Newsgroup: it.hobby.acquari
Titolo: Tentativo di intrusione da parte di un vs. utente

Con la presente voglio segnalarvi il tentativo di intrusione registrato
dal ns. firewall e proveninete dagli ip 151.26.24.112 e 151.26.21.129,
affinche' possiate prendere gli adeguati provvedimenti.
Alleghiamo il log del firewall installato c/o la nostra postazione:
Date: 23/04/02 Time: 3.54.28
Rule "Default Block NetBus Trojan" blocked (squonk2-i1,NetBus).
Details:
Inbound TCP connection
Local address,service is (squonk2-i1,NetBus)
Remote address,service is (151.26.21.129,1154)
Process name is "N/A"
Date: 23/04/02 Time: 3.54.22
Rule "Default Block NetBus Trojan" blocked (squonk2-i1,NetBus).
Details:
Inbound TCP connection
Local address,service is (squonk2-i1,NetBus)
Remote address,service is (151.26.21.129,1154)
Process name is "N/A"
Date: 23/04/02 Time: 3.54.19
Rule "Default Block NetBus Trojan" blocked (squonk2-i1,NetBus).
Details:
Inbound TCP connection
Local address,service is (squonk2-i1,NetBus)
Remote address,service is (151.26.21.129,1154)
Process name is "N/A"
Date: 23/04/02 Time: 3.33.31
This one time, the user has chosen to "block" communications.  Details:
Inbound TCP connection
Local address,service is (squonk2-i1,nbsession)
Remote address,service is (151.26.24.112,1078)
Process name is "C:\WINDOWS\SYSTEM\RNAAPP.EXE"
Date: 23/04/02 Time: 3.33.30
This one time, the user has chosen to "block" communications.  Details:
Inbound TCP connection
Local address,service is (squonk2-i1,nbsession)
Remote address,service is (151.26.24.112,1077)
Process name is "C:\WINDOWS\SYSTEM\RNAAPP.EXE"
Date: 23/04/02 Time: 3.32.52
Rule "Implicit block rule" blocked (squonk2-i1,nbsession).  Details:
Inbound TCP connection
Local address,service is (squonk2-i1,nbsession)
Remote address,service is (151.26.24.112,1085)
Process name is "C:\WINDOWS\SYSTEM\RNAAPP.EXE"
Date: 23/04/02 Time: 3.32.52
Rule "Implicit block rule" blocked (squonk2-i1,nbsession).  Details:
Inbound TCP connection
Local address,service is (squonk2-i1,nbsession)
Remote address,service is (151.26.24.112,1085)
Process name is "C:\WINDOWS\SYSTEM\RNAAPP.EXE"
Date: 23/04/02 Time: 3.32.51
Rule "Implicit block rule" blocked (squonk2-i1,nbsession).  Details:
Inbound TCP connection
Local address,service is (squonk2-i1,nbsession)
Remote address,service is (151.26.24.112,1085)
Process name is "C:\WINDOWS\SYSTEM\RNAAPP.EXE"
Date: 23/04/02 Time: 3.32.32
Rule "Implicit block rule" blocked (squonk2-i1,nbsession).  Details:
Inbound TCP connection
Local address,service is (squonk2-i1,nbsession)
Remote address,service is (151.26.24.112,1082)
Process name is "C:\WINDOWS\SYSTEM\RNAAPP.EXE"
Date: 23/04/02 Time: 3.32.32
Rule "Implicit block rule" blocked (squonk2-i1,nbsession).  Details:
Inbound TCP connection
Local address,service is (squonk2-i1,nbsession)
Remote address,service is (151.26.24.112,1082)
Process name is "C:\WINDOWS\SYSTEM\RNAAPP.EXE"
Date: 23/04/02 Time: 3.32.29
Rule "Implicit block rule" blocked (squonk2-i1,nbsession).  Details:
Inbound TCP connection
Local address,service is (squonk2-i1,nbsession)
Remote address,service is (151.26.24.112,1081)
Process name is "C:\WINDOWS\SYSTEM\RNAAPP.EXE"
Date: 23/04/02 Time: 3.29.18
Rule "Default Inbound ICMP" blocked (151.26.24.112,3).  Details:
Inbound ICMP request
Local address is (squonk2-i1)
Remote address is (151.26.24.112)
Message type is "Destination Unreachable"
Process name is "N/A"
Date: 23/04/02 Time: 3.29.18
Rule "Default Inbound ICMP" blocked (151.26.24.112,3).  Details:
Inbound ICMP request
Local address is (squonk2-i1)
Remote address is (151.26.24.112)
Message type is "Destination Unreachable"
Process name is "N/A"
Questi sono solo un estratto dei tentativi di ping, apertura di una
connessione ed infine di uso di un obsoleto client trojan che abbiamo
registrato tra le ore 3.27 del 23 c.m. e le ore 3.54 dello stesso
giorno.
Copia di questo messaggio e' stata inoltrata agli uffici della polizia
postale di Firenze.
Cordiali saluti.
Andrea Boldini
via s. Domenico 1
Campi Bisenzio - Firenze

