Newsgroup: it.comp.os.linux.sys
Titolo: [Semi-OT] Attacco da zombie?

E' da circa le 13.00 che uno dei miei server è vittima di un tentativo 
di accesso su sshd da parte dell'ip 200.164.230.186.
Si tratta di un IP brasiliano, come dice whois, e se provo un 
http://200.164.230.186
 vengo rediretto su
https://www.pge.pb.gov.br/portal/
 
 
Analizzando i dati di netcraft, sembra che si tratti di un server Ubuntu:
Hosting History
Netblock Owner:	Comite Gestor da Internet no Brasil So Paulo
IP address:	200.164.230.186
OS:		Linux
Web Server:	Apache/2.2.8 Ubuntu mod_python/3.3.1 Python/2.5.2 
PHP/5.2.4-2ubuntu5.12 with Suhosin-Patch mod_ssl/2.2.8 OpenSSL/0.9.8g 
mod_wsgi/1.3
Last changed:	10-Oct-2011
 
Ma a voi pare normale questa cosa, o quello è un server che fa anche da 
firewall e lo zombie è nascosto dall'altra parte?
 
PS: l'attaccante insiste con l'utente 'root', il server ha una password 
non banale e c'è anche fail2ban settato su 3600 secondi di ban.
 
PSPS: non posso mettere i certificati, né cambiare la porta.

 PSPS: non posso mettere i certificati, né cambiare la porta.
 
scusa la banalita' , ma non puoi mettere l'ip in DROP con iptables ?


Benvenuto in Internet.
 
E' una macchina con credenziali ssh cretine, su cui lo stesso bot che
ora sta bersagliando te ha trovato un utente valido, si è installato e
si è eseguito.
 
Installati fail2ban e vivi felice...

 scusa la banalita' , ma non puoi mettere l'ip in DROP con iptables ?
 
Meglio ancora metterlo in DROP sul firewall (a meno che non abbia il 
server sull'indirizzo pubblico)
 
-- 
http://blog.mainardi.me
 
http://about.me/lormayna
 
python -c "print 'bG9ybWF5bmFAZ21haWwuY29t'.decode('base64')"

 non banale
 
  Vuoi dire che il superutente ha l'accesso in ssh consentito?
 
 
  Ciao,
 
 
-- 
Alessandro Selli 
http://alessandro.route-add.net
 
AVVERTENZA: i messaggi inviati a "trappola" non mi arriveranno.
WARNING: messages sent to "trappola" will never reach me.

 scusa la banalita' , ma non puoi mettere l'ip in DROP con iptables ?
 
Lo fa fail2ban, per 1 ora.
 


No, ovviamente. Però sshd presenta lo stesso il prompt, e chiede la 
password. Anche se si mette quella giusta non ti fa entrare (forse per 
farti perdere tempo).
 


Dovrei passare la mia giornata sulla console del CISCO PIX501...

 Dovrei passare la mia giornata sulla console del CISCO PIX501...
 
Per un:
access-l NOME_ACL deny ip host 200.164.230.186 any
 
nell'acl che hai sull'interfaccia outside non ci metti una giornata e il 
risultato è molto molto meglio di fail2ban
 
Rizio
 
--- Posted via news://
freenews.netfront.net/
 - Complaints to 
ne...@netfront.net
 ---


Sono d'accordo, ma di cose come il brasiliano ne ho 10 al giorno... Per 
esempio i neozelandesi (
jetstream.xtra.co.nz
) mi hanno triturato per 
mesi con tutta una sottorete classe B... alla fine il PIX diventa un 
deny any any...
Poi il mio neurone si dimentica di avere queste acl ed un giorno ricevo 
una telefonata da in cu*o al mondo con qualcuno incazzato che non riesce 
a connettersi...
 

Quasimodo ha scritto:

  Allora futtatinne (cit.) e lascialo correre in tondo!  Per la banda
che ti prende e per qualche chilo in più nel file di log, non vale la
pena perderci del tempo.
