Newsgroup: it.comp.sicurezza.varie
Titolo: consiglio

Volevo sapere come fare a capire che una rete è stata preda di hacker
leggendo dei log a se c'è un modo , un prodotto per monitorizzare la rete e
capire facilmente questo genere di cose.
Qualcuno di voi ha avuto queste ruchieste da investogatore ?
Premetto e chiedo anche un vostro parere su quanto accaduto ,che ad un
cliente è arrivata una bolletta salatissima su un hsdl in cui la maggior
parte del traffico era in uscita dalla rete ?
grazie per i vari pareri
J

 maggior parte del traffico era in uscita dalla rete ?
in uscita, potrebbe verosimilmente essere stato per un certo periodo un
open relay, un proxy, un worm o un anonymous ftp aperto in scrittura
(qual e' quel termine che si usa in questi casi.......?)
-- 
HappyCactus - Linux User #209744
* 
http://sourceforge.net/projects/qixl
* 
www.google.com
 / 
groups.google.com

 (qual e' quel termine che si usa in questi casi.......?)
Pollo ? :-)
Un Paperino interrogativo.

 Blaster ed i suoi magici scan: ci scommetterei. :)
Tanto da provocare un aumento enorme della bolletta? Non ho riferimenti
a riguardo, pero' potrebbe anche essere una ipotesi.


 a riguardo, pero' potrebbe anche essere una ipotesi.
Il rate di invio di pacchetti e' piuttosto alto sia durante il flood sia 
durante la propagazione del worm. Una decina di mega al giorno di SYN si
fanno tranquillamente, per quello che ho potuto vedere, per ognuno degli
host interni su cui e' in esecuzione il worm. Anche quei nuovi malware a
uso degli spammer potrebbero essere buoni candidati, senza parlare di un
sito warez impiantato su una delle loro macchine. Insomma... scenari che
giustifichino il traffico ce ne sono e soprattutto son tutti scenari che
prevedono il persistere del problema fino a che non viene eradicato [1].
Quindi, jhonny, non resta che recarsi dal cliente per dare un'occhiatina
alle sue macchine ed al traffico di rete che generano: indipendentemente
dal fatto che fossero in esecuzione sistemi di intrusione detection, non
dovrebbe essere difficile capire cosa sta accadendo.
Fabio
[1] una eccezione potrebbe essere quella backdoor per siti spamvertized
    che installa un web server temporaneo sulle macchine attaccate, che
    rimane in funzione per pochissimo tempo e poi si disattiva da solo.
    Non ricordo piu' il nome ma e' roba d'un paio di mesi fa.

 ha scritto nel messaggio
news:MPG.1a00d257...@powernews.libero.it...


     Non ricordo piu' il nome ma e' roba d'un paio di mesi fa.
Letto anche io ma non ho trovato molti riferimenti. se trovi link
interessanti posta, plz...
'ao
-- 
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
The Skull says:
Stop VeriSign. Go to 
http://www.whois.sc/verisign-dns/
* The most stupid thing since Microsoft Network... <g> *

     Non ricordo piu' il nome ma e' roba d'un paio di mesi fa.
AFlooder ?
Saluti, Anto
--
Se le regali dei cioccolatini, č a dieta.
Se le regali dei fiori, č allergica.

 AFlooder ?
Migmaf.
Anche se dalla lettura dell'analisi [1] trovo qualche aspetto simile ad
AFlooder: la misurazione della banda tramite collegamenti a microsoft e
l'invio di statistiche al master server. Mancano le stringhe citate e i
controlli di Keyboard Layout\Preload. AFlooder usa dei nomi diversi per
i file e usa dei diversi sistemi per caricarsi. In comune, pero', hanno
il fatto di essere legati a doppio filo al mondo dello spam: potrebbero
essere due facce della stessa medaglia.
Fabio
[1] 
http://www.lurhq.com/migmaf.html

 interessanti posta, plz...
L'articolo su bugtraq:
http://cert.uni-stuttgart.de/archive/bugtraq/2003/07/msg00131.html
L'analisi:
http://www.lurhq.com/migmaf.html
... le incredibili keyword usate :-)
http://www.google.it/search?q=%22web+server%22+dns+%2210+minutes%22
(un po' in fondo ma... c'e'!)
Fabio google is our friend :-)
PS: usa il principio del proxy trasparente aperto e delle viste dns
    basate sull'ip del client. Non trovando abbastanza proxy aperti
    hanno ben pensato di installarseli da se.

 (un po' in fondo ma... c'e'!)
ma ROTFL :-D
