Newsgroup: it.comp.sicurezza.varie
Titolo: 222.136.251.120

Salve.
Ogni qualche tempo il firewall di McAfee mi segnala continui (4-5 al
minuto) tentativi di connessione alle porte 1026 e 1027 (UDP) da parte
dell'IP 222.136.251.120.
Il WhoIs dice essere un ip cinese (Beijing), ma nessuna info sul
titolare.
Ricevo continuamente tentativi di connessione alle porte 1026 e 1027 da
quella zona del mondo.
Qualcuno ha idea di che cosa si tratti?
Grazie in anticipo a chi vorra' rispondermi (anche in prv a
sbrocca68[at]
tele2.it
)
Sbr
P.S.: Questo il risultato del Whois:
  [
whois.apnic.net
 node-2]
  Whois data copyright terms
http://www.apnic.net/db/dbcopyright.html
inetnum:      222.136.0.0 - 222.143.255.255
netname:      CNCGROUP-HA
descr:        CNCGROUP Henan province network
descr:        China Network Communications Group Corporation
descr:        No.156,Fu-Xing-Men-Nei Street,
descr:        Beijing 100031
country:      CN
admin-c:      CH455-AP
tech-c:       LZ33-AP
mnt-by:       APNIC-HM
mnt-lower:    MAINT-CNCGROUP-HA
mnt-routes:   MAINT-CNCGROUP-HA
changed:      ****@
apnic.net
 20031209
status:       ALLOCATED PORTABLE
source:       APNIC
role:         CNCGroup Hostmaster
e-mail:       ****@
cnc-noc.net
address:      No.156,Fu-Xing-Men-Nei Street,
address:      Beijing,100031,P.R.China
nic-hdl:      CH455-AP
phone:        
+86-10-82993155
fax-no:       
+86-10-82993102
country:      CN
admin-c:      CH444-AP
tech-c:       CH444-AP
changed:      ****@
cnc-noc.net
 20041119
mnt-by:       MAINT-CNCGROUP
source:       APNIC
person:       Liping Zhong
address:      Henan Multimedia Information Bureau
address:      70, Nong Ye Road
address:      ZhengZhou, Henan 450002
address:      CN
country:      CN
phone:        +86-371-3962276
fax-no:       +86-371-3962068
e-mail:       
anti...@public.zz.ha.cn
nic-hdl:      LZ33-AP
mnt-by:       MAINT-NULL
changed:      ****@
email.online.ha.cn
 20001124
source:       APNIC

 Qualcuno ha idea di che cosa si tratti?
Al 99% e' un banale spam per messenger. L'indirizzo sorgente puo' anche
essere stato spoofato e quindi non ha molto senso fare troppe ricerche.
Ignora.
Fabio

 Ignora.
Ciao Fabio, grazie per la rapida risposta.
Credo anch'io che l'indirizzo sia stato spoofato.
Cmq, mi incuriosisce il fatto che la gran mole di tentativi sulle porte
1026 e 1027 sembrino quasi tutti provenire dalla Cina...
Mi domandavo poi (spero non OT) a che servano le porte 1026 e 1027.

 Mi domandavo poi (spero non OT) a che servano le porte 1026 e 1027.
Quelle sono due porte udp su cui e' molto frequente che sia in ascolto
il servizio messenger nei windows NT/2k/XP. Per conoscere quale sia la
porta esatta sarebbe necessario fare, prima, una richiesta al servizio
"rpc endpoint mapper" sulla porta 135 perche' messenger potrebbe stare
ascoltando su una qualsiasi porta >1024. In questo caso, pero', non si
potrebbe piu' spoofare l'ip sorgente, altrimenti non si riceverebbe la
risposta con il numero di porta esatto. Quindi... sparano nel mucchio,
alla cieca, confidando che un grande numero di sistemi avra' messenger
proprio su una di quelle due porte (che sono, appunto, le piu' usate).
Se vuoi toglierti la curiosita', prova a catturare quei datagrammi udp
con uno sniffer: vedrai cos'hanno da proporti di cosi' imperdibile :-)
Fabio

Grazie a tutti.
Approfitto per chiedere ancora: talora ricevo valanghe (10 - 15 al
minuto) di tentativi di connessione sulla porta 4672, dai piu'
disparati ip.
Ecco il log di McAfee Firewall:
"A computer at 
203-59-206-183.dyn.iinet.net.au
  has attempted an
unsolicited connection to UDP port 4672 on your computer.
UDP port 4672 is commonly used by the "remote file access server"
service or program."
Chiedo gentilmente lumi.

 Chiedo gentilmente lumi.
Dicesi emule.

 Se usi eMule conosci già la risposta alla tua domanda.
Il problema e' che io non uso ne' ho mai installato emule ne altri p2p!
Ricapitolando: direi che quasi ad ogni connessione (non ho una flat) o
ricevo valanghe di tentativi sulla 1026 e 1027 (vanno a coppia), o
ricevo valanghe di tentativi sulla 4672.
Come se si alternassero: o una "valanga" o l'altra.
La sgradevole sensazione e' quella di essere "sotto tiro"; tuttavia,
usando McAfee AIO 2005, Micro$oft Antispyware Beta, Spybot S&D e
AdAware (tutti regolarmente configurati e aggiornati), dubito che
dipenda da qualche malware residente.
Inoltre, queste "valanghe" arrivano senza soluzione di continuita': un
giorno si', due no; poi magari tre giorni si', uno no; e cosi' via...

 Come se si alternassero: o una "valanga" o l'altra.
Ecco, molto prabile che dipenda dalla connessione non flat.
Hai un indirizzo dinamico, infatti, solo in questo thread, hai postato
con almeno tre IP diversi.
Cio' vuol dire che adesso tu hai l'IP che poco fa, o stamattina, aveva
un altro cliente del tuo stesso provider.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 Il problema e' che io non uso ne' ho mai installato emule ne altri p2p!
Pacchetti destinati ad utenti connessi prima di te col tuo ip.