 affinche' possiate prendere gli adeguati provvedimenti.
Scusa la mia ignoranza, ma perchè posti sta roba tua qui sul NG pubblico?
Ciao
Emiliano

Il 23 Apr 2002, 04:19, AbAcAb ha scritto: 
[...]
Mi associo a quanto
detto da Emiliano...e poi soprattutto chi ti ha detto che e' un utente che
posta sul NG?
E che ci fai poi con un IP dinamico ?
Di port scan alla
ricerca di trojan e/o firewall aperti ne ricevo quasi ad ogni
connessione....
Sandro AKA LiGaBuE
--------------------------------
Inviato via 
http://usenet.iol.it
 

 postale di Firenze.
Non possono fare niente, sarebbe meglio non disturbare la polizia postale
con queste bambinate.
Ciao
Franco
PS Per chi vuole essere cattivo (ma sono dell'oppinione che certi
personaggi e` molto meglio ignorali - ormai tutti credo abbiano un certo
sospetto di chi si tratti), metti un honeypot falli entrare e poi puoi
andare veramente sul pesante. Ma e` come lasciare il portafoglio ben in
vista e poi picchiare lo zingarello che prova a scipparti, io avrei dei
rimorsi a fare cosi`.
-- 
|- Franco Moglie - Ancona - Reply su indirizzo A PERDERE, per        -|
|- risposte private utilizza 
f.mo...@bbbbee.unian.it
 SENZA le 'b'   -|

<carminexx> ciao cory
<carminexx> :-)
<carminexx> vieni in pvt
<carminexx> signor abcd... prova a bannarmi di nuovo
<carminexx> e da domani questa stanza non la troverai piu'
<carminexx> ti ho avvisato
<carminexx> poi decidi tu
<carminexx> :-)
....ovviamente l'abbiamo bannato...

 ....ovviamente l'abbiamo bannato...
aggiungo...
Date le promesse di chiudere il canale, l'ho lasciato aperto in attesa di
qualcuno a cui dare l'OP (io sono una pessima operatrice..apro 12 chat e poi
vado a suonare la chitarra... )....oggi pomeriggio non saro' in casa, fra le
19 e le 20,30 si, e spero ci sia qualcuno...non vorrei ritrovarmi ad essere
l'unica chiocciolina...

 rimorsi a fare cosi`.
Io no, (Magari picchierei invece di lui, il genitore o lo sfruttatore
che ce lo obbliga)...
ma non so come si fa... ;-(
MK!

 ma non so come si fa... ;-(
Non e` difficile usa la parola chiave "honeypot" su un qualsiasi motore di
ricerca e informati sui NG ICS* e sui manuali, ma dammi retta con certi
elementi non ne vale proprio la pena :-)).
Ciao
Franco


l'unica chiocciolina...
A quell'ora? Mah! :-D
--
DICE IL SAGGIO: «I TROLL SI NUTRONO DI RISPOSTE E MUOIONO DI
MORTE NATURALE QUANDO LI SI IGNORA».
================================================================
  _         Giorgio "Gege" Perbellini  * Se ami la montagna,  la
 (_)        
http://www.gegeonline.it/
  * fotografia, la natura e
     /\                                * i fumetti, fai un salto
  /\/  \    "Webmaster volontario" di  * sul mio sito...  proba-
 /  \   \  
http://www.plion.it/falcon/
 * bilmente   abbiamo  gli
/    \   \ --------------------------- * stessi interessi! ;-)
================================================================

