Newsgroup: it.comp.sicurezza.varie
Titolo: Strani "attacchi" ICMP + 33434-33443

Saltuariamente noto nei log del firewall, una sequenza di 32/50 ICMP da
altrettanti IP diversi, seguiti da altrettanti tentativi di accesso alla porta
UDP 33434, poi si ripetono per la 33435, poi si ripetono sino alla 33443 e
qualcuno sulla 33444, sempre dalla stessa sequenza e stesso ordine di IP.
Ogni gruppo dura circa 1 secondo o poco piú.
Sono solo fastidiosi.
Ma per curiositá mi piacerebbe sapere cosa cercano (33434=firewalk, ma il
resto?).
ICMP (ping) sono bloccati.
La 33434, é aperta su un IP attualmente sconnesso...
 
 
I 1700 e passa tentativi al giorno sulla 23, lo so, sono i residui di Mirai ed
i suoi cloni...
 
-- 
+----------------------------------------------------------------------------+
|           2 + 2 = circa 6 per valori molto abbondanti di 2                 |
+-----#40--------------------Diamanti di saggezza.---------------------------+

Ogni gruppo dura circa 1 secondo o poco piú.
 
Qualche tipo di protocollo peer-to-peer?
 
Leonardo
-- 
 
A terrible beauty is born.
                                     - W. B. Yeats, Easter 1916

 Qualche tipo di protocollo peer-to-peer?
 
Non credo, avevo quell'IP da 4 giorni ed il gioco é comaprso per 2 volte di
seguito, alla mattina ed al pomeriggio del 4' giorno...
Peró sono da circa 2 anni che ogni tanto mi capita, magari passa uno o 2 mesi
poi ricapita.
Peer-to-peer non ne faccio, saltuariamente scarico iso di derivate linux per
fare chiavette o cd/dvd, ma sono casi sporadici...
 
 
[] Non ho mai capito, e si che é farina del mio sacco...
Ho fatto anni fa uno script che mette in automatico le sign...
Chissá perché il 99% delle volte, la sign é in tema col post!
 
-- 
+-------------------------------------------------------------------------+
|          "Qualunque cosa tu stia cercando su internet,                  |
|          ci sara' almeno un sito porno che rispondera'                  |
|          ai tuoi criteri."                                              |
+-----#46--------------------Diamanti di saggezza.------------------------+

 Chissá perché il 99% delle volte, la sign é in tema col post!
 
+1 :-)
 
-- 
    * b *
  *   y   *
*   Piero   *
#v+
Tutto il futuro è racchiuso nella sacra sillaba "bo!".
#v-
 
 

 da altrettanti IP diversi, seguiti da altrettanti tentativi di
 
ICMP di che tipo ? Nel senso, si tratta di "normali" ICMP type 8 (ossia
del classico "ping") o di altri tipi di richiesta ICMP ?
 
Mica per altro, sai, ma siccome c'è in giro questo coso qui
 
http://www.netresec.com/?page=Blog&month=2016-11&post=BlackNurse-Denial-of-Service-Attack
 
 
c'è caso che a qualcuno sia capitato del codice sottomano ed abbia
deciso di fare un test su un IP a casaccio ... il tuo :D
 

 deciso di fare un test su un IP a casaccio ... il tuo :D
 
Sicuramente é qualcuno o qualcosa che fa una rotazione, visto che sono 2 anni
che capita saltuariamente.
 
 
-- 
+-------------------------------------------------------------------------+
|    "Open Source programs are designed and developed.                    |
|     Our products are tested."                                           |
|     Steve Lipner, manager, Microsoft Security Response Center           |
+-----#50--------------------Ultime parole famose-------------------------+

 sono 2 anni che capita saltuariamente.
 
Dovresti verificare se capita sempre con un dato indirizzo IP, nel caso
potrebbe essere uno script che ha l'indirizzo hardcoded
 

 potrebbe essere uno script che ha l'indirizzo hardcoded
 
Questo é un buon incipt!
Vado a ripescare un po' di log arretrati e ci faccio un controllino.
 
-- 
+-----------------------------------------------------------------------+
|           Dimentica Higgs ed i suoi bosoni                            |
|           Pensa alla iolanda ed ai bei tittoni                        |
|           Se l'universo vuoi scoprir davvero                          |
|           Guarda la iolanda... Che buco nero!                         |
+-----#54------------------------------------------Verita'--------------+

 Vado a ripescare un po' di log arretrati e ci faccio un controllino.
 
Mica per altro, ma se l'IP cambia ed i tentativi restano, allora hai
qualcosa sulla tua rete che tenta di "chiamare casa" e, di solito, non
è una bella cosa :P