Newsgroup: it.comp.sicurezza.varie
Titolo: Attacco mirato?

Ieri sera ho ricevuto una valanga di tentativi di connessione (circa 10 al
secondo) sempre sulle porte 7777 8888 e 9999 (alternate).
Gli indirizzi ip da cui provenivano i tentativi erano sempre gli stessi 2.
Uno sembra avere origine negli USA (vicino a N.Y.), l'altro dall'Olanda.
Non mi sembravano le solite occasionali valanghe di port scan verso la porta
7777 o la 1214, derivanti forse da utenti in cerca di mp3 e simili.
Qualcuno sa dirmi di cosa si tratta?
Grazie
--
Spiderman Ž  
spide...@yahoo.it
#14  L.A.C.R.I.M.A.

 Qualcuno sa dirmi di cosa si tratta?
Per caso ti eri connesso da (relativamente) poco?
Se si, allora non cercavano te, ma il tizio che aveva quell'IP prima di te.
Se invece no, allora è qualcuno che ha sbagliato IP.
Ciao. Radel
--
PS. Per risposte in email togliere le due ".remove" dall'indirizzo
      To reply remove both ".remove" in the address.

 Per caso ti eri connesso da (relativamente) poco?
Sono rimasto collegato tutta sera, ma non ricordo se mi sono disconnesso e
poi ricollegato... comunque e' curiosa una scansione di porte cosi' precisa
(7777 8888 9999).


 Qualcuno sa dirmi di cosa si tratta?
Potrebe essere qualcuno che cercava un server ultima online o napster
che era in ascolto su quello che dopo e' diventato il tuo ip. Roba di
cui non preoccuparsi (IMVHO). "Attacco mirato" molto probabilmente e'
una definizione doppiamente sbagliata: non e' attacco (a cosa?) e non
e' mirato (a chi?).
Fabio
[1] si si, ok: se il termine "connessione" fosse sempre utilizzato in
    modo proprio non esisterebbe neanche il dubbio, ma...

 e' mirato (a chi?).
Lo so che non e' un attacco vero e proprio, ci mancherebbe, pero' e' curiosa
la frequenza elevata dei contatti, la loro origine limitata a 3 utenti e la
destinazione verso 3 porte precise ma scelte, a quanto pare in base alla
ripetizione del numero (7777 8888 9999).
Saluti
--
Spiderman ®  
spide...@yahoo.it
#14  L.A.C.R.I.M.A.

 3)  IP                 218.46.76.38
Uauuuu... adesso e' un linux 2.0 (o vuole far sembrare che).
Per tornare al discorso precedente: con in mano qualche riga
del log del tuo firewall in cui ci fosse qualche dato in piu'
avremmo scartato subito ultima online (il cui client, se non
sbaglio, richiede un kernel >= 2.2). Sempre che alla data in
questione questo indirizzo ip fosse del tizio a cui e' stato
assegnato oggi.
Fabio

 7777 o la 1214, derivanti forse da utenti in cerca di mp3 e simili.
Semplicemente hai preso l'ip di qualche utente che si č scollegato e che aveva
qualche p2p attivo per lo share.
Mi pare che gtknutella e altri sharer usino quelle porte
-- 
| /
| \Byte - Andrea Briganti - 
kbyt...@freemail.it
http://www.kbytesystem.fasturl.it
 ICQ: 40872731
*** Chi non ha rispetto non merita considerazione

 curerei piu'.
Per questo non c'e' problema, era solo una mia curiosita'.
Ti ringrazio per la consulenza :-)
Saluti


 ti viene in mente qualcosa di analogo ed adatto all'uopo?
Oltre a ippersonality conosco fingerprintfucker di cyrax, un
lkm per linux 2.2 e freebsd. Sono andato sul sito dei packet
knights e ho visto che c'e' una versione fixata che comunque
non sembra essere ancora molto stabile (avevo provato un po'
la versione precedente e bastava poco per impanicare tutto).
La licenza d'uso e' abbastanza restrittiva e potrebbe essere
un limite (io ad esempio non potrei registrarmi e usarlo).
Il kernel 2.4 non e' ufficialmente supportato, anche se pare
che qualcuno ci abbia provato (cerca su 
www.sikurezza.org
).
Ma hai provato a patchare con ipp iptables 1.2.6 e il kernel
2.4.19-pre8? Magari va su lo stesso. Dopo provo.
Fabio che ha solo un fratello

 2.4.19-pre8? Magari va su lo stesso. Dopo provo.
Ho patchato un 2.4.19-pre10+iptables-1.2.6a (con most-of-pom).
Alcuni hunk sono stati riposizionati di qualche riga ma sembra
essere tutto a posto. Compilato. Mancherebbe solo di provarlo.
Magari nei prossimi giorni (ho deciso che giochero' un po' con
una woody su vmware).
Fabio