Emiliano Della Bella wrote:

Mi aspettavo la lecita domanda...
Ecco la lecita risposta...
"chi ha orecchie per intendere...e mi spiace ma e' solo uno, chiedo scusa
agli altri".
Ciao
--
Eppure riposo qui
consolato da un segreto che solo Mary conosce:
c'e' un giardino di acacie,
di catalpe e di pergole dolci di viti -
la', quel pomeriggio di giugno
a fianco di Mary -
mentre la baciavo con l'anima sulle labbra
l'anima d'un tratto volo' via.
Edgar Lee Masters

 Sandro AKA LiGaBuE
Allora, visto che mi sembri ferrato...
Se il ping, portscan e tentativo di intrusione ti vengono da un ip dinamico (2
in successione per la precisione) che sono gli stessi che hai in una famosa
chat...tu che ne pensi?
Non sono cosi' ingenuo come credi...so chi c'era attaccato a quegli ip...
E cosi' ti ho risposto anche alla prima domanda.
Ciao

Franco Moglie wrote:
Innanzitutto mi scuso per l'ot, per altro segnalato nel subject.
Ti dico  questo...tu sottovaluti molto la faccenda ip dinamico ed
evidentemente non hai mai avuto a che fare con gli uffici della polizia
postale.
Io queste esperienze le vivo nella mia attvita' professionale.
Qualsiasi segnalazione viene recepita (anche via mail) ed il depositante e'
contattato entro 3 o 4 giorni per recarsi a compilare regolare denuncia
scritta.
Per il resto, la tua "normalita'" nel  ricevere attacchi non e' una normalita'
dal momento che il tentativo citato in oggetto e' da quasi due anni reato
penale.
Se poi la maggior parte degli utenti non blocca questa pessima condotta
(pessima anche tecnicamente) perche' crede che denunciare sia impossibile, e'
un altro paio di maniche(maniche molto sbagliate).
In presenza di una denuncia formale puo' essere intrapresa anche l'indagine
telefonica (che vuol dire risalire al numero telefonico che si collegava al
provider a quell'ora...ergo il nominativo del chiamante).
Il mio log non ha valore fino a quando non e' riscontrato con il log del
provider (che in caso di richiesta deve essere esibito).
L'eventuale coincidenza tra i due report e' considerata prova.
Ho la macchina ben configurata, ma cio' non toglie che tentare di introdursi
resta ed e' reato penale...io non capisco come ragioni, ma la tua opinione non
e' molto importante visto che esiste una legge in proposito ed e' molto piu'
chiara della tua elucubrazione mentale, per la quale rubare la pensione ad una
vecchietta indifesa sarebbe legale visto che "non si  difende"...ripensaci
bene, il ragionamento delle porte aperte fa acqua da tutte le parti. Ed e'
ormai superato anche in ambito cyberground.
Gli ip non sono falsi, non in questo caso.
Se lo fossero sarebbe compito dell'ISP, una volta coinvolto,  verificarlo e
notificarlo, emettendo a sua volta denuncia per abuso di servizio,
danneggiamento etc.etc.
Nel caso di servizi pubblici puo' addirittura essere invocato il reato di
"sospensione di pubblico servizio" che ha pene molto severe.
Chiaramente questo porterebbe ad una indagine piu' complessa, ma essendoci un
punto di incontro comune che e' il MIO provider, non sarebbe affatto difficile
ricostruire  tutto partendo dalla destinazione.
(in ultima analisi, una volta arrivati alla sottorete si usa il mac-address
sempre ammesso che questa parola ti dica qualcosa).
Un ip falso, funziona solo se lontano dal gateway di quello vero, oppure se
quello vero e' "assente"...
Usare ip falsi - fare spoofing -  (a parte le cazzate di irc) e' molto piu'
complesso e funziona all'interno di sottoreti...non certo tra libero e inwind,
con questa disinvoltura...
Oltretutto possiedo una serie di altri elementi che mi fanno capire
perfettamente la successione di alcuni eventi (non riportati nel messaggio).
2 sconnessioni e riconnessioni da parte dell'attaccante con 2 ip della stessa
sottorete geografica e nello stesso sottogruppo.
Un ping  reiterato e senza successo alla mia macchina che non supporta ICMP e
che e' stato quindi "intuito" attraverso l'unica connessione aperta in quel
momento (Irc - sul canale solo 3 utenti alle 3.30 di notte)
Un banalissimo tentativo di nbsession succeduto da altri 3 o 4 tentativi
altrettanto banali, ma tutti concentrati (socks, routing, udp, netbus) .
Vogliamo andare a vedere che dice quel router?
:-)))
Se tu non logghi tentativi di questo tipo le cose sono 2...o non interessi a
nessuno (non hai servizi tipo http, ftp, o altro che scateni la visibilita')
oppure hai gia' qualcuno in casa...(e normalmente un admin che non vede
allarmi e' un admin morto).
Non capisco cosa intendi quando dici che con ip statico non si rilevano
tentativi di intrusione.
Credi che queste cosa le abbia apprese sul mi pc di casa?
:-)))
Non capisco quali siano le basi tecniche delle tue affermazioni ma non credo
che parliamo lo stesso linguaggio.
Io non metto nessun honeypot (altro giochino della new lamerz generation) ma
voglio che ognuno si metta in testa che e' una falsita' enorme pensare che con
un provider free ed un ip dinamico si sia non rintracciabili.
Al limite, se volete essere un po' piu' sicuri, cercate di chiamare dal
Lussemburgo...o di imparare a fare un po' di giochini con isdn o adsl,
altrimenti lasciate perdere, che vi fate male!
:-)))
Ciao
PS: la tua considerazione finale e' corretta. Anche io so perfettamente chi
e'... ma Napoli non e' Roma e neanche Milano.
;-)
C'e' troppa gente che gioca a fare il Carm... ultimamente.
capito mi hai?
Lascia perdere gli zingarelli...e se invece dello zingarello il portafoglio te
lo prendesse il Berlusconi?
:-) il tuo ragionamento fa acqua, te lo ripeto...
Ciao

