Newsgroup: it.comp.sicurezza.varie
Titolo: Ping sospetti... [lungo]

Ciao a tutti,
Nell'azienda in cui lavoro abbiamo fatto installare una nuova linea ADSL di
Telecom, da 1.3Mbit/s in downstream e 256Kbit/s in upstream, provvista di 8
indirizzi IP statici, in aggiunta alle 2 linee (640/128Kbit/s, by NOICOM)
preesistenti.
Controllando di tanto in tanto il regolare funzionamento della nuova linea,
qualche giorno dopo l'attivazione ho notato uno strano comportamento: in
pratica mi arrivano, ad intervalli regolari, delle raffiche di ICMP Echo
Request (ping) ad una velocità impressionante e da IP sorgenti che cambiano
in continuazione (arrivano 5-600 ping da un indirizzo, poi magari una
pausa, dunque ancora 1-200 dallo stesso e poi l'indirizzo
cambia).
Preciso che l'IP destinazione di questi pacchetti è quello di *rete* che
Telecom ci ha assegnato (nel pool 217.xxx.xxx.0), col risultato che tutti i
server che ho connesso a questa linea (per ora 2) vengono sollecitati a
rispondere con infinite serie di "Echo Reply" intasando tutta la banda
disponibile.
Per evitare questo ho, per ora, configurato i server a non rispondere agli
echo request sugli indirizzi broadcast.
Anche disconnettendo fisicamente i server l'alluvione continua... ed a
"succhiarsela" è il router (un Pirelli, mamma mia!!) che, ogni tanto,
sembra non gradirla, bloccandosi fino a che non lo riavvio a forza.
Questo succede a qualsiasi ora, di giorno e di notte.... 
Aggiungo, inoltre, che le altre 2 linee non hanno mai presentato questo
problema!!
Adesso mi attrezzerò per loggare il traffico sospetto, se gli IP sorgenti
sono sempre gli stessi mi comporterò di conseguenza, altrimenti non saprei
che fare!
Qualcuno di voi sa darmi una soluzione o, per lo meno, un consiglio? Vi
sarei davvero molto grato.
Grazie infinite,
ZEuS

 agli echo request sugli indirizzi broadcast.
Avresti dovuto farlo prima.
-- 
*    HappyCactus - Linux User #209744 - BOFH Certified Engineer    *
*           27/11/2003 Rilaciata la prima relase di qixl!          *
*    
http://sourceforge.net/projects/qixl
 : una gui per iSiloXC    *
*  
www.google.com
 / 
groups.google.com
 : cercare prima di chiedere  *

 L'invasione dei puffi: la tua rete e' abusata come smurfer.
Ok, d'accordo; mi spieghi però come mai la cosa succede fin dal primo giorno
di "vita" della nuova ADSL? Manco il tempo di usarla, ci han dato!! ;-)
Bye bye, Cactus
ZEuS

 sarei davvero molto grato.
Come ti ho gia detto io ed il maestro Fabio Panigatti su icol.sys e'
meglio se posti un po di log. Intanto come e' oggi? sta continuando
l'attivita di rete sospetta?
cya
Banana

 agli echo request sugli indirizzi broadcast.
Bene, per lo meno non partecipi più al gioco...
Si chiama smurf, i pacchetti hanno l'indirizzo sorgente spoofed della 
vittima. Per la precisione la vittima non sei tu, tu svolgi il semplice 
ruolo di "amplificatore". 
Per non ricevere questi echo request *credo* tu non possa fare nulla.

