Newsgroup: it.comp.sicurezza.varie
Titolo: dns hijacking

É la seconda volta, che mi capita questo:
 
dig @
8.8.8.8
 
google.com
 
 
; <<>> DiG 9.8.4-rpz2+rl005.12-P1 <<>> @
8.8.8.8
 
google.com
 
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 10742
;; flags: qr rd ra; QUERY: 1, ANSWER: 12, AUTHORITY: 0, ADDITIONAL: 0
 
;; QUESTION SECTION:
;
google.com
.                    IN      A
 
;; ANSWER SECTION:
google.com
.             299     IN      A       151.21.210.110
google.com
.             299     IN      A       151.21.210.89
google.com
.             299     IN      A       151.21.210.95
google.com
.             299     IN      A       151.21.210.82
google.com
.             299     IN      A       151.21.210.103
google.com
.             299     IN      A       151.21.210.88
google.com
.             299     IN      A       151.21.210.123
google.com
.             299     IN      A       151.21.210.96
google.com
.             299     IN      A       151.21.210.109
google.com
.             299     IN      A       151.21.210.102
google.com
.             299     IN      A       151.21.210.117
google.com
.             299     IN      A       151.21.210.116
 
;; Query time: 41 msec
;; SERVER: 8.8.8.8#53(8.8.8.8)
;; WHEN: Thu Apr 24 20:30:57 2014
;; MSG SIZE  rcvd: 220
 
host 151.21.210.39
39.210.21.151.in-addr.arpa domain name pointer 
ppp-39-210.21-151.libero.it
.
 
Rebooto il router e torna normale.
Quegli ip di libero, mostrano la pagina di google!
 
Il router é il bacato wag200, ma il programma per l'exploit é disattivato (ed
infatti non risponde sulla 32764).
In /etc/resolv.conf ci dovrebbero essere solo 8.8.8.8 e 8.8.4.4 (ce li ho messi
io qualche giorno fa, ma non posso verificarlo)...
Come cavolo sono entrati?
Il pc che uso e che ha bind, non risente del problema.
 
 
 
-- 
+---------------------------------------------------------------------------+
|    La paranza e' la danza di una stronza che, sull'isola di Ponza,        |
|    si tirava  la patonza.                                                 |
+-----#21--------------------Campagna contro le pubblicita` idiote.---------+

Quegli ip di libero, mostrano la pagina di google!
 
Gia'. E fatta anche bene, sembrerebbe un proxy. Manda pure il certificato di
Google e tutto il resto.
 
Ma mi sembra strano che una intera sottorete di Libero sia tutta craccata. I
punti che citi sono tutti in  
151.21.210.0/24
, e ce ne sono DODICI!
 
Sembrerebbe piuttosto che sia Libero a fare qualcosa di strano.
 
Ad avere tempo, userei una VM sagrifiabile per dirgli che 151.21.210.123 e',
veramente, "
www.google.it
", e vedere cosa succede con una login a perdere.
 
Leonardo
 
-- 
 
Then felt I like some watcher of the skies, when a new planet swims into his ken;
Or like stout Cortez when with eagle eyes, he star'd at the Pacific; and all his men
Look'd at each other with a wild surmise - silent, upon a peak in Darien.

 
google.com
.             299     IN      A       151.21.210.110
 
[CUT]
 
Interessante :)
ho chiesto ad un mio contatto in Wind, se avrò risposte utili riporterò qui.
 
Gabriele
 

 ; <<>> DiG 9.8.4-rpz2+rl005.12-P1 <<>> @
8.8.8.8
 
google.com
 
[CUT]
 
Dimenticavo, ma se aggiorni BIND cosa vedi?
 
Gabriele
 

 Sembrerebbe piuttosto che sia Libero a fare qualcosa di strano.
 
Quello che temo, ï¿œ che ci sia qualcosa di strano in me.
Sicuro, ï¿œ che riavviando il modem router, sparisce il problema.
 
