Newsgroup: it.comp.sicurezza.varie
Titolo: Re: Sono sotto attacco...

 del router. Il mail viene spedito usando il server di alice che mi
 
Ah ok, ecco come c'entrava la mail; avevo capito che si trattasse
di traffico email ma vedo che non c'entra nulla; tra l'altro
considerando
il manifesto di questo gruppo, il thread è piuttosto OT; credo che sia
meglio spostarsi in altro gruppo più appropriato (vedi follow-up)
 
 
 

Rispondo qui sotto a ObiWan

Ok, mi sposto su it.comp.sicurezza.varie
Grazie
ArchiPit
 
 

 della tua rete (nota: hosts = pc/stampanti/fax/televisori/...)
 
No, la mia rete (casalinga) è molto modesta: un solo pc, 3 netcam ip, 
una stampante solo usb, un pocketPc con windows mobile 6.1 che non era 
connesso con la rete (quando va in standby si sconnette dalla rete 
wireless; quando lo uso si riconnette alla lan wireless in pochi 
secondi).
Non ho fax (quando rarissimamente mi serve uso il programma fax di 
windows), e il mio tv non è connesso al pc (nel senso che non è 
connettibile).
 
Insomma, sotto attacco avevo in rete oltre al router solo il pc da cui 
scrivo, e le 3 netcam e non era nemmeno attivo il loro programma di 
monitoraggio. Per questo mi veniva in mente di avere qualche trojan o 
rootkit appiccicato addosso che si faceva chiamare sull'ip privato del 
pc....
Mi sa che comunque stasera carico una immagine precedente...
 
ArchiPit
 
 

 meglio spostarsi in altro gruppo più appropriato (vedi follow-up)
 
Mi sono spostato su it.comp.sicurezza.varie
ArchiPit
 
 

Rispondo qui sotto a ArchiPit
 
 
Mannaggia la pupazza....sono ricominciati gli attacchi pur avendo 
cambiato l'iP.
 
Ora stacco tutto tranne il pc e vedo che succede.
 
AtchiPit
 
 

 cambiato l'iP.
 
1. posta un pezzo del log
 
2. Se sono veramente "attacchi" allora hai su uno dei "box"
    (e non necessariamente il PC) qualcosa che "chiama casa"
    o che attrae tali connessioni
 

     o che attrae tali connessioni)
 
posto qui sotto l'ultimo mail ricevuto dal router (Netgear dgn3500) 
prima di ricaricare sul pc una immagine sicuramente pulita e di 
cambiare ancora ip.
 
Ora sono 3 ore che vado con una immagine sicuramente pulita del SO 
(Seven Home Premium 32bit) senza cambiare niente altro e non ho 
ricevuto nessun DOS o portscan.
 
L'unica differenza tra prima e ora è che in questa immagine del SO non 
c'è iSpy, sw opensource di controllo delle netcam che avevo installato 
scaricandola da Sourceforge. Quindo per vedere le netcam o apro il 
programma di monitoraggio specifico o uso i browser.
Per il resto ho lasciato tutto come prima: stampante e le netcam ip 
regolarmente connesse al router.
 
 
Nel log che riporto sotto
192.168.y.y è l'ip nattato del pc
192.168.x.x è l'ip nattato del router
 
Come faccio a verificare se il firewall di windows mi tiene bloccata la 
porta 62973 del pc?
 
Non avevo emule o torrent installati né prima, né ora. Solo skype.
 
Stanotte faccio fare per scrupolo una scansione completa a Kaspersky da 
bootcd e domattina a gmer.
 
 
Ciao
ArchiPit
 
---------log del router--------
TCP Packet - Source:41.210.41.212,2714 Destination:192.168.y.y,62793 - 
[DOS]
TCP Packet - Source:188.72.101.132,53892 Destination:192.168.y.y,62793 
- [DOS]
TCP Packet - Source:76.64.99.119,53854 Destination:192.168.y.y,62793 - 
[DOS]
TCP Packet - Source:180.10.127.55,57358 Destination:192.168.y.y,62793 - 
[DOS]
TCP Packet - Source:188.72.101.132,53894 Destination:192.168.x.x,443 - 
[DOS]
TCP Packet - Source:76.64.99.119,53859 Destination:192.168.x.x,443 - 
[DOS]
TCP Packet - Source:180.10.127.55,57360 Destination:192.168.x.x,443 - 
[DOS]
TCP Packet - Source:38.99.60.226,1181 Destination:192.168.y.y,62793 - 
[DOS]
TCP Packet - Source:77.115.246.246,51033 Destination:192.168.x.x,443 - 
[DOS]
TCP Packet - Source:41.210.41.212,2715 Destination:192.168.y.y,62793 - 
[DOS]
TCP Packet - Source:188.72.101.132,53893 Destination:192.168.y.y,62793 
- [DOS]
TCP Packet - Source:76.64.99.119,53856 Destination:192.168.y.y,62793 - 
[DOS]
TCP Packet - Source:92.63.23.178,2670 Destination:192.168.y.y,62793 - 
[DOS]
TCP Packet - Source:180.10.127.55,57359 Destination:192.168.y.y,62793 - 
[DOS]
TCP Packet - Source:180.10.127.55,57361 Destination:<mio IP 
dinamico>,80 - [DOS]
TCP Packet - Source:188.72.101.132,53895 Destination:<mio IP 
dinamico>,80 - [DOS]
TCP Packet - Source:76.64.99.119,53861 Destination:<mio IP dinamico>,80 
- [DOS]
TCP Packet - Source:38.99.60.226,33075 Destination:<mio IP dinamico>,80 
- [DOS]
TCP Packet - Source:77.115.246.246,51032 Destination:192.168.y.y,62793 
- [DOS]
TCP Packet - Source:77.115.246.246,51035 Destination:<mio IP 
dinamico>,80 - [DOS]
 