 l'attivita di rete sospetta?
E' da giorni e giorni che va avanti, oramai sono 2 mesi buoni (da quando è
arrivata la linea, poche ore dopo l'installazione!!).
Da ieri ho messo su un tcpdump (solo ora, direte, beh, si... prima non ne ho
proprio avuto il tempo, credetemi!) che in questo momento ha già prodotto
20Mbyte di log...!!!!!!!
Eccovi qualche righetta:
---
16:15:41.391747 
ppp-217-133-156-18.cust-adsl.tiscali.it
 > 217.5x.xxx.0:
icmp: echo request (DF)
16:15:41.429824 
host141-203.pool80180.interbusiness.it
 > 217.5x.xxx.0: icmp:
echo request
16:15:41.437654 
host83-11.pool80183.interbusiness.it
 > 217.5x.xxx.0: icmp:
echo request (DF)
16:15:41.443675 
ppp-217-133-156-18.cust-adsl.tiscali.it
 > 217.5x.xxx.0:
icmp: echo request (DF)
16:15:41.449673 
host83-11.pool80183.interbusiness.it
 > 217.5x.xxx.0: icmp:
echo request (DF)
16:15:41.455728 
ppp-217-133-156-18.cust-adsl.tiscali.it
 > 217.5x.xxx.0:
icmp: echo request (DF)
16:15:41.493719 
host141-203.pool80180.interbusiness.it
 > 217.5x.xxx.0: icmp:
echo request
16:15:41.499612 
host83-11.pool80183.interbusiness.it
 > 217.5x.xxx.0: icmp:
echo request (DF)
16:15:41.505600 
ppp-217-133-156-18.cust-adsl.tiscali.it
 > 217.5x.xxx.0:
icmp: echo request (DF)
16:15:41.513709 
host83-11.pool80183.interbusiness.it
 > 217.5x.xxx.0: icmp:
echo request (DF)
---
La macchina che "sniffa" l'ho predisposta ad hoc per questo lavoretto;
pensate che di queste righe il buon tcpdump ne genererà 30-40 al secondo!!!
Ho mascherato l'IP della mia rete ma ho lasciato in chiaro gli altri; come
potete notare arrivano dalla rete Interbusiness e Tiscali, domani al
massimo mi metterò ad analizzare il log completo ma, a naso, sembra che gli
IP di provenienza si ripetano sempre (o quasi).
A proposito, conoscete qualche sw che mi permetta di evitare di impazzire x
"scremare" i log di tcmdump? Pensavo di scrivermi un parserino in C ma il
tempo è tiranno!!
Comunque ringrazio tutti x le risposte, buona giornata.
ZEuS

 Per non ricevere questi echo request *credo* tu non possa fare nulla.
Penso anch'io così. Sigh!
Bye,
ZEuS

 Penso anch'io cosě. Sigh!
Il colmo e' che, se la tua ADSL viene fatturata (anche in parte) a consumo,
rischi di pagarli...

 consumo, rischi di pagarli...
Non toccare questo tastooo!! Prima avevamo una HDSL a traffico e l'abbiamo
tolta dalla disperazione!! :-((((((
Il problema era che, appunto, veniva fatturato *tutto*, pertanto ci
trovavamo a pagare bollette salatissime senza peraltro aver generato
traffico utile; e li credo che non ci sia firewall di sorta, in quanto
tutte le connessioni al webserver che generano i vari worm te le ritrovi in
bolletta... e sono tante, te lo garantisco!!! :-((((
L'esperienza ha fatto si che questa linea sia "flat", ma ora il problema si
sposta sulla banda intasata, il che mi da non poco fastidio!
Saluti,
ZEuS!

 ZEuS
di nulla.
ciao

 tempo è tiranno!!
grep o sed dovrebbero bastare, nella maggior parte dei casi.
 
Fabio

 ciao
Ancora grazie, buona giornata!
ZEuS

 Be', non proprio... direi che "_apparentemente_ arrivano da", per ora.
Certissimo, ovvio che x ora prendo per buoni questi indirizzi, IP che
eventualmente comunicherň all'abuse. Poi ci penseranno loro (almeno spero).
Ancora un grazie 1000,
ZEuS.

 Be', non proprio... direi che "_apparentemente_ arrivano da", per ora. 
Vedi cosa intendo quando dico "maestro", tali finezze lo dimostrano :-)
cya
Banana

 (almeno spero).
Gli indirizzi che tu vedi come sorgente del traffico sono le 
_vittime_, non i responsabili, se e' uno smurf. Potrai avere
una parziale conferma di questo quando avrai i log con i ttl
degli "echo request", per verificare se sono coerenti con la
distanza tra te e la sorgente apparente. Sempre solo indizi.
La segnalazione all'abuse servirebbe, teoricamente, solo per
potere cercare di tracciare gli echo a ritroso verso la vera
sorgente e, eventualmente, cercare di proteggere le macchine
obiettivo, ma non penso che tin si muova per prendere simili
provvedimenti per una cosina a questi livelli. Prova.
In ogni caso, se sei fortunato, la cosa smettra' nel momento
in cui si accorgeranno che hai un fattore d'amplificazione 0
o 1. Se invece sono pigri e non aggiornano le liste... forse
farai prima a cambiare provider.
Fabio

