Newsgroup: it.comp.sicurezza.varie
Titolo: Attacco IMAP

 
Ciao a tutti.
 
Una curiosita'...
 
Uno dei server che gestisco da qualche giorno e' sotto attacco: le 
contromisure funzionano e sarei avvisato se per caso dovessero riuscire 
ad entrare, quindi dormo tranquillo; pero' e' una situazione che non ho 
mai visto.
Di solito i bot provano a caso quelle 10-15 volte, poi passano ad altro.
 
Qui invece:
_ la cosa dura ormai da 3 giorni;
_ i tentativi di accesso arrivano da IP sempre diversi (fail2ban ne ha 
bloccati ormai piu' di 1000), distribuiti un po' in tutto il mondo 
(principalmente US, molta Europa, un po' di Asia, ecc...);
_ prima hanno tentato ossessivamente ad accedere alla casella 
reception@... (che non esiste); dopo 24h, hanno cominciato con 
billing@... (anche questa inesistente);
_ non vedo niente di simile su nessuno degli altri server che gestisco.
 
Idee? Sapete se e' un attacco noto?
 
  Grazie
	Andrea Venturoli

 
 
tontoloni... io comincerei con info@ poi contact@ :)
 
-- 
/-\ /\/\ /\/\ /-\ /\/\ /\/\ /-\ T /-\
-=- -=- -=- -=- -=- -=- -=- -=- - -=-
........... [ al lavoro ] ...........

 tontoloni... io comincerei con info@ poi contact@ :)
 
bah, 99 su 100 sono alias...

 tontoloni... io comincerei con info@ poi contact@ :)
 
Infatti info@ e' quello che vedo di solito... per un po', poi si 
stufano, tanto non esiste o e' un alias.
Oppure vedo indirizzi esistenti o esistiti (che poi corrispondano 
all'utenza da utilizzare e' da vedere).
 
Qui pero' e' diverso.
 
Ah, il dominio e' di una normalissima azienda di meccanica... niente di 
particolarmente interessante da attaccare come fosse la NASA o McDonald.

Scriveva Andrea Venturoli venerdì, 07/01/2022:

uno degli ultimi attacchi sulla rete è log4shell che sfrutta 
soprattutto una vulnerabilità della libreria log4j di Apache, ma non ho 
idea se il tuo server possa essere vittima di tale attacco
https://www.agi.it/cronaca/news/2021-12-14/log4shell-ha-prodotto-800-mila-attacchi-hacker-in-3-giorni-14905420/
 
 
-- 
----
Saluti
fl
 
"ogni emozione è un messaggio,
il vostro compito è ascoltare"
Il cuore dell'anima -Gary Zukav

 tuo server possa essere vittima di tale attacco
 
difficile. non è conosciuta nessuna implementazione java di imap, sarebbe 
solo una grande perdita di tempo.
 
 

 
https://www.agi.it/cronaca/news/2021-12-14/log4shell-ha-prodotto-800-mila-attacchi-hacker-in-3-giorni-14905420/
 
 
Direi proprio di no.
Il server non e' scritto in Java e gli utenti che propongono non sono 
tentativi di exploit di questo CVE.


wrote:

Potrebbe essere che il tuo dominio assomigli a quello di altra azienda più
grande e interessante, altrimenti è strano questo accanimento e specie verso
quegli indirizzi di partenza. A volte i bot sono fatti male.

 Idee? Sapete se e' un attacco noto?
 
Probabilmente è solo una delle tante botnet che ha "scoperto" il tuo
server e che sta cercando di trovare delle credenziali di accesso con
un attacco a dizionario; quello che mi chiedo però è, hai abilitato
l'accesso autenticato anche in chiaro ? Non è una buona idea, direi che
dovresti considerare l'idea di permettere l'accesso autenticato SOLO
dopo lo STARTTLS, in quel modo segherai via parecchi bots ed allo
stesso tempo eviterai che qualche utente possa farsi sniffare le
credenziali
 
ciao
 

 dopo lo STARTTLS,
 
Uso la 993 con TLS.
 
 
 
Grazie comunque.

 Uso la 993 con TLS.
 
Si, ok, quello è TLS implicito, ossia direttamente alla connessione,
mentre nel caso della 143 dovresti configurare il TLS esplicito, ossia
permetti le connessioni "in chiaro" ma per procedere il client dovrà
poi inviare uno STARTTLS, altrimenti "ciccia"
 

 No ! Imap sulla 143 *ma* per l'autenticazione DEVI prima inviare uno
 
P.S. la 110 è la porta di POP3, con IMAP non c'entra un tubo, e
comunque SE volessi attivare POP3, anche in quel caso vale lo stesso
ragionamento, ossia AUTH SOLO DOPO STARTTLS, idem per SMTP, ossia, per
il routing della posta accetti la posta in arrivo sulla 25, ma per
l'invio di posta accetti autenticazione SOLO sulle porte 465 e 587 e
solo con TLS
 
 

 solo con TLS
 
Certo, fatto tutto.

 Certo, fatto tutto.
 
Incluso il forzare l'uso di TLS per l'accesso autenticato IMAP e
rifiutare l'autenticazione se non è stata avviata una sessione TLS ?
 
 
 
 
 

 rifiutare l'autenticazione se non è stata avviata una sessione TLS ?
 
Forse non capisco cosa intendi.
La 143 e' chiusa: non possono "autenticarsi senza prima avviare una 
sessione TLS", perche' non possono proprio connettersi.
E' aperta solo la 993: e' su questa che si connettono in continuazione 
da giorni.
 
Grazie.