 

 mi tiene bloccata la porta 62973 del pc?
 
Piů che altro, controlla quali porte hai aperto nel firewall
del router e quali eventuali regole di port forwarding hai
impostato; stando a quei tentativi di connessione (non
li chiamerei DoS) sembra che tu abbia (o abbia avuto)
delle regole di port forward verso 192.168.y.y dato che
il router riporta tale indirizzo IP nel log; ad ogni modo...
 
Da un PC connesso tramite cavo LAN (no wireless !)
 
Scaricati il manuale da qui 
http://tinyurl.com/ce4yakj
 
 
Verifica se esista una versione aggiornata del firmware
http://support.netgear.com/app/products/model/a_id/12453
 
ed eventualmente scaricala
 
Salva la configurazione attuale del router poi procedi
ad un reset completo dello stesso
 
Installa il nuovo firmware
 
Modifica la password di gestione del router impostandone
una diversa e sufficientemente lunga
 
Procedi con la riconfigurazione del router come desiderato
ma cerca, almeno inizialmente, di evitare di impostare delle
regole di port forwarding o simili; assicurati anche di disattivare
il supporto UPNP del router (potrai sempre riattivarlo in un
secondo momento se proprio fosse necessario)
 
Scaricati questo programma 
http://www.wallwatcher.com/
 
ed installalo su un PC connesso alla LAN e che possa
restare acceso; configura tale PC in modo da avere un
indirizzo IP statico (es. 192.168.1.100) quindi avvia il
programma
 
Configura il router impostando nella pagina relativa al
logging l'indirizzo del server syslog all'IP di cui sopra
(send to this syslog...)
 
Per verificare che il logging funzioni, prova a fare
un portscan usando
 
https://www.grc.com/x/ne.dll?bh0bkyd2
 
 
e cliccando l'opzione "all service ports"; se il tutto
funziona, dovresti veder apparire in "wallwatcher"
i vari messaggi relativi al portscan in atto; in ogni
caso, controlla che dallo scan non risultino porte
aperte
 
Tieni sotto controllo i logs usando "wallwatcher" per
verificare se e quali tentativi di accesso vengano
registrati; considera comunque che č "normale" che
vi siano portscans o tentativi su porte chiuse; non č
invece normale che cambiando IP vengano ripetuti
i tentativi su alcune, ben determinate porte che non
sono standard, dato che questo potrebbe indicare
che c'č qualcosa di installato sulla rete che "attira"
tali tentativi di connessione
 
 
 

 Non avevo emule o torrent installati né prima, né ora. Solo skype.
 
Bingo!
 
Skype.
Come credi che lavori?
 
 
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net
 

 Come credi che lavori?
 
si, lo so, è un P2P, ma non mi ha mai fatto scherzi.
Se fa scherzi a me, dovrebbe farli a tutti.
 
ArchiPit
 
 

ArchiPit ha scritto:

Ma non fa nessuno scherzo, o meglio, quello che sta facendo
lo fa, appunto, a tutti: 80, 443 e una alta per comunicare.
 
Il tuo router crede che i touch di skype per vedere se puoi
diventare un nodo "attivo" e non solo una sanguisuga siano,
per la sua paranoia/cantineria, dei tentativi di DOS.
 
 
E sì, chiunque abbia skype dietro un firewall, se ci guarda
bene vede parecchia robaccia in transito, o tentativo di.
 
Io lo faccio passare dietro un proxy, ad esempio, ma per la
prima autenticazione debbo aprire tutto, altrimenti non c'è
verso che vada.


 tali tentativi di connessione.
 
Ora scarico wallwatcher e lo metto in uso.
 
Rispetto a ieri ho:
-Ricaricato il SO da immagine pulita e scandita stanotte con KAV da 
bootcd aggiornato e da gmer;
-cambiato la password al router
-disattivato l'Upnp
 
Da ieri alle 19 ad ora non ho ricevuto attacchi di nessun tipo.
 
