Newsgroup: it.comp.sicurezza.varie
Titolo: Traffico sospetto su 139/tcp

Feb 2 19:42:55 fw kernel: CATCHALL SRC=xx.xx.xx.xx DST=<varie> 
               LEN=44 TOS=0x18 PREC=0x20 TTL=100 ID=56363 DF 
               PROTO=TCP SPT=4241 DPT=139 SEQ=1593480084 ACK=0 
               WINDOW=8192 RES=0x00 SYN URGP=0
Feb 2 19:42:55 fw kernel: CATCHALL SRC=xx.xx.xx.xx DST=<varie> 
               LEN=40 TOS=0x18 PREC=0x20 TTL=228 ID=49196 
               PROTO=TCP SPT=4241 DPT=139 SEQ=0          ACK=0 
               WINDOW=0    RES=0x00 RST URGP=0
Qualcuno ha mai visto di questa roba o sa da che parte venga?
Cosi', giusto per curiosita'. Arriva da un server Exchange su
NT americano di cui ho nascosto l'indirizzo per evitare altri
guai al povero postmaster, che sta collaborando (incredibile:
hanno una mailbox per postmaster su exchange!). 
Il traffico e' di sicuro generato da uno scanner, pilotato da
un host remoto, o da un worm (oppure mi stan prendendo per il
naso ma, a prima vista, sembra gente abbastanza seria). Forse
e' piu' probabile il primo (hanno gia' trovato qualcosa).
Ha coperto tutti gli ip della mia subnet e ogni host ha visto
quattro serie di SYN con un RST al seguito (otto pacchetti in
tutto). Stesso identico comportamento per tutti gli host, sia
quelli con regole DROP sia quelli con regole REJECT (RST). Il
traffico generato sembrerebbe abbastanza peculiare, visto che
resetta indiscriminatamente e lo fa con un RST broken (notare
i numeri di ack e seq) e con un TTL diverso dal SYN iniziale.
Inoltre i quattro pacchetti sembra quasi che vogliano imitare
una connessione generata dallo stack tcp/ip di windows ma, in
realta', sono troppo ravvicinati (piu' del timeout di default
per la ritrasmissione di windows).
Nonostante cio, non sono riuscito a trovare nulla di noto che
generi 'sta monnezza (ma non era una ricerca facile). Loro si
sono dati da fare ed hanno trovato dei trojani su alcuni loro
server, ma non ne conoscono i dettagli (hanno segato tutto al
volo :-(). Vorrei fare una regola per snort, ma mi piacerebbe
mettere un riferimento corretto allo scanner utilizzato. Info
a proposito?
Fabio

 a proposito?
Fammi sapere, mi hai incuriosito
-- 
HappyCactus - Linux User #209744 - YAGF 
http://www.google.com
 
http://pngstego.sourceforge.net
Ci sono 10 categorie di persone al mondo: quelle che capiscono
il sistema binario e quelle che non lo capiscono.

 Fammi sapere, mi hai incuriosito
La butto lě anche io, come diretta conseguenza all'ipotesi di HC: idle
scan?
Il che implicherebbe che quella 139 che ti bussano sia aperta (e non mi
pare il caso, conoscendoti) ;-)
Quanti hops medi hai tra te e la macchina da cui il traffico pare
provenire?
Dalla sua parte esce effettivamnte quello che a te arriva???
Byez
-- 
Emanuele Balla aka Skull
-----------------------------------------------------------------------
Besides, I think [Slackware] sounds better than 'Microsoft', don't you?
(By Patrick Volkerding)

 Dalla sua parte esce effettivamnte quello che a te arriva???
Se intendi dire il traffico "incriminato", ora non piu': hanno sanato
("nuked") le macchine. Avevano scoperto alcuni server compromessi nei
giorni immediatamente precedenti ma non avevano controllato quello di
posta. Loro non s'erano accorti di nulla prima di essere avvisati (da
me per il server di posta e da altri per le altre macchine).
Fabio

 Fammi sapere, mi hai incuriosito
Non e' che non ci dorma la notte, ma la cosa incuriosisce anche me. Dopo
preparo un post per incidents, magari. Se solo quelli la' non si fossero
spaventati, brasando tutto... e se avessi avuto ancora su l'honeypot che
avevo piazzato per opaserv...
[OT] ma tu sai, per caso, che fine ha fatto il dominio 
openprojects.net
?
Fabio
[1] si chiamano cosi' i file con le regole, per chi non lo sapesse. Non
    e' un plurale (non si sa mai, coi tempi che corrono...)

 degli RST, come dicevo ad HC, e' un'altra delle cose strane.
Hm.. però il fatto che quei 25-27 hop fatti dagli rst coincidano più o
meno con quel 25-26 che rilevi tu è abbastanza peculiare... O è pura
casualità oppure chi ha portato l'attacco ha verificato prima che il
valore di ttl fosse compatibile (ma allora perchè non fare altrettanto
anche per i syn???)
Oppure forse gli RST arrivavano effettivamente dall'host che ha fatto da
zombie, che riceveva a sua volta dei SYN forgiati con i tuoi IP come
srcaddr...
Il perchè non mi viene in mente.
Soprattutto, non mi spiego il perchè qualcosa del genere dovesse avere a
che fare con una macchina forata.
La tua ipotesi di depistaggio del NIDS mi pare interessante, ma a questo
punto vorrei anche sapere se *effettivamente* esistono NIDS che si fan
fregare così: dubito che qualcuno abbia studiato tutta 'sta pappardella
senza avere precise idea al riguardo...
C'è da dire che la scelta della 139 apre la porta a miriadi di software
pensati per proteggersi si e no dalle cavallette...
Byez...


 Il perchè non mi viene in mente.
Rinnego tutto: solo ora mi son accorto del SEQ=0 ACK=0 riportato dai RST.
Un po' troppo peculiare per non essere forgiato...
Byez.


 Ora si chiama 
freenode.net
 (guarda la signature)
Ok, grazie. L'ho trovata proprio stamattina guardando
lo snapshot di 
www.openprojects.net
 archiviato nella
cache di google. Ma e' roba di gestione... d'itrica?
~ $ whois 
freenode.net
|grep Name\ Server
  Name Server: 
NS12.FREENODE.NET
  Name Server: 
NS.BOFH.IT
               ^^^^^^^^^^
Fabio