Newsgroup: it.comp.sicurezza.varie
Titolo: Nodi tor

C'é modo di sapere se un ip che mi sta sminchiando da ieri notte con un attacco
ssh a vocabolario ogni 6-7 minuti (ed é bloccato dal firewall) e che continua
imperterrito anche se non c'é nessuna macchina accesa, sia un nodo di uscita
tor?
 
-- 
+---------------------------------------------------------------------------+
|    La paranza e' la danza di una stronza che, sull'isola di Ponza,        |
|    si tirava  la patonza.                                                 |
+-----#21--------------------Campagna contro le pubblicita` idiote.---------+

 
https://www.torproject.org/projects/tordnsel.html.en
 

Skull in data 22:47, giovedì 09 aprile 2015, nel gruppo it.comp.sicurezza.varie
ha scritto:

THANK!
Non é un nodo tor (67.188.2.89)!
Non capisco la strategia.
Continua a bersagliare. Fail2ban lo ha bloccato ai primi tentativi.
Sono uscito da casa ed ho spento tutte le macchine, solo il router acceso,
eppure ha continuato lo stesso per le tre ore della mia assenza...
Un tentativo ogni 6-7 minuti (non secondi, minuti)!!
 
Ogni tanto ho voluto farlo passare, tanto per vedere...
Apr 9 11:08:41 +0000 67.188.2.89  Failed password invalid user  add
Apr 9 11:31:55 +0000 67.188.2.89  Failed password invalid user  telnet
Apr 9 14:34:54 +0000 67.188.2.89  Failed password invalid user  cap
Apr 9 14:41:08 +0000 67.188.2.89  Failed password invalid user  sex
Apr 9 17:40:30 +0000 67.188.2.89  Failed password invalid user  bin
Apr 9 17:48:17 +0000 67.188.2.89  Failed password invalid user  postfix
 
Idiota (il bot od il programmatore di bot) o altro?  Boh!


 assenza... Un tentativo ogni 6-7 minuti (non secondi, minuti)!!
 
Non è che per caso hai un IP dinamico ? Mica per altro, ma in tal caso,
mi sorge il sospetto che, chiunque avesse il tuo IP in precedenza... :)
 

 
Bon, ce ne sono in giro a dozzine di migliaia, di 'sti cosi. Non
brillano per originalità nè per qualità del codice.
 
"Roba da Rumeni" avrebbe detto qualcuno in modo poco politically correct
anni addietro...
 
Hanno dalla loro il numero e la pazienza di una macchina, che
apparentemente compensano la scarsa capacità di chi li ha scritti...

 Idiota (il bot od il programmatore di bot) o altro?  Boh!
 
E' abbastanza comune, ed è abbastanza comune che sia un IP comcast,
anche se nella mia esperienza sono gli IP cinesi a far la parte del
leone in questo tipo di attacco. A quell'IP c'è un ignaro utente
adsl col computer infettato da malware. Siccome non usa risorse sue,
il programmatore se ne frega di scrivere codice efficiente.
 

 mi sorge il sospetto che, chiunque avesse il tuo IP in precedenza... :)
 
Si, lo so, ma quell'IP é li da una settimana...
Ed ha cominciato l'altra notte...
Ha continuato tutta notte col solo router acceso (e continua tutt'ora).
E continua imperterrito nonostante ci sia in loop un:
cat /dev/urandom | nc -l -p 22
L'unica cosa che riesce ad inviare é un laconico prompt:
SSH-2.0-libssh2_1.4.1
Poi la magia dei numeri lo interrompe, ma poi ricontinua...
Mi rompe di riavviare il router e cambiare nuovamente ip...
 
Vabbé, piú tardi quando ho finito di lavorare, riavvieró!
 
-- 
+---------------------------------------------------------------------------+
| ... e come dissero Gargantua e Pantagruel al termine di un lauto pranzo:  |
|     Anche oggi abbiamo contribuito a ridurre la fame nel mondo...         |
+-----#26--------------------Campagna contro le pubblicita` idiote.---------+

 apparentemente compensano la scarsa capacità di chi li ha scritti...
 
Alla faccia della pazienza!
Un tentativo ogni 7 minuti...
10 giorni per un vocabolario di solo 2000 voci...
 
 
-- 
+---------------------------------------------------------------------------+
| Non asciugarti le palle col phon! Le bruci e poi ti nascono figli neri... |
| (Sentita nello spogliatoio)                                               |
+-----#27--------------------Campagna contro le pubblicita` idiote.---------+

 Vabbé, piú tardi quando ho finito di lavorare, riavvieró!
 
inte & ressante :) a questo punto, dopo aver riavviato, controlla se
quei tentativi riappaiono, in tal caso credo che farai bene a dare una
controllata alla roba che hai connessa in rete perchè, se riapparisse,
evidentemente qualcosa sulla rete lo "sta chiamando" :P
 
 

 evidentemente qualcosa sulla rete lo "sta chiamando" :P
 
Tranqui! Il citofono é rotto. Non chiama nessuno (sgrat sgrat!).
Al riavvio, silenzio mortale, tranne il solito brusìo di sottofondo.
 
-- 
+---------------------------------------------------------------------------+
| Avevo un lavoro, un posto fisso che mi rendeva bene e ci mantenevo tutta  |
| la famiglia. Poi un giorno e' arrivato un tale, che mi ha detto:          |
| Lazzaro, alzati e cammina! Da quel momento ho perso il posto, il lavoro e |
| sono finito in miseria.                                                   |
+-----#30-----------------Campagna contro i miracoli non richiesti.---------+

 il programmatore se ne frega di scrivere codice efficiente.
 
Poco efficente, puó starci, ma se per bucare una macchina ci deve impiegare
tutta la sua vita, quella dei figli e quella dei nipoti...
Come ho risposto a Skull, di quel passo ce ne impiega di tempo...
E nel frattempi siamo passati da ipv4 ad ipv6 e anche ad ip56...
 
-- 
+---------------------------------------------------------------------------+
|    L'universita' americana di Berkeley ha prodotto due importanti         |
|    invenzioni: l'LSD e Unix. Credo non sia una coincidenza.               |
|    (Jeremy S. Anderson)                                                   |
+-----#33-------------------------Campagna contro le grandi veritá.---------+

Col. Ambrosio scriveva il 10/04/2015 :

APPROVO IP CINESI!
Ci provano da mesi oramai sul mio static IP, peccato che col dizionario 
possono tentar a vita....
E anche coi loro IP..
 
:D

 impiegare tutta la sua vita, quella dei figli e quella dei nipoti...
 
ti sfuggono alcuni dettagli, prima di tutto chi ha scritto il codice
che controlla quel bot (e probabilmente non solo quello) potrebbe, ed
anzi, probabilmente lo è, un totale l4m4h, inoltre, un bot, proprio per
definizione, sfrutta le risorse di qualcun altro, quindi che importanza
può avere se ci mette una vita, prima o poi, un host con una password
nota lo becca; del resto esiste anche una RFC al proposito, la RFC-2795