Appena mandato questo post verifico eventuali firmware aggiornati e 
resetto comunque il router reimpostando tutto a manina, anche se 
salverò la configurazione attuale.
 
Ti ringrazio dell'aiuto prezioso che mi stai dando.
 
ArchiPit
 
 

 per la sua paranoia/cantineria, dei tentativi di DOS.
 
Ok.
Però la mia configurazione pc/router/skype è stabile da almeno un mese. 
Perchè il router si è messo a tempestarmi di allarmi solo ieri e a 
raffica senza averlo mai fatto prima?
 
Comunque questo è molto istruttivo: pensavo che skype si tenesse 
connesso al suo server solo per stabilire il collegamento con 
l'interlocutore, dopo di che la connessione divenisse p2p tra i 2 
interlocutori e basta.
 
Se invece si comporta come dici (nodo attivo per le comunicazioni di 
altri) le cose cambiano e tutto diventa più chiaro. Ma è così da sempre 
o dalla mia release 5.5.0.124?
 
ArchiPit
 
 

 verso che vada.
 
Credo che tu abbia ragione: ho proprio ora verificato la configurazione 
di skype e nel tab "Collegamento" mi indica che usa la porta 62793 (che 
è proprio quella che nel router nel tab Upnp redirige al mio pc; 
spiegherebbe anche come mai mezzo mondo si fosse deciso ad attaccare il 
mio pc usando addirittura telefoni cellulari) e in alternativa la 80 e 
la 443 per le connessioni in ingresso. C'è anche un flag sulla casella 
"Usa uPnP", che si collega a quanto detto da ObiWan.
 
A questo punto: cosa è cambiato ieri senza che io abbia fatto nulla per 
cui il router mi ha bombardato con messaggi di allarme quando da almeno 
un mese era tutto stabile?
 
ArchiPit
 
 

> di skype e nel tab "Collegamento" mi indica che usa la porta 62793
 
TOH, che caso :D !!
 
Ad ogni modo, levati dalle balle quel carriolo e metti in piedi un
coso minimamente decente; non dico un ImageStream o un Cisco
ma, quantomeno, un DD-WRT o anche un m0n0wall potrebbero
evitarti degli attacchi cardiaci facendo suonare la campana alle
3 di notte solo perchè un cinese sta giocando con un portscanner
 
 

 o dalla mia release 5.5.0.124?
 
Da sempre.
Il bello (e il brutto) di skype è che ogni utente può diventare un
nodo attivo, e gestire una parte del traffico.
Ed è il motivo per cui continua ad essere gratuito per le chiamate
paritetiche da utente a utente: ognuno si paga il suo mettendo nel
conto un po' della sua banda a disposizione degli altri.
Per questo prima ho parlato di sanguisuga: chi usa skype dietro un
firewall (lo confesso, lo faccio anch'io) è una sanguuisuga. ;-)


Rispondo qui sotto a ObiWan
 
 

Ma no, sono anni che vedo dos e portscan senza mai assermene 
preoccupato.  E' quello che è successo ieri che è stata una cosa nuova 
e mai verificata prima, e rimane misterioso cosa l'abbia scatenata.
In tutto ho ricevuto una cinquantina di mail con circa 20 segnalazioni 
ognuno, cioè circa 1000 tentativi di "accesso" (ora tra virgolette).
Chiunque si sarebbe allertato.
 
Per il router:
Ma l'ho preso da pochi mesi! e prima avevo sempre un netgear (dg834g) 
che è sempre andato benissimo.
Lo so che Cisco è uno dei migliori: lo vendevo a telecom per milioni di 
lirette.... :-)
 
Conclusioni
Beh, intanto tutta la cosa mi è molto servita a capire meglio, e 
rispetto al timore di essere posseduto da un figlio di trojan che 
chiamasse la mamma, o che un hacker mi avesse sfondato le porte di 
casa, meglio avere scoperto che è stato skype per colpa di un router 
colpito da raggi cosmici emessi da una supernova scoppiata 3 miliardi 
di anni fa.
 
Ok ragazzi, grazie a tutti e due, direi di essere ora tranquillo (anche 
perchè non sto ricevendo nulla...e facciamo corna modello Antilope).
 
ArchiPit
 
 

 da raggi cosmici emessi da una supernova scoppiata 3 miliardi di anni fa.
 
Pochi post fa, leggo questo scambio tra te e Obi:
 
 >> Verifica se esista una versione aggiornata del firmware
 >> 
http://support.netgear.com/app/products/model/a_id/12453
 
 >> ed eventualmente scaricala
 > Se non è uscita in questi ultimi 5 giorni una nuova release,
 > sono aggiornato.
 
Non ho tempo ora di rileggere tutto il thread, ma non
è che qualche aggiornamento del router... ?
 
Bye, G.