 
-- 
+---------------------------------------------------------------------------+
|  Chi va con lo zoppo, impara a zoppicare.                                 |
|  Ma se lo zoppo va con uno sano, smette di zoppicare?                     |
+-----#22--------------------Campagna contro le pubblicita` idiote.---------+

 Dimenticavo, ma se aggiorni BIND cosa vedi?
 
In che senso?
Bind ï¿œ nel pc che sto usando, ma era rimasto spento.
La query che ho postato, ï¿œ stata fatta su un raspberry, in cui mi ero collegato
per ordinaria manutenzione all'occasione al mio pc con ssh.
Facendo dal raspberry, dig @ip-del-mio-pc-con-bind, veniva il vero google.
Non ho fatto altre prove, purtroppo.


 Non ho fatto altre prove, purtroppo.
 
OK comunque spero di poterti dare una risposta nei prossimi giorni, perché è 
interessante!
 
ciao
Gabriele
 

 (ed infatti non risponde sulla 32764).
 
Il fatto che non risponda più su quella porta non vuol dire....
 
http://tinyurl.com/mfaetpf
 
 
 
-- 
Stefano L.

 dig @
8.8.8.8
 
google.com
 
 
[cuttone]
 
se ti ricapita, prova quanto segue
 
dig +trace 
google.com
 @
8.8.8.8
 
 
e vedi (se e) cosa salta fuori dal trace :)
 

 
http://tinyurl.com/mfaetpf
 
 
Sorry, ma conosco benissimo la storia!
Ma se il programma che deve stare in ascolto (scfgmgr) non ï¿œ in esecuzione (aka
kill -9 scfgmgr dato da root), non c'ï¿œ santo che tenga.
E per sicurezza, ha fatto la stessa fine un certo "download" che sarebbe una
utility della stessa sercomm!!!
Va detto che poi, che in queste condizioni, ben poche pagine del "setup"
riescono a funzionacchiare seppur parzialmente...
 
 
-- 
+---------------------------------------------------------------------------+
|    Etiam eu urna pellentesque, iaculis lectus a, venenatis ante.          |
|                                                                           |
+-----#1---------------------Campagna contro le pubblicita` idiote.---------+

 e vedi (se e) cosa salta fuori dal trace :)
 
 
Proveró ogni tanto a connetermi dall'ufficio per vedere.
 
-- 
+---------------------------------------------------------------------------+
| Non prendete la vita troppo sul serio, comunque vada non ne uscirete vivi.|
+-----#4--------------------------------------Diamanti di saggezza.---------+

Quello che temo, é che ci sia qualcosa di strano in me.
 
Nao. Le macchine rispondono come Google, ed effettivamente riescono ad
effettuare login su Google su account ai quali Google non significa il
minimo problema.
 
Test fatti dalla rete di Libero (151.40.79.22), account a perdere.
 
Potrebbe essere il padre di tutti i man-in-the-middle attack, anzi per
lo meno il trisnonno; ma secondo me e' un qualche mirroring fatto dopo
apposito accordo con Big G.
 
Oppure e' hackerato il nodo subito PRIMA, per cui tutta quella rete in
realta' e' un unico trappolone e 151.21.210.45 (ad es.) non e' neanche
raggiungibile davvero. Il che sarebbe un MitM non solo colossale ma in
piu' anche inutile.
 
Nah. Comunque si puo' provare a scrivere a Google o Infostrada...


 apposito accordo con Big G.
 
A parte pensare ad un accordo di big-g, anche a me sembra troppo un mirroring.
Non proprio perfetto, ma sempre un mirroring.
Ma a quale scopo? Non mi sembra che google sia a corto di ip, e quï¿œ ce ne sono
addirittura 108.
Poi con quale sicurezza? Come molti ho un'estensione di iceweasel che mostra
l'ip della pagina. Se apro una pagina e non vedo un ip che conosco come il
solito di google...
Poi i dns di google e di opendns si farloccano a casaccio, prima uno, poi
l'altro, poi entrambi?
Se metto come dns quelli canonici di libero, non ho il farloccamento?
Potrei capire che se uso i dns di libero, e se ha realmente stretto un accordo
con big-g, questi mi faccia il redirect ai suoi ip fake, ma a che pro farlo
con chi usa gli altri dns...
 