 Eccovi qualche righetta:
Sono troppo pochi i dati per capire se si tratta di uno smurf o di un
ddos diretto a te, cioe' se si tratta di un attacco a te diretto
(inefficace, pare, dato che 30 al secondo occupano una minima banda
sulla tua xDSL) oppure a vieni effettivamente utilizzato come mezzo
(smurfer).
Come minimo dovresti indicare il TTL e/o altri dati, in modo da
confrontarlo con quello che ti aspetti da quelle macchine.
io di solito faccio un capture completo con tcpdump -w file -s 1560 ,
oppure con snort -db (se non ricordo male).
Inoltre, potresti usare pOf per capire di che macchine si tratta, sempre
che quei paccheti icmp siano sufficienti a fare il fingerprinting.
Per il resto, dovresti contattare il tuo upstream provider per chiedere
di collaborare nel tracciare la sorgente del problema, anche se... per
una dsl non si muove nessuno. il filtraggio, ovviamente, e' inutile se
non a valle del filtraggio stesso. 
Hai controllato che effettivamente il tuo fattore di amplificazione e'
nullo? io farei una prova, fossi in te: magari sei ancora mal
configurato e non lo sai...


 capito chi sono, vero? :-P
Adesso si, anche se un sospetto mi era venuto :-) 
Fabio

 configurato e non lo sai...
Se per "fattore di amplificazione" intendi la reazione agli echo request
delle macchine, attualmente *nessuna* risponde e ne sono sicurissimo;
l'unico "pezzo" del puzzle che non posso fermare è il router Pirelli (puah)
che, purtroppo, invia gli echo-reply!!
La prima cosa che avevo fatto a suo tempo (non appena mi sono accorto del
casino) è stato di impedire *qualsiasi* echo reply sulle macchine
interessate, sia per indirizzi di rete/broadcast che per qualsiasi altro;
ne consegue che, purtroppo, ho perso la possibilità di far "ping
www.miosito.it
" a scopo diagnostico da qualsiasi host esterno ma solo il
fatto di non rispondere più a sti' ca**o di ping mi da un senso di
sollievo!
Beh, per ora non posso che esserti alquanto grato per le tue risposte,
sicuramente provenienti da una persona competente!!
Tnx e saluti,
ZEuS.

 senso di sollievo!
hai, diciamo, "rotto" una delle funzionalita' di rete. Sebbene alcuni
esperti (sic!) di rete suggeriscano di rendere stealth (rofl) le proprie
macchine per renderle piu' sicure, cio', di fatto, non fa altro che
creare maggior confusione in certe situazioni. Quindi ti suggerisco di
abilitare l'ingresso degli echo-reply per le singole macchine (almeno
quelle che devono essere raggiungibili da fuori), vietarlo per gli
indirizzi peculiari (rete e broadcast), e cercare di farti configurare
per benino il pirelli.
Poi, se posti qualche log completo di snort/tcpdump (quindi con il ttl e
tutto il resto) magari qualcuno puo' darti una mano a capire qual e' il
tuo ruolo nella vicenda (fabio oramai fa il finger printing dei s.o.
telepaticamente, e sapra' darti qualche indicazione se si tratti di
pacchetti forgiati o pacchetti buoni - potrebbero essere zombie su una
rete p2p se non altro... ci sono un mucchio di possibili spiegazioni.)


 rete p2p se non altro... ci sono un mucchio di possibili spiegazioni.)
Cosa intendi con questo? Scusa la domanda magari da "igno", ma cosa c'entra
una rete p2p?
Non vorrei essere troppo rompip***e con le mie domandine, ma è sempre meglio
chiedere a chi ne sa D+!!!
Saluti & Grazie!!
ZEuS

 meglio chiedere a chi ne sa D+!!!
Finche' non si ricasca sulle solite domande trite e ritrite, e' ok,
anzi, un piacere disquisire.


 anzi, un piacere disquisire.
E' stato un piacere anche per me; colgo anche l'occasione per fare a te ed a
tutti gli altri frequentatori del NG i miei migliori auguri di Buone Feste
e Felice Anno Nuovo!!!!!
Da venerdě sono ufficialmente in ferie... eheh... vedremo se al mio ritorno
(il 7 Gennaio :-)) quella benedetta linea si č fusa o no... ;-)))))
Ciao ed ancora grazie!!
ZEuS