 Io queste esperienze le vivo nella mia attvita' professionale.
va beh, ma IMHO non ha senso il post sul NG.. visto che il reato c'è fai
denuncia e morta lì.. no?
--
Davide® @ Home <°)>^<<
F.L.T.
Fronte di Liberazione dal Troll (il troll si nutre delle tue risposte...
fallo morire di fame!)
http://web.tiscali.it/dcana
Le FAQ di IHA: 
http://www.maughe.it/faq/FAQ.htm

 riprovato nonostante dall'altra parte ci fosse un fw.
Questo e' palese  e sacrosanto!
:-)))
Ciao

 denuncia e morta lě.. no?
Hai ragione, ma una strizzatina d'ano a chi dico io serve sempre...
Ciao

 Ciao
ciaociao..momi
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 acqua, te lo ripeto...
Fare da esca e poi denunciare non mi sembra un comportamento eticamente
corretto da parte di un normale cittadino e comunque e` un gran perdita di
tempo.
Ciao
Franco


 Hai ragione, ma una strizzatina d'ano a chi dico io serve sempre...
Senti abacabbe io un c'ho capito nà mazza di quello che state dicendo ma
visto che mi hai fatto scrivere un poema sui cory, ora mi spieghi che devo
fare per proteggere il mio computer da codesti casini, magari mandami una
mail privata almeno riinizio a dormire la notte :-)))
--
Saluti da Firenze
 Per postare in privato togliere la prima z a 
zpan...@tin.it
Il sito della mia associazione é: 
http://www.gafonline.it
Il sito dedito ai discus è : 
http://www.discusclub.it/
Iscrivetevi numerosi alle associazioni acquariofile
Indirizzi a:
http://www.gafonline.it/gafonline/associazioni/index.html

