacco: Navigazione
schifosissima!!!
Il giorno 31 dicembre ho tenuto spendo il pc fino al pomeriggio del 2
gennaio (solitamente lo tengo acceso e connesso sempre) e ovviamente mi è
stato cambiato indirizzo IP con un del tipo 213.45.xxx.xxx e noto che al
massimo ricevo quell'attacco ogni 10-12 ore in modo del tutto casuale, sia
se uso che se non uso il pc!
Ho cercato su internet questo tipo di problema utilizzando la stringa "my
address attack" e riportano a spiegazioni di possibili attacchi da virus
Blaster, io per precauzione ho installato PestPatrol oltre a software già
presenti da diversi mesi, quali Symantec Antivirus 9.0 e Ad-Watch (di
Adaware), ho fatto scansioni con ciascuno di questi tool ma il sistema è
pulitissimo.
Per la cronaca il problema è iniziato il giorno 24 dicembre quando Tin.it
emesse un comunicato relativo a problemi nel raggiungere alcuni siti esteri,
io quel giorno me ne ero accorto anche se effettivamente c'erano problemi a
raggiungere anche alcuni siti italiani.
Mi verebbe da pensare che la rete Tin.it sia stata attaccata e che loro
ancora non riescano a risolvere il problema.
Qualuno ha avuto la mia stessa esperienza o magari saprebbe dirmi cosa sta
succedendo?
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

Ahi ahi ahi... un attacco della terribile "Banda del Localhost"... :D
Ti conviene formattare il computer, e giacchè ci sei, dargli anche
fuoco... :P
Scherzi a parte, 127.0.0.1 è "te stesso", ovvero è l'IP
dell'interfaccia di loopback della tua macchina, ed è SEMPRE presente
in TUTTI i computer del mondo....
Difficile, del resto, immaginare un attacco DA se stessi VERSO se
stessi, no? :)
Se vuoi stare tranquillo (e non correre NESSUN rischio per la
sicurezza) imposta Outpost per accettare tutte le connessioni
provenienti da 127.0.0.1 (o "localhost") verso 127.0.0.1, e vivi
tranquillo.
P.S. Difficile che la rete Tin.it sia stata attaccata da 127.0.0.1 ;)


Lo so che 127.0.0.1 è l'IP di loopback, purtroppo non posso impostare
Outpost come dici tu perchè di fatto ignora completamente l'eccezione.
Dopotutto su questo problema ci sono diverse persone in altri forum (anche
stranieri) che non riescono ad evitare questi attacchi, io per ora ho
disabilitato la funzione di blocco degli IP per 5 min, che dopotutto è
quello che mi crea il problema, perchè bloccandomi il lookback, internet va
a rilento.
Comunque per la cronaca, questo tipo di attacco da 127.0.0.1 sono attacchi
di tipo "My address" che hanno l'intento di prendere possesso del proprio
indirizzo IP per riutilizzarlo sulla rete; il compito di Tin.it dovrebbe
essere quello di bloccare l'invio, da parte degli "intrusi", di questo
genere di attacchi.
A quanto pare questi attacchi sono spesso lanciati dal virus Blaster,
purtroppo il problema è che ci sono tantissime persone che usano il pc senza
un minimo di antivirus!!!


 un minimo di antivirus!!!
Mah... che io sappia Blaster si dedica a tutt'altro tipo di
attività...
Forse il tuo è un Blaster con "tendenze particolari". :D
Ciao.

 Forse il tuo è un Blaster con "tendenze particolari". :D
Una ricerchina su google spiegherebbe probabilmente come e perchè invece 
questo accadesse, ai tempi in cui blaster scorrazzava livero...
-- 
cat: .signature: No such file or directory


Ovviamente si parla di impossessarsi dell'IP di rete e non di quello di
loopback.
Comunque sia tale tipo di attacco esiste, prova a fare una ricerca su
internet, o se puoi visionare la lista di attacchi a cui dovrebbe proteggere
il firewall Outpost 2.5, noterai che tra gli attacchi è presente anche "My
address" e il firewall stesso spiega anche in cosa consiste, anzi magari
faccio che trascriverlo:
"Un attacco comune che ha l'intento di appropriarsi dell'indirizzo IP del
tuo sistema, per poi impersonarlo sulla rete e catturarne le connessioni".


tuo sistema, per poi impersonarlo sulla rete e catturarne le connessioni".
Non credo sia una cosa fattibile, tranne casi estremamente rari.
Prendiamo il caso tipico di un utente con un certo IP, diciamo di Wind. E
di un attaccante proveniente da Telecom.
L'utente Telecom carpisce l'indirizzo dell'utente di Wind, e puo' fare un
paio di cose:
1. Convincere il modem (diciamo cosi', per comodita') dell'utente che ora
   il suo gateway e' TELECOM_HACKER.
2. Inviare connessioni a nome di WIND_VICTIM spoofandone l'IP.
Il primo caso lo possiamo escludere per due motivi: il primo e' che credo
che ormai nessun dispositivo sulla faccia della Terra accetti un 'routing
advice' a meno di essere esso stesso un router "e" che l'advice arrivi da
una fonte affidabile. Il secondo motivo e' che se il gateway non e' nella
stessa rete fisica, il "modem" di suo non ci parla.
Il secondo caso non funziona lo stesso, perche' la connessione fra server
e client non e' praticamente mai "diretta": passa sempre da uno o piu' di
un gateway.
E sicche' TELECOM_HACKER invia una richiesta di connessione, ma il server
bersaglio pensa che provengano da WIND_VICTIM, e quindi manda la risposta
in direzione di Wind, non di Telecom.
L'unico caso - e remoto - in cui un attacco del genere potrebbe avere una
parvenza di senso, e' se la vittima e' il router del malcapitato e dietro
c'e' un PC protetto da NAT. A quel punto la specifica di routing potrebbe
(dubito funzioni nel mondo reale, pero') consentire all'attaccante di far
pervenire alla vittima dei pacchetti.
Cosa succeda ai pacchetti di risposta, quando passano da un router che e'
stato configurato senza tenere conto di questo possibile trucco, e che fa
SNAT selvaggio (99%+ dei modelli in commercio), non ci voglio pensare. E'
possibile che si riesca a fare qualcosa con dei ritocchi ad hoc sull'host
dell'hacker, ma gli ce ne vuole una cča, di esperienza acuisita (TM)...
All in all, gli attacchi "per impersonamento" penso possiamo escluderli a
priori dall'elenco dei disagi possibili.
Leonardo rigorosissimamente IMHO
-- 
"Se e' vero che Linux in se' e' gratis, non lo sono le indispensabili
interfacce grafiche (X, KDE ecc.) che consentono alle persone normali
di utilizzarlo."                    -- Jason Matusow, Microsoft Corp.