Ora ammettiamo pure che si sia (o mi abbiano) sputtanato il firmware del mio
router, a che pro cambiare i reindirizzamenti continuamente, lasciando i dns
di default che si autoimposta alla connessione, funzionanti.
Io mi sono accorto del fatto unicamente perchï¿œ ho provato a cambiare i canonici
dns del router con quelli di google in /etc/resolv.conf del router...
 
Francamente ci sto capendo ancor meno di prima...
 
Ammenochï¿œ, casino per casino, quelli di libero abbiano fatto casini di
configurazione o stiano facendo fare lavori a qualche stagista e quello che
vediamo ï¿œ solo il risultato di casini^2 ed io mi sto facendo delle inutili
seghe mentali...
 
-- 
+---------------------------------------------------------------------------+
|  Sappi che la mia spocchiosita' depressiva con pulsione                   |
|  all'autodemolizione e' allo studio di menti brillanti del mondo della    |
|  psichiatria.  Hanno promesso di spiegarmi che cosa ho detto.             |
+-----#17--------------------Campagna contro le pubblicita` idiote.---------+

seghe mentali...
 
La cosa e' ancora piu' interessante di cosi'. Me ne sono accorto poco fa, dopo
che avevo lasciato la linea impostata su Libero... e anche a me e' scattato il
segnale rosso del culaggio.
 
La quale Windows m'informa che Google si e' spostato su Libero, e visto che il
mio rùter puo' dire quello che vuole perche' il DNS e' su un altro sistema che
parla direttamente con Google, la cosa mi perplime.
 
E dunque chiedo a detto sistema, dimmi un po', e Google?, e quello: "Libero!".
 
Um. Ma non dovevi chiedere ai DNS di Google, tu?
 
Certo, fa lui.
 
E accidenti alla su' mamma se non e' vero:
 
mintaka:~ $ host 
www.google.com
 8.8.8.8
Using domain server:
Name: 8.8.8.8
Address: 8.8.8.8#53
Aliases:
 
www.google.com
 has address 151.32.176.29
www.google.com
 has address 151.32.176.50
...
www.google.com
 has address 151.32.176.30
www.google.com
 has IPv6 address 2a00:1450:4002:802::1014
 
Allora, come si usa, chiedo una seconda opinione. Prima a Libero
 
mintaka:~ $ host 
www.google.com
 
ns1.libero.it
 
Using domain server:
Name: 
ns1.libero.it
 
Address: 195.210.91.100#53
Aliases:
 
www.google.com
 has address 173.194.35.176
www.google.com
 has address 173.194.35.178
www.google.com
 has address 173.194.35.179
www.google.com
 has address 173.194.35.177
www.google.com
 has address 173.194.35.180
www.google.com
 has IPv6 address 2a00:1450:4016:801::1010
 
 
mintaka:~ $ ssh root@albutain
Last login: Tue May 27 17:56:30 2014 from 
host59.umc.com
 
Password is correct.
 
albutain:~ # host 
www.google.com
 8.8.8.8
Using domain server:
Name: 8.8.8.8
Address: 8.8.8.8#53
Aliases:
 
www.google.com
 has address 173.194.35.48
www.google.com
 has address 173.194.35.49
www.google.com
 has address 173.194.35.50
www.google.com
 has address 173.194.35.51
www.google.com
 has address 173.194.35.52
www.google.com
 has IPv6 address 2a00:1450:4002:802::1011
 
albutain:~ # logout
Connection to albutain closed.
 
mintaka:~ $ ssh root@alhajoth
You are connected to ECMServer01
L'accesso a questo sistema e' riservato agli aventi diritto
Gli abusi saranno puniti ai sensi dell'art. 615-ter C.P. (L. 23.12.93 n. 547).
 
