Newsgroup: it.comp.sicurezza.varie
Titolo: Servizio messenger o altro?...

Sono due giorni che alla mia linux box arrivano con cadenza regolare 'sti
due pacchetti:
IN=ppp0 OUT= MAC= SRC=69.59.164.204 DST=151.24.188.204 LEN=769 TOS=0x00
PREC=0x40 TTL=113 ID=42596 PROTO=UDP SPT=1934 DPT=1027 LEN=749
IN=ppp0 OUT= MAC= SRC=69.59.164.204 DST=151.24.188.204 LEN=769 TOS=0x00
PREC=0x40 TTL=113 ID=38507 PROTO=UDP SPT=1128 DPT=1027 LEN=749
E quando dico cadenza regolare dico una coppia ogni 32 minuti (ma
precisamente, eh?), la coppia postata è l'ultima di ieri notte, proprio
mentre scrivo mi è arrivato il buongiorno, il prossimo tra 32 minuti...
Ma come fa? Tra l'altro ho pure l'ip dinamico... può essere che lo spammer
faccia un giro regolare di IP e becchi il mio range (151.24.*) ogni 32
minuti?... Però cacchio che costanza O_O
E poi sbaglio o quell'IP è un DNS? (probabilmente sbaglio :P) Ip spoofato?
(...ammesso che il termine sia giusto!)
Insomma... E' "solo" spamming o mi devo preoccupare? Ho letto su google che
le porte 1025-28 sono molto bersagliate a causa di 'sto messenger, infatti
ho anche altri pacchetti su quelle porte, ma questo ha una cadenza direi
preoccupante! Comunque se così fosse a chi dovrei riportare l'abuse?
Poi viste le mie conoscenze potrebbe anche essere qualcosa di "regolare", il
firewall semplicemente droppa TUTTO, ed i falsi positivi sono all'ordine
del giorno... ma mi rimetto a voi che sicuramente ne sapete di più! (e
grazie in anticipo)
(Ps: visto che so l'ip, la porta, e tutto, per leggere l'eventuale messaggio
come dovrei fare? Ora rileggo il man di iptables magari si può fare anche
direttamente con lui, comunque se di messenger si tratta voglio sapere che
c'è scritto per principio!)

 tratta voglio sapere che c'è scritto per principio!)
Usa ethereal, ma prima apri quella porta altrimenti non passa il
firewall. Oppure usa una regoletta su snort, cosi' il dump del pacchetto
lo trovi in /var/log/snort/<ip>
-- 
*    HappyCactus - Linux User #209744 - BOFH Certified Engineer    *
*                         
http://www.google.com
                    *
*                                                                  *
*                           ET IN ARCADIA EGO                      *

 il dump con tcp dump o ethereal:
Scusa il "salto dentro a piè pari con snip carpiato" ma ... l'affermazione
riguardante il fatto che il flusso di pacchetti sembra "seguire l'IP" ed il
fatto che l'indirizzo sia su una lista "sospetta" mi fa venire un dubbio
....
Non è che "per caso" la linuxbox fa da NAT/firewall per una LAN.. sulla
quale ci sono macchine windows/altro ? In questo caso si potrebbe fare
l'ipotesi di una macchina LAN "infetta" che (es.) invia ogni X minuti una
richiesta "cgi" ad un webserver, il server a sua volta "aggiorna" il pgm
che ti invia quei pacchetti UDP ...
Se le cose stanno come sopra, proverei a disconnettere (temporaneamente)
la linuxbox dalla LAN ed a cambiare l'IP, poi aspetta qualche tempo e vedi
se i pacchetti UDP ricominciano, se questo NON è il caso, allora suggerirei
di (1) sniffare il traffico in uscita dalla LAN e (2) controllare le
macchine LAN
per la presenza di "bestie" in libertà
Ciao

