Newsgroup: it.comp.sicurezza.varie
Titolo: Korea all'attacco

Ecco cosa mi e' magicamente apparso questa sera sul log del firewall 
(Outpost):
HAMSTER Rule #1  HAMSTER.EXE  07/11/02  19.01.33  211.38.163.198  1217 
Inbound  TCP  SMTP  LocalHost
Che, detto in parole povere, credo significhi che il simpatico IP in 
questione ha tentato di connettersi al MIO server smtp locale 
(nell'occasione, Hamster)!!!
La cosa mi viene ulteriormente confermata da quest'altro log:
07/11/02 20.01.31  Connection request  211.38.163.198  TCP(25)
Ovvero un tentativo di intrusione sulla porta 25 (quella dell'smtp, 
giusto?), esattamente un'ora dopo il primo assalto.
Essendomisi discretamente girate le palle, faccio una bella ricerchina 
su quest'IP tanto molesto, ed ecco i risultati:
inetnum:      211.32.0.0 - 211.39.255.255
netname:      KRNIC-KR
descr:        KRNIC
descr:        Korea Network Information Center
country:      KR
admin-c:      HM127-AP
tech-c:       HM127-AP
remarks:      ******************************************
remarks:      KRNIC is the National Internet Registry
remarks:      in Korea under APNIC. If you would like to
remarks:      find assignment information in detail
remarks:      please refer to the KRNIC Whois DB
remarks:      
http://whois.nic.or.kr/english/index.html
remarks:      ******************************************
mnt-by:       APNIC-HM
mnt-lower:    MNT-KRNIC-AP
changed:      
hostm...@apnic.net
 19990827
changed:      
hostm...@apnic.net
 20010606
status:       ALLOCATED PORTABLE
source:       APNIC
person:       Host Master
address:      11F, KTF B/D, 1321-11, Seocho2-Dong, Seocho-Gu,
address:      Seoul, Korea, 137-857
country:      KR
phone:        
+82-2-2186-4500
fax-no:       
+82-2-2186-4496
e-mail:       
hostm...@nic.or.kr
nic-hdl:      HM127-AP
mnt-by:       MNT-KRNIC-AP
changed:      
hostm...@nic.or.kr
 20020507
source:       APNIC
inetnum:      211.38.160.0 - 211.38.163.255
netname:      KORNET-INFRA-KR
descr: 	      KOREA TELECOM
descr: 	      128-9 Yungun-dong Jongro-gu
descr: 	      SEOUL
descr: 	      110-460
country:      KR
admin-c:      HC1307-KR
tech-c:       HC1308-KR
remarks:      This IP address space has been allocated to KRNIC.
remarks:      For more information, using KRNIC Whois Database
remarks:      whois -h 
whois.nic.or.kr
mnt-by:       MNT-KRNIC-AP
remarks:      This information has been partially mirrored by APNIC from
remarks:      KRNIC. To obtain more specific information, please use the
remarks:      KRNIC whois server at 
whois.krnic.net
.
changed:      
hostm...@nic.or.kr
 20021104
source:       KRNIC
person:       Hyunsun Choi
descr: 	      KOREA TELECOM
descr: 	      128-9 Yungun-dong Jongro-gu
descr: 	      SEOUL
descr: 	      110-460
country:      KR
phone: 	      
+82-2-766-1407
fax-no:       
+82-2-766-5901
e-mail:       
pac...@soback.kornet.net
nic-hdl:      HC1307-KR
mnt-by:       MNT-KRNIC-AP
remarks:      This information has been partially mirrored by APNIC from
remarks:      KRNIC. To obtain more specific information, please use the
remarks:      KRNIC whois server at 
whois.krnic.net
.
changed:      
hostm...@nic.or.kr
 20021104
source:       KRNIC
Caspita, i koreani stanno cercando di invadere il mio computer!
Riflettendoci un po' su, ho pensato che, viste le implicazioni del 
server smtp, fosse un qualche tentativo piu' o meno occulto di spamming, 
cosa in cui i koreani ultimamente sono maestri. Voi che ne pensate?
-- 
Io vivo in un sogno
dal quale non riesco a destarmi.

 cosa in cui i koreani ultimamente sono maestri. Voi che ne pensate?
Potrebbe essere un tentativo di spam o una semplice scansione alla
ricerca di open relay. Non capisco le due righe di log diverse per
quello che dovrebbe essere lo stesso evento (un SYN non ACKato dal
tuo HAMSTER, in teoria). Se invece il tuo hamster ha risposto alla
prima scansione (non capisco quella riga di log) vuol dire che hai
il server SMTP che accetta connessioni dall'esterno e quindi te le
stai cercando :)
In conclusione: secondo me ti stai stai scaldando un po' troppo per
cose che sono all'ordine del giorno. Se ti serve che il server stia
in ascolto sull'interfaccia pubblica devi soltanto aver cura di non
lasciare scoperte eventuali vulnerabilita' e di configurare in modo
opportuno il relay. Le attivita' che possono avvenire sul server di
posta, poi, possono essere giudicate solo in base alle azioni fatte
e non alle intenzioni: un server di posta e' un server di posta. Le
intenzioni dell'admin su come regolare/proteggere accesso e servizi
le puoi capire solo provando ad usarlo. Se loro avessero voluto far
pervenire un messaggio al postmaster di quel server, ad esempio, te
lo avrebbero usato per scopi perfettamente leciti, non ti pare? Che
poi fosse quasi certamente un tentativo di abuso e' scontato. Ma in
mancanza di altre evidenze nulla si puo' dire: un server smtp sulla
interfaccia pubblica di una macchina e' fatto per ricevere posta da
fuori, fino a prova contraria (IMHO), e la prova contraria ce l'hai
solo quando ricevi un errore 500.
Se invece non ti serve che ascolti verso l'esterno levalo da li, no?
Fabio

 Se invece non ti serve che ascolti verso l'esterno levalo da li, no?
Ma povero, io gli voglio tanto bene al mio cricetino...


 piu' molto senso!
Si, se ti riferisci al fatto che e' in ascolto solo in locale.
No (IMHO, eh?) se ti riferisci al fatto che vuoi poterlo usare
solo tu. Se e' questo a cui ti riferisci dovresti essere tu ad
inibirne l'utilizzo da parte d'altri se vuoi metterlo su un ip
pubblico. Non e' il tuo caso, comunque.
Fabio

 non avendo ricevuto risposta al primo tentativo. Boh.
Perseverare e' diabolico. E infatti i koreani li chiamano i "Red 
Devils"... ^__^



fai un nslookup sugli IP che ti assaltano e vedi un po' se per caso
uno di essi corrisponde all'host 
BYRON.MORENO.EC
Danny che PROPRIO non ha potuto resistere

 Danny che PROPRIO non ha potuto resistere
Dopo che IO avevo fatto di tutto per resistere, e c'ero pure riuscito... 
^___^;;;