Last failed login: Mon May 26 21:03:47 CEST 2014 from
c-76-16-218-56.hsd1.il.comcast.net
 on ssh:notty
There were 10 failed login attempts since the last successful login.
Last login: Tue May  6 12:18:14 2014 from 
telemat.dinfo.unifi.it
 
Password is correct.
 
poweredge:~ # host 
www.google.com
 8.8.8.8
Using domain server:
Name: 8.8.8.8
Address: 8.8.8.8#53
Aliases:
 
www.google.com
 has address 173.194.35.48
www.google.com
 has address 173.194.35.51
www.google.com
 has address 173.194.35.50
www.google.com
 has address 173.194.35.52
www.google.com
 has address 173.194.35.49
www.google.com
 has IPv6 address 2a00:1450:4002:802::1014
 
poweredge:~ # logout
Connection to albutain closed.
 
Bene bene bene bene bene. Cioe' male.
 
mintaka:~ $ hping -S -p 53 8.8.8.8
HPING 8.8.8.8 (eth1 8.8.8.8): S set, 40 headers + 0 data bytes
len=46 ip=8.8.8.8 ttl=48 id=2799 sport=53 flags=SA seq=0 win=42900 rtt=21.8 ms
len=46 ip=8.8.8.8 ttl=48 id=32200 sport=53 flags=SA seq=1 win=42900 rtt=22.3
ms
len=46 ip=8.8.8.8 ttl=47 id=29261 sport=53 flags=SA seq=2 win=42900 rtt=30.4
ms
len=46 ip=8.8.8.8 ttl=47 id=5739 sport=53 flags=SA seq=3 win=42900 rtt=33.5 ms
len=46 ip=8.8.8.8 ttl=48 id=32200 sport=53 flags=SA seq=4 win=42900 rtt=22.6
ms
len=46 ip=8.8.8.8 ttl=47 id=43884 sport=53 flags=SA seq=5 win=42900 rtt=32.2
ms
len=46 ip=8.8.8.8 ttl=48 id=32200 sport=53 flags=SA seq=6 win=42900 rtt=22.6
ms
len=46 ip=8.8.8.8 ttl=48 id=2799 sport=53 flags=SA seq=7 win=42900 rtt=21.1 ms
 
Miiii, m'hanno messo una fibra e non lo sapevo. 21 millisecondi.
 
Sapevo di essere vicino a La California (LI), ma pensavo a Los Angeles, non
a Nibbiaia.
 
mintaka:~ $ traceroute -n 8.8.8.8
traceroute to 8.8.8.8 (8.8.8.8), 30 hops max, 60 byte packets
 1  192.168.0.1  15.502 ms  15.552 ms  15.610 ms
 2  151.6.144.72  19.481 ms * *
 3  151.6.65.97  19.954 ms  20.379 ms  20.768 ms
 4  151.6.0.252  21.224 ms 151.6.6.36  27.262 ms  27.778 ms
 5  151.6.2.34  28.205 ms 151.6.2.30  28.599 ms  28.998 ms
 6  151.6.0.30  29.558 ms  14.838 ms  22.899 ms
 7  209.85.241.94  27.394 ms 209.85.241.92  19.557 ms  37.075 ms
 8  72.14.232.76  38.404 ms 72.14.232.78  26.983 ms  39.837 ms
 9  209.85.254.118  35.598 ms 209.85.254.112  36.851 ms 209.85.254.114  26.847
ms
10  * * *
11  8.8.8.8  40.991 ms  35.019 ms  34.772 ms
 
...non so; ma ho come il dubbio che quel 151.6.0.30, quando gli arrivano i bei
pacchetti per 8.8.8.8, prepari una risposta sintètia e me la rimandi.
 
Dunque: da una rete Telecom, facciamo una prova, visto che so che Google sulla
sua rete e' molto eggiail e dubito che un tragatino de noantri sia stato cosi'
pignolo da simularne il comportamento in un roto-router.
 