Dimenticavo ..
dig 204.164.59.69.in-addr.arpa. IN PTR
riporta quanto segue:
;; QUESTION SECTION:
;204.164.59.69.in-addr.arpa.    IN      PTR
;; ANSWER SECTION:
204.164.59.69.in-addr.arpa. 3600 IN     PTR
customer-reverse-entry.69.59.164.204.
;; AUTHORITY SECTION:
164.59.69.in-addr.arpa. 3600    IN      NS      
ns.servepath.com
.
164.59.69.in-addr.arpa. 3600    IN      NS      
ns1.servepath.com
.
164.59.69.in-addr.arpa. 3600    IN      NS      
ns2.servepath.com
.
;; ADDITIONAL SECTION:
ns.servepath.com
.       3600    IN      A       216.93.160.11
ns1.servepath.com
.      3600    IN      A       216.93.160.16
ns2.servepath.com
.      3600    IN      A       216.93.170.17
Ciao

 customer-reverse-entry.69.59.164.204.
Notato? O li' hanno il boresso, oppure c'e' un incopetente di quelli col
botto, oppure ...


 un incopetente di quelli col botto, oppure ...
Ho idea che sia "oppure..." :-) ad ogni modo
si, avevo notato e proprio per quello ho postato
l'output del dig .. cmq, resto del parere che un
controllino del tipo "stacca la rete" potrebbe
dare qualche frutto ...


Ehm... ma che lingua parlate?^^ (boresso?___?) Che intendete?
Comunque ecco il misterioso contenuto del pacchetto:
<QUOTE>
[cut caratteri incomprensibili]
Serena..............Te..................Ciaoooo!Mi chiamo Serena, ho 27 anni
e sono di Brescia!!
Ho deciso di fare un sito per mostrarti cosa intendo quando dico
che amo "stare a contatto" con la gente..
Il mio motto e': "Il bello viene DENTRO.." in tutti i sensi!
Se ho acceso in te la voglia di vedere il mio album privato di FOTO e VIDEO
Vieni su:        W W W . S E R E N A 2 7 . D A . R U
</QUOTE>
-________________-'''
...senza parole!
("Il bello viene dentro", lol)
All'inizio ci sono dei caratteri strani, magari per il messenger significano
qualcosa, boh
Comunque grazie veramente a tutti e due per le risposte e per avermi avviato
al tcpdump =)
Ah, il whois su quel link non torna nulla (dice "msk/msd"), a chi dovrei
segnalare l'abuse? A servepath? C'e' una mail...
Il tcpdump comunque me l'ha preso anche col dropping attivato (mi dava il
pacchetto come "filtered"), e.... vabbe', tutto qua, speriamo perlomeno tra
qualche giorno cambino range di porte...
(PS: ho fatto update del NG solo ora e c'è la risposta di ObiWan, devo
comunque preoccuparmi? Non è solo spammazzo?)

 comunque preoccuparmi? Non è solo spammazzo?)
Pare sia solo spam.


 perfetto...
Beh ... il mondo non sarà perfetto, però ho alcuni amici
che _già_ fanno quanto sopra (egress filtering) tanto per
fare un'esempio ... Dena 
http://www.quasar.net
 (che tra le
altre cose è molto simpatica) ed altri lo fanno già da un
bel pezzo ... (PS: non provare a mandare spam a quegli
indirizzi .. non rispondo delle conseguenze - non scherzo)
Ciaoooo :-)


Ho avuto anche io di questi "probelmi" in passato, ma era il periodo in
tutti ricevevano quel tipo di messaggi.
Anche io li ricevevo ad intervalli regolari. All'epoca ho risolto
semplicemente disabilitando il servizio di messaggistica istantanea, da
quando invece sono passato all'adsl non trovo più niente neanche nei log del
packet-filter.
Questo mi fa pensare a politiche differenti degli isp, infatti usavo libero
con l'analogico e tiscali con l'adsl, da qui la malsana idea di rivolgersi
direttamente al provider, che dite potrebbe Asder avere soddisfazione?

