Newsgroup: it.comp.sicurezza.varie
Titolo: attacco nuke(un pò lunghetto)

Che devo fare ora ?
niente perchè un ping sulla 1080 non è un abuso.
Frankj
--
ICQ# 15068478 
e-mail:fra...@ircitalia.com
http://www.chez.com/pizzairc
news:alt.irc.mirc.scripts.pizza
*** Windows 95 Optimization pack *FREEWARE*
    Including 
FORMAT.COM
 and DELTREE.EXE ***

Salve a tutti...
mi collego spesso a Icq...ed altrettanto spesso mi capita che si blocchi
tutto dovendo riavviare completamente il Pc. Sospettando attacchi tipo nuke
ecc. ecc. ho installato il nuke nabber 2.9 a...e oggi ho beccato un tizio.
tra l'altro stavo facendo un download di quelli possenti...e si č bloccato
tutto...con perdita dei dati. Purtroppo non avevo usato getright o simili
(mea culpa).
Allora nuke nabber dice : "[10/24/1999 12.46.04.340 GMT +0200 Connection:
d212-151-231-133.swipnet.se
 [212.151.231.133] on port 1080 (tcp)
[10/24/1999 12.46.04.450 GMT +0200] port 1080 is now disabled for 60 seconds
Intelligent report afferma:
[10/24/1999 12:46:05.550 GMT+0200]Report Generated for
d212-151-231-133.swipnet.se
 (212.151.231.133)
Report timed out.
Ho cercato IP tramite ricerca whois e questo č l'esito:
whois 212.151.231.133
% Rights restricted by copyright. See
http://www.ripe.net/db/dbcopyright.html
inetnum:     212.151.0.0 - 212.151.255.255
netname:     SE-SWIPNET-990408
descr:       Provider Local Registry
descr:       SWIPNET
country:     SE
admin-c:     HD161-RIPE
tech-c:      HN413-RIPE
tech-c:      IPR2-RIPE
status:      ALLOCATED PA
mnt-by:      RIPE-NCC-HM-MNT
changed:     
hostm...@ripe.net
 19990408
source:      RIPE
route:       
212.151.0.0/16
descr:       SWIPNET
origin:      AS1257
advisory:    AS690 1:1800 2:1133 3:1240
notify:      
st...@swip.net
mnt-by:      AS1257-MNT
changed:     
i...@swip.net
 19990617
source:      RIPE
person:      Helen Dagerus
address:     Tele2/SWIPnet
address:     Box 62
address:     S-164 94 Kista
address:     Sweden
phone:       +46 8 56 26 4000
fax-no:      +46 8 56 26 4210
e-mail:      
dag...@swip.net
nic-hdl:     HD161-RIPE
mnt-by:      DK-DOMREG
changed:     hostm...@DK.net 19970228
changed:     
hostm...@dk-hostmaster.dk
 19981005
source:      RIPE
person:      Hans Niklasson
address:     Tele2 AB
address:     Borgarfjordsgatan 16
address:     S-16494 Kista
address:     SWEDEN
phone:       +46 8 5626 40 00
fax-no:      +46 8 5626 42 00
e-mail:      
regist...@swip.net
nic-hdl:     HN413-RIPE
changed:     
r...@ipb.dk
 19980330
changed:     
auto-...@denic.de
 19990714
source:      RIPE
person:      IP Registry
address:     Tele2/SwipNET
address:     Borjarfjordsgatan 16
address:     S-164 94 Kista
address:     Sweden
phone:       +46 8 5626 4000
fax-no:      +46 8 5626 4210
e-mail:      
i...@swip.net
nic-hdl:     IPR2-RIPE
changed:     
i...@swip.net
 19981001
source:      RIPE
Sono andato al sito 
http://www.swip.net
 e mi da come indirizzo: To get in
touch with our Abuse departement, mail 
toa...@swip.net
Che devo fare ora ?
mi affido al buon cuore di qualcuno del Ng se sa aiutarmi a come buttare giů
qualcosa per segnalare ...
si puň fare qulacos'altro ?
Grazie infinite per il Vostro interessamento.
Ciao Alcmeone


This is to inform you that on October 24th, 1999, at 12:46 GMT+0200, one of
your hosts (212.151.231.133) was apparently engaged in a portscan in search
of a proxy or SOCKS relay service on the xxx.xxx.xxx.0/24 network.
Although no damage was actually done, we would like to know how do you deal
with such problems.
With regards,
.......
======
Leonardo
".signature": bad command or file name

 qualcosa per segnalare ...
Devi segnalare (in inglese) che sul tuo sistema hai registrato un
portscan sulla porta 1080, presumendo che qualcuno stesse cercando un
socks server. Ricorda di indicare l'address di provenienza e l'ora
esatta dell'evento.
-- 
Vincent

".signature": bad command or file name
Grazie infinite a tutti !!!! provvederò oggi stesso a spedire...la
missiva....vi terrò informati se avrò risposta...
Ciao..Alcmeone

missiva....vi terrò informati se avrò risposta...
prevedo una risposta con x-post su i.f.c :)

prevedo una risposta con x-post su i.f.c :)
scusa la mia ignoranza....ma puoi spiegarmi che hai scritto ?
Ciao Alcmeone...