Se vedo una rete eggiail da Telecom e un blocco di granito da Wind, sapro' che
a monte di Google qualcuno sta facendo l'astuto.
 
for i in $( seq 1 20 ); do traceroute -n 8.8.8.8 \
    | tail -n 7 | sed -e 's/^ /0/g' \
    | cut -d " " -f1-3; done \
    | sort \
    | uniq -c
 
Risultati da rete Telecom:
 
     20 06  195.22.192.81
     20 07  72.14.196.141
     11 08  209.85.249.54	<-- l'hop 8 oscilla fra due possybylyta'
      9 08  216.239.47.128
     12 09  72.14.232.76
      8 09  72.14.232.78        <-- l'hop 9 anche lui, quasi 50 e 50
      3 10  209.85.254.112      
      8 10  209.85.254.114
      3 10  209.85.254.116      <-- l'hop 10 squizza fra *quattro*
      6 10  209.85.254.118
     20 11  *
     20 12  8.8.8.8             <-- e poi tutti i salmi finiscono in Gloria.
 
 
Risultati dal mio link via Libero:
 
     13 07  209.85.241.92      
      7 07  209.85.241.94
     14 08  72.14.232.76
      6 08  72.14.232.78
      5 09  209.85.254.112     <-- stesso pool di Telecom e quasi le stesse
      8 09  209.85.254.114         frequenze
      3 09  209.85.254.116         
      4 09  209.85.254.118
     20 10  *
     20 11  8.8.8.8
 
...sostanzialmente identici. Okay, mi sbagliavo... a meno che sia solo la
porta 53, che subisce un trattamento di riguardo? E cio' accada una volta
arrivati in California?
 
HPING 8.8.8.8 (eth1 8.8.8.8): udp mode set, 28 headers + 0 data bytes
hop=1 TTL 0 during transit from ip=192.168.0.1
hop=1 hoprtt=0.6 ms
hop=2 TTL 0 during transit from ip=151.6.144.72
hop=2 hoprtt=6.0 ms
hop=3 TTL 0 during transit from ip=151.6.65.97
hop=3 hoprtt=5.5 ms
hop=4 TTL 0 during transit from ip=151.6.0.252
hop=4 hoprtt=36.9 ms
hop=5 TTL 0 during transit from ip=151.6.2.34
hop=5 hoprtt=11.6 ms
hop=6 TTL 0 during transit from ip=151.6.0.30
hop=6 hoprtt=12.7 ms
hop=7 TTL 0 during transit from ip=209.85.241.92
hop=7 hoprtt=23.1 ms
hop=8 TTL 0 during transit from ip=72.14.232.76
hop=8 hoprtt=33.2 ms
len=327 ip=8.8.8.8 ttl=48 id=14970 seq=0 rtt=0.0 ms <--- crave pardon?
hop=9 TTL 0 during transit from ip=209.85.254.116
hop=9 hoprtt=37.3 ms
len=326 ip=8.8.8.8 ttl=47 id=43884 seq=0 rtt=0.0 ms
len=98 ip=8.8.8.8 ttl=47 id=2799 seq=0 rtt=0.0 ms
 
Eh, ora io sono un giovane che lavora vi' da poo, pero' non mi sembra un
comportamento regolare, anche perche' i DNS nostrali fanno altrimenti.
 
Altro test abbastanza sciocco:
 
 
8.8.8.8
:	
thepiratebay.org
 --> IP reale
 
ns1.libero.it
:	
thepiratebay.org
 --> 
warez.linux.it
  ;-)
 
Quindi ne devo dedurre che chi gestisce l'8.8.8.8 che mi risponde non e'
soggetto alla legge italiana, se no, furbo o non furbo, bisognava che si
adeguasse e mi levasse TPB da sotto le grinfie. E invece me lo lascia.
 
