Newsgroup: it.comp.sicurezza.varie
Titolo: Aiuto, mi attaccano!!!

Ho installato da pochi giorni Lockdown 2000 v.4 e mi accorgo di subire
attacchi giornalieri.
Ecco di seguito un estratto log di uno degli attacchi:
** LockDown 2000 v4.0.1.6 initalized at lun, nov 15, 1999, at 06.01 PM
Ora solare Europa occidentale **
 Trojan network connectivity check enabled.
 Auto Trojan scan is activated.
 Nuke protection enabled.
 ICQ Nuke protection disabled.
[15/11/99 20.00.28] Incoming hack attempt from IP Address:
195.216.225.87
[15/11/99 20.00.28] Hacker is attempting to gain access using the
SubSeven trojan.
[15/11/99 20.00.29] Hacker's connection was terminated by Lockdown
2000.
[15/11/99 20.00.29] Log auto-saved to: 11151999.LOG
[15/11/99 20.00.29] Attempting trace route... Please stand by...
[15/11/99 20.00.35] Attempting to trace hacker's connection... Please
stand by...
[15/11/99 20.00.35] 15/11/99 20.00.35-[From 195.216.225.87]-
[15/11/99 20.00.49]  => 151.5.160.1
[15/11/99 20.00.50]  => 192.94.212.30
[15/11/99 20.00.50]  => 
r-mi46-mix-atm1.interbusiness.it
[15/11/99 20.00.50]  => 
r-teseo-2.interbusiness.it
[15/11/99 20.00.50]  => 
a87.teseo.it
[15/11/99 20.00.50] =========================================
Vorrei che mi aiutaste a capire quanto segue:
1) una volta individuato l'indirizzo I.P. dell'intruso, come faccio a
contattarlo?
Ho provato con il  Winpopup ma non ho la sicurezza che il messaggio
sia stato ricevuto, poi il pc mi si e' bloccato (strano?).
2) avevo un programma che permetteva di mandare in crash un pc
'avversario'  inserendo l'indirizzo I.P. , non lo trovo piu, chi mi sa
dire come si chiama?  (a mali estremi....)
3)Per ora sono solo riuscito a scoprire il provider utilizzando whois,
cosa altro posso fare avendo solo l'indirizzo I.P. ?
(capisco che una volta che l'attaccante ha terminato il collegamento
 potra servirmi solo ad una eventuale denuncia in caso di danni
subiti)
quali sono i passi da seguire per arrivare alla persona partendo
dall'indirizzo I.P. ?
4) E' possibile che la stessa persona possa continuare ad attaccarmi
in giorni diversi avendo un mio indirizzo I.P. (dinamico) ed il mio
login (indirizzo e-mail assegnatomi dal provider)?
Grazie per l'aiuto
MarcoM x

 login (indirizzo e-mail assegnatomi dal provider)?
Evidentemente si diverte cercando nella subnet del tuo provider, non
necessariamente sa chi sei nè che ti ha già pingato il giorno prima. Lui fa
partire la ricerca da un ip ad un altro, chi si trova in mezzo viene
pingato. Se non hai niente nel sistema, e per niente intendo nemmeno
LockDown, lui non sa nemmeno della tua esistenza. Se hai il server della
backdoor oppure programmi simili al LockDown lui si accorge e si ferma per
dedicarti le sue attenzioni.
Dario Corti
dario...@iol.it
http://dariobrunocorti.freeweb.org
ICQ#: 37438061
--------------------------------------------
Avvio di  Windows 95 in corso...
Error code 103.
1> loadwb
1> endcli

Ciao 
Da quello che leggo, l'intruso cerca di collegarsi con il trojan
subseven. Ti consiglio percio' un po' di scansioni approfondite (tutte
le opzioni avanzate ed euristiche attivate) sia con un buon Antivirus
aggiornato (Norton, AVP, McAfee) che con un Trojan Cleaner (The Cleaner
3.0  
www.moosoft.com
). Per quanto riguarda il contatto con questo
personaggio, evita non ne vale la pena.
Macs
Marco mix ha scritto:



Sent via Deja.com 
http://www.deja.com/
Before you buy.

Grazie a Dario e Max per i chiarimenti, capisco di avere sopravalutato
la gravita' della cosa, mi immaginavo qualcuno con le mani in pasto
nel mio hd, ringrazio anche MerLiNo che pur non essendo intervenuto mi
ha aiutato con le informazioni contenute nel suo sito.
Ho eseguito un netstat -na subito dopo l'avvio e tutto tace ma dopo
avere lanciato Lockdown e ripetuto il netstat trovo le porte 12345,
30029, 54320, 4950, 1243, 53, 139 in ascolto, ora capisco cosa
intendeva Dario dicendo che e' proprio Lockdown ad attirare
l'attenzione.
Il panico e' passato, vorrei ora capire cosa e' questo SubSeven trojan
e come funziona .
Ho provato sulla LAN aziendale a fare ping a ripetizione verso un pc
con Lockdown installato ma non reagisce, con un port scan va in
allarme, ma quali sono gli altri metodi esplorativi che si possono
subire?
Grazie
MarcoM x


 


 login (indirizzo e-mail assegnatomi dal provider)?
Se tu sei un abitudinario delle chat (IRC) è una cosa più che naturale.
Praticamente appena entri lui ti riconosce e becca il tuo IP. Oppure
rompe i coglioni a tutti quelli che entrano in chat. 
-- 
Vincent

 Praticamente appena entri lui ti riconosce e becca il tuo IP.
Scusatemi, ti riconosce da cosa?

 Scusatemi, ti riconosce da cosa?
Il nick?
Se io voglio prendere di punta "pippo", appena lo vedo entrare lo
colpisco.
-- 
Vincent

 Il nick?
Pensavo a qualcosa di "non modificabile" a me sconosciuto ;)