 "asder" .. la linuxbox fa da NAT per una LAN o no ?
No, non necessariamente dev'esserci una preventiva o successiva 
interazione con l'host bersaglio. Forse i vari emettitori fanno
semplicemente uno sweep di un certo range di ip (per quello che
visto). Non e' neanche detto che l'indirizzo sorgente sia vero:
prima pensavo che l'ip sorgente non si potesse spoofare ma vedo
spesso, da qualche tempo, traffico messenger da ip spoofati con
certezza e, soprattutto, aventi caratteristiche molto simili ed
in apparenza proveniente da sorgenti sparse un po' ovunque. Non
ho avuto tempo di fare dei test, ma ho l'impressione che ci sia
il modo di bypassare la macchina a stati del messenger su RPC e
inviare messaggi con ip spoofato. L'altro sospetto era che 'sta
roba fosse emessa da trojan/worm/malware vario, ma non ho fatto
altre indagini (neanche saprei come).
Dopo, magari, posto qualche log esemplificativo.
Fabio

 visto). Non e' neanche detto che l'indirizzo sorgente sia vero:
<snip>
A prescindere dal discorso "source spoof", resta cmq il sospetto
che qualcosa permetta alla macchina che invia i messaggi di
"seguire" l'indirizzo IP del "bersaglio" anche se questo viene
cambiato effettuando una release/renew DHCP. ripeto, NON
posso esserne sicuro, ma un controllo sarebbe imo molto utile !
Ciao

 posso esserne sicuro, ma un controllo sarebbe imo molto utile !
In tutti i range su cui ho un firewall vedo degli sweep regolari
su tutti gli ip e non c'e' alcun feedback da parte degli host. 
E' ovvio che non e' detto che sia sempre cosi', ma visto che nel
mio caso vedo spesso ip sorgenti dallo stesso range da cui viene
il suo traffico, mi verrebbe da dire che...
... be', una controllatina non fa mai male, comunque :-)
Fabio

 che roba sara' mai?
Scherzi ?!? No eh ?! ...Beh ... lanciando
dig 160.18.239.130.in-addr.arpa. IN PTR
il risultato è il seguente
<dig output>
;; QUESTION SECTION:
;160.18.239.130.in-addr.arpa.   IN      PTR
;; ANSWER SECTION:
160.18.239.130.in-addr.arpa. 86400 IN   PTR
freenode-proxyscanner.acc.umu.se
.
;; AUTHORITY SECTION:
18.239.130.in-addr.arpa. 86400  IN      NS      
dns.umu.se
.
18.239.130.in-addr.arpa. 86400  IN      NS      
dns.norrnod.se
.
18.239.130.in-addr.arpa. 86400  IN      NS      
nixon.acc.umu.se
.
;; ADDITIONAL SECTION:
dns.umu.se
.             86400   IN      A       130.239.8.10
dns.norrnod.se
.         86400   IN      A       194.165.224.190
nixon.acc.umu.se
.       86400   IN      A       130.239.18.145
</dig output>
ora .. quel "proxyscanner" mi dà da pensare.. :-)
(a parte che vedendo qualcuno chiamare una
macchina "nixon" vengono parecchi dubbi ....)
Ciao

 ora .. quel "proxyscanner" mi dà da pensare.. :-)
freenode! claro que si. Thorin, tu #cazzeggi troppo ;)


 freenode! claro que si. Thorin, tu #cazzeggi troppo ;)
Ah beh <g> .. in effetti al #cazzeggio non avevo pensato
... ed io che credevo fosse un tipo molto più #serio :-) ...
Cmq quel "
nixon.acc.umu.se
" mi fa pensare <grin> ...
Hasta luego

 "asder" .. la linuxbox fa da NAT per una LAN o no ?
No, sono collegato a libero dialup, tutto qui! I 32 minuti tra l'altro
seguono un tempo assoluto non relativo alla mia connessione! Ma vabbe',
potrebbe anche essere che la tempistica sia casuale mentre gli IP no... O_o
Per beacon si intende un programma che riveli l'IP di una macchina ad
un'altra appena questa si connette?

 spesso, da qualche tempo, traffico messenger da ip spoofati con
Infatti: si possono spoofare gli ip sorgente per inviare messaggi
messenger. Come non detto.
Fabio