Due indizi non fanno una prova: ma a questo punto sospetto che Google si
sia comprata un */24 italiano, ci abbia messo su un Googleplex, e lo usi
per rispondere alle query di Libero.


 </TL;DR>
 
[CUT]
 
La prima cosa che avevo già pensato la prima volta che Umberto si era accorto 
della stranezza. Infatti tanto tanto tempo fa, partendo da un post sul NG dei 
virus per un caso simile, avevo chiesto lumi ad una simpatica conoscenza che ho 
(abbiamo?) in Wind (quella volta però Libero era di Wind, ora non più...) e mi 
aveva risposto che Wind ospita su range /24 alcuni signori tipo Google (allo 
stesso modo in cui MC-link ospita Akamai n.d.r.) pur senza un chiaro PTR che lo 
indichi.
 
Ciò premesso, avevo inoltrato l'alert di Umberto a mi era stato risposto che 
avrebbero verificato, solo che ora Libero non è più di Wind e quindi mi viene 
il dubbio che tecnicamente sta cosa sia su da chissà quando col pilota 
automatico :)
 
Ora chiederò ulteriori info, ma l'impressione è che non si tratti di hackerz né 
di hijacking malevolo. O almeno spero...
 
a risentirci :)
 
Gabriele
 

       20 11  8.8.8.8
 
 
Se ti può consolare, da adsl MC-link è praticamente uguale:
 
1 AS5396     213.21.129.66                                    (213.21.129.66)
2 AS5396     213.21.129.66                                    (213.21.129.66)
3 AS5396     213.21.131.49                                    (213.21.131.49)
4            
google.mix-it.net
                                (217.29.66.96)
5 AS15169    209.85.249.54
5 AS15169    216.239.47.128                                   (216.239.47.128)
6 AS15169    72.14.232.78                                     (72.14.232.78)
6 AS15169    72.14.232.76                                     (72.14.232.76)
7 AS15169    209.85.254.114                                   (209.85.254.114)
7 AS15169    209.85.254.116                                   (209.85.254.116)
7 AS15169    209.85.254.118                                   (209.85.254.118)
8     *          *          *
9            
google-public-dns-a.google.com
                   (8.8.8.8)
 
 
;; QUESTION:
google-public-dns-a.google.com
, type = ANY  , class = IN
 
;; ANSWERS:
google-public-dns-a.google.com
	108002 	IN 	A 	8.8.8.8
google-public-dns-a.google.com
	108002 	IN 	TXT
	"
http://xkcd.com/1361/
"
google-public-dns-a.google.com
	108002 	IN 	AAAA 	2001:4860:4860::8888
 
 
 
'notte
Gabriele
 

 lo usi per rispondere alle query di Libero.
 
quello che NON mi quadra è il fatto che facendo un "dig +trace..." i
risultati sono corretti; idem se abbiamo un DNS resolver locale che
funge in full-recursion; a questo punto mi sorge il sospetto che la
manipolazione delle queries venga fatta SOLO nel caso in cui il flag di
ricorsione sia attivato mentre negli altri casi il tutto funga come
dovrebbe
 
 

 Se ti puï¿œ consolare, da adsl MC-link ï¿œ praticamente uguale:
 
Credo di aver capito.
Tutto sta nella riga in cui Leonardo cita il sacro link di 
warez.linux.it
 e nel
Vangelo secondo Marco cap.4-1,9 (sopratutto 9)
Bel giochino davvero!
Direi che facendo un giro tra i vari isp italiani, ne troveremo altri di
giochini simili.
 
P.S. La sign ï¿œ random; me ne sono accorto mentre stavo inviando, ma
parafrasando direi sia un altro suggerimento...
 
Chiuderei qui.
 
-- 
+---------------------------------------------------------------------------+
|I puristi ritengono inopportuno utilizzare driver proprietari sutto Linux, |
|i masochisti amano utilizzare driver Windows sotto Linux... Twisted Evil   |
+-----#19--------------------Campagna contro le pubblicita` idiote.---------+