 mail privata almeno riinizio a dormire la notte :-)))
meglio se sul ng cosi' ci proteggiamo tutti
(si imparano tantissime cose su questo NG .... alla faccia del NG tematico)
Grazie
--
--
Marco Meini
MMM in chat
http://travel.italway.it/hotelcapelli

 lo prendesse il Berlusconi?
Lo fara', lo fara'....
;-)))
--
Iscrivetevi numerosi alle associazioni acquariofile
Indirizzi a:
http://www.gafonline.it/gafonline/associazioni/index.html
Ciao
          _________________________________________
         |                                         |
         |             Maurizio Ghelli             |
         |                 Firenze                 |
        _|          
http://www.maughe.it
           |_
       / |                                         | \
   ___/ /|  _  Ci sono anche le FAQ del gruppo  _  |\ \___
  (((( ( |_/ )_________________________________( \_| ) ))))
   \\\\ \_/ /                                   \ \_/ ////
    \      /                                     \      /
     )   _/                                       \_   (
    /   /                                           \   \
   / __/                                             \__ \

 |- risposte private utilizza 
f.mo...@bbbbee.unian.it
 SENZA le 'b'   -|
E' stato un piacere conoscerti meglio.
Scusami se sono stato "offensivo" per certi versi (metto in relazione alcune
mie parole con il tuo curriculum ;-)) ma tu hai fatto il "furbo".
Io sono full-time. :-))



Aahahah, ma tanto tanto sei di S.Frediano?
Io inizierei con un programmino semplice e gratis (non e' il massimo, ma
almeno serve a capire di che si tratta)...
ZoneAlarm.
Poi se vuoi qualche dritta puoi chiedere ai due contendenti (anche se l'altro
e' piu' blasonato!) ;-)))
Scherzo.
Ciao


 ZoneAlarm.
Che ne dici di Tiny Personal Firewall?
Io lo uso e sono soddisfatto...
Riccardo

Riccardo Conturbia wrote:

Si ,anche altri me ne hanno parlato.
Non posso proferir verbo perche' non l'ho mai provato.
E' free? Pulito dal punto di vista di spyware e ads? (sembra assurdo ma
esistono 2 prodotti in commercio che pur essendo dei presunti personal
firewall hanno a bordo delle policy di update molto poco "firewall" e
parecchio trojan!) ;-)))


 parecchio trojan!) ;-)))
AFAIK, è free e pulito... :-)
... quali sono i due prodotti in commercio che adottano queste politiche?
(scusate tutti per l'OT...)
Riccardo

 Riccardo
Symantec NPFW e All-a-Board.
Ciao
--
Na scignurin-a che súttu â cúa
a gh'a ou gàrbu da scignúa
(Mégu megún)

Ciao,
visto che ci capisci parecchio non e' che potresti dirmi come configurare
ZoneAlarm per evitare spiacevoli sorprese?Magari sarebbe di aiuto anche ad
altri
Oppure segnalami un sito in cui possa trovare maggiori info
Grazie
--
--
Marco Meini
Occhio all'antispam
Merco in chat
http://travel.italway.it/hotelcapelli

 Grazie
Se ti riferisci a me (perche' non si capisce) la risposta alla prima domanda
e' "leggi bene l'help" :-).
La risposta alla seconda e' un po' piu' complessa.
Se vuoi maggiori info (su cosa, sulla rete?)dovresti iniziare a chiederti come
funziona, cosa e' un protocollo, cosa sono "le porte" etc.
Per arrivare a comprendere i tipi di precauzione necessari.
Non e' comunque indispensabile essere esperti. E' importante non essere
completamente sprovveduti.
Un link?
Prova 
http://security.webjuice.it/index.php?cat=3
E' l'elenco dei link che trattano di sicurezza di 
webjuice.it
.
Alcuni sono interessantissimi.
E' solo un esempio, se fai una ricerca da solo ne troverai a migliaia.


 Alcuni sono interessantissimi.
grazie
ti e' arrivata la mia mail?
Ciao



Yes, gia' risposto!