 Vincent
Accidenti... tutto sto macello per una semplice telnet sulla 1080?!?!?!? non mi
sembra ke sia illegale fare una telnet perkui kosa segnalil???
[][][][][][][][][][][][][][][][][][][][][][][][][][][][][][]
[]Saluti dall'alto_elfo                                   []
[]Remove # & use ROT-13 for replay to e-m@il.             []
[]L'iMMaGiNaZioNe e' L'uNiCo LiMiTe DeLLa RiSoRSa CHiaMaTa[]
[]uoMo.                                                   []
[]THiNK PoSiTiVe, THiNK BeTTeR, THiNK eLF!!!              []
[][][][][][][][][][][][][][][][][][][][][][][][][][][][][][]


wrote:
Patchalo: 
www.icqh.com
 
CiauZ.
*MerLiNo*
MerLiNoZ_Hack Webmaster
http://space.tin.it/clubnet/abgepa
PGP Key Available on site.


Tra le parentesi quadre [] devi mettere il tuo vero indirizzo email!

 sembra ke sia illegale fare una telnet perkui kosa segnalil???
La segnalazione va al responsabile del dominio da cui parte lo scan e
non alle autorità, quindi non è una denuncia e non ho alcun obbligo di
chiedermi se ci sono gli estremi di illegalità. Con questa segnalazione
dico semplicemente che un cretino ha cercato cercato una connessione con
la porta 1080 dove secondo gli standard risponde il socks server. A
questo punto, si può proseguire l'argomento in due modi:
1 - constatare l'evidenza, ovvero che l'unica ragione plausibile per cui
una persona "pinga" la porta 1080 è quella di cercare un servizio socks
da utilizzare con o senza l'autorizzazione del sysadmin
2 - continuare a prendersi per il culo come più o meno stai facendo tu,
invocando la libertà di fare "telnet" dove si vuole
Il responsabile è libero di scegliere anche la risposta 2. Sta di fatto
che se quel cretino nei suoi vari tentativi trova effettivamente un
socks server e lo usa, l'azione cade realmente nel penale e non troverà
più letterine amichevoli come la mia bensì delle fiammanti denuncie. 
Come vedi, siamo tutti liberi. Liberi anche di prendersi per il culo e
raccontarsi che la gente va in giro a scansionare le porte 1080, 25,
12345 in nome della libertà di pingare. L'importante è che, a parte le
chiacchiere buttate lì tanto per dire, si sia consapevoli di cosa si sta
parlando (tu lo sei?)
PS: mi piacerebbe anche giocare d'azzardo, qualche volta. Tipo scrivere
un bel programmino che appena riceve una connessione sulla porta 1080
mandi una fraccata di mail ingiuriose alla gdf, e contemporaneamente mi
avvisa in modo che io possa andare immediatamente dai carabinieri a
denunciare che qualcuno (con indirizzo x.x.x.x) ha usato il mio servizio
socks contro la mia volontà di sysadmin. Appena la gdf si presenta da me
a chiedermi spiegazioni riguardo alle mail, io presento loro la denuncia
ai carabinieri dicendo "Mi spiace, come potete vedere sono vittima di un
abuso. Controllate pure, qualcuno si è connesso a me il giorno xx alle
ore xx con indirizzo xx.xx.xx.xx. Andiamo insieme ad inculare il
responsabile?" :-)
-- 
Vincent


Questo mi sembra eccessivo... daccordo sulla sikurezza... pero' facendo kosi'
faresti passare delle grane solo alla gente ke ne mastika poko di pc... perke'
uno ke ne kapisce non ti fa una telnet diretta sulla 1080 per vedere se hai un
sock (se te lo vuole fottere).
Mi spiace dai toni della tua lettera ke tu l'abbia preso in modo offensivo, ti
ripeto non era mia minima intenzione.
Era piu' ke altro kuriosita' nel sapere ke tipo di provvedimenti bisogna
adottare in kasi di questo tipo ( e su quesot mi hai risposto ).


connettiti ad un qualsiasi server irc..la maggior parte prima di farti
accedere ti controlla la 1080...vuoi fare un relay alla gdf anche a
loro? La scansione è legale..l'_eventuale_ utilizzo non autorizzato
no.


 sock (se te lo vuole fottere).
Guarda che nel 99% dei casi il socks non lo vogliono fottere, lo
vogliono solo usare. Se sai cos'è uno socks server puoi anche capire per
quale scopo.
-- 
Vincent

 no.
Mi pareva di essere chiaro, non parlavo di legalitą o meno.
-- 
Vincent

 prevedo una risposta con x-post su i.f.c :)
A parte che semmai e' IFQ ^____^

 ip era entro il range skannato.
Mi è capitato _una_ (1, u n a) volta che un tizio aveva sbagliato a scrivere
l'indirizzo su cui telnettare. Ed era evidente, l'ho contattato solo per
scrupolo,
in quanto c'era _un_ tentativo alla 23. Capita anche a me di voler fare
telnet
smtp.libero.it
 per vedere se è un relay e dimentico di indicare la porta.
Ma negli altri casi (se mi va bene due o tre al giorno) fanno un portscan di
un'intera rete (vanno a classi C, in genere). E non vedo nessuna ragione
legale per fare ciò. Se ne esiste una fatemelo sapere.


sock (se te lo vuole fottere).
Da come la vedo io chi mastica *poco* non va in giro facendo telnet a
destra e a manca: o non sa nemmeno che esiste (il 98%dei casi) oppure
si limita ad usarlo in casi sporadici (es: per libersi la casella
postale dopo un mailbombing) e su server che conosce *bene*.
Il trattamento sopra indicato potrebbe anzi essere un ottimo sistema
per abbassare un po' la cresta a tutti i lamerozzi ignoranti che
girano per la rete...
Un *MerLiNo* stufo dei ping sulla 12345


 quale scopo.
Si certo fottere nel senso usare senza in modo illegale.


 [Snip sulle makkine ke le rubo dal vero ;)P]
Questi sono fatti tuoi...
-- 
Vincent

accedere ti controlla la 1080...vuoi fare un relay alla gdf anche a
per cosa, scusa ?