Newsgroup: it.comp.sicurezza.varie
Titolo: Strano IP in log firewall

Buonasera,
il mio firewall mi ha segnalato il seguente alert:
Date: 02/10/2001 Time: 0.18.55
Rule "Default Block Backdoor/SubSeven Trojan horse" blocked (151.33.115.32,27374).  Details:
Inbound TCP connection 
Local address,service is (151.33.115.32,27374)
Remote address,service is (10.0.0.2,1284)
Process name is "N/A"
Se ci fosse stato l'indirizzo Ip di un qualsiasi Provider non mi sarei preoccupata:
il solito portscan di qualcuno che voleva vedere se avevo un trojan installato.
Quello che non riesco a capire è proprio l'indirizzo 10.0.0.2
Non è un Ip di reti private (Lan) ? 
Io non ho una Lan, non ho che il mio pc collegato alla rete Internet.
Sarebbe possibile che qualcuno, dalla rete interna di non so quale rete
abbia fatto portscan e che poi questo indirizzo sia rimasto tale anche verso l'esterno?
Oppure, attraverso un proxy o cos'altro, 
sia riuscito a mascherare ( a sua volta attraverso un firewall) il proprio IP?
Davvero sono rimasta un pò stupita da questi logs ( è il secondo nel giro di qualche giorno).
Preciso che i programmi attivi in quel momento erano OE, l'antivirus Nav e il norton internet security,
nient'altro, nemmeno in background.
Ho verificato anche nel regedit che non ci fossero voci strane in Hkey_local_machine\microsoft ecc.
Il mio antivirus è aggiornato, dalla scansione non risultano trojani,
dal netstat -na risultano aperte le solite porte di servizio.
Ho cercato su google e sulle securfaq ma non ho trovato risposta alle mie domande.
Scusate se sono stata prolissa, ma davvero la situazione è confusa:-(
Qualcuno potrebbe chiarirmi?
Grazie mille per la Vostra attenzione
Cordiali Saluti
Paola

 Remote address,service is (10.0.0.2,1284)
Il tuo Norton Personal Firewall [singolo o incluso in Norton Internet
Security] ti segnala giustamente che una macchina con l'IP 10.0.0.2 sta
cercando di contattare la tua macchina sull'interfaccia WAN alla porta
27372, utilizzata da Sub7.
Innanzitutto hai provato a fare da Prompt dei comandi ping 10.0.0.2 per
vedere cosa succedeva ? -> anche se ti puo' sembrare strano, alcuni 
provider fanno in modo che alcune macchine siano visibili all'interno
della rete con un indirizzo riservato secondo la RFC-1918.
Vedasi Tin che ha deciso [x questioni di sicurezza] di evitare la 
visibilita' pubblica di alcuni concentratori d'accesso ADSL -> infatti
sono visibili solamente agli utenti collegati al concentratore con il
loro IP privato, di tipo 192.168.100.1 o 10.10.10.1.
Se questo non fosse [come suppongo] il tuo caso, si tratterebbe di un
utente che ha provato a vedere se avevi un server Sub7 attivo, avendo
prima provveduto al forging del suo IP address.
In entrambi i casi cmq non hai rischiato nulla -> unico solito consiglio
e' quello di tenere sotto costante controllo il sistema con un antivirus
aggiornato, sia tramite scansioni manuali che monitor d'autoprotezione 
in background.
-- 
|Ż \/Ż | /Ż\ /Ż__/Ż__|-<|> 
http://planynet.hypermart.net
 ŻŻŻŻŻ<|
|Ż|\/|Ż|/Ż_Ż\|(__\__ \-<|> 
http://pub44.ezboard.com/bplanynet
 <|
|_|  |_/_/ \_\___|___/-<|> NEWS: free.it.tlc.provider.fastweb <| 
|>Togli/Remove .INVALID<|>_____ engineering && computers _____<|

 
Ho tutto sotto controllo tramite sia firewall, che antivirus, sempre updatati
e con una scansione del disco che effettuo settimanalmente.
Grazie per il tuo tempo e le risposte:-)
Saluti
Paola

prima provveduto al forging del suo IP address.
Si ma scusa, che scopo ha? Voglio dire, se il mio computer riceve un
pacchetto da 10.10.10.1, risponde a quell'indirizzo. E quell'indirizzo, se
non sbaglio, non porta da nessuna parte. E allora? Oppure mi sbaglio io?
Ciao
  Andrea

 pacchetto da 10.10.10.1, risponde a quell'indirizzo. 
Il fatto e' che in teoria la rete di un provider, a meno di particolari
situazioni come quella appena descritta per Tin ADSL, *non* dovrebbe
consentire il passaggio di pacchetti con gli IP spoofati utilizzando
quelli riservati da RFC-1918 -> tuttavia, come spiegato anche nel thread
"10.10.10.10, curiosita'", alcuni provider non filtrano correttamente in
ingresso sulla loro rete.
