Newsgroup: it.comp.sicurezza.windows
Titolo: Stranezze..........

Mi sta succedendo qualcosa di strano sono più di 24 ore in continuazione 
che black ice versione server sul mio windows 2000 server registra un 
tentativo d'accesso dal seguente ip 213.26.175.34
I tentativi sono in continuazione secondo dopo secondo e black ice ha 
superato nel conteggio 80.000 tentati accessi....un pò troppi.
Da un tracer mi risulta
==========================================================
=== VisualRoute (tm) 6.0b report on 29-mag-02 23.44.32 ===
==========================================================
Report per 213.26.175.34
Analisi: '213.26.175.34' trovato in 14 hop (TTL=115). 
------------------------------------------------------------------------
------------------------------------------------------------------------
--------
| Hop | %Persi | Indirizzo IP    | Nome nodo                            
| Locazione        | F.Ora | ms  | Grafico    | Rete                           
|
------------------------------------------------------------------------
------------------------------------------------------------------------
--------
| 0   |        | 194.242.61.63   | INTERHOST.it                         
| *                |       |     |            | Genesys Informatica srl        
|
| 1   |        | 194.242.61.3    | -                                    
| ?Florence, Italy | *     | 0   | x          | Genesys Informatica srl        
|
| 2   |        | 194.242.61.2    | -                                    
| ?Florence, Italy | *     | 0   | x          | Genesys Informatica srl        
|
| 3   |        | 212.239.125.242 | -                                    
| ?(Italy)         | *     | 2   | x-         | IT-INET-980930                 
|
| 4   |        | 212.239.125.249 | -                                    
| ?(Italy)         | *     | 0   | x          | IT-INET-980930                 
|
| 5   |        | 194.185.46.77   | 
ge3-1.milano1-gsr0.net.inet.it
 
| Milan, Italy     | *     | 148 | -------x-- | 
I.NET
 S.p.A                    
|
| 6   |        | 194.185.46.12   | 
ge3-0.milano1-gsr0.net.inet.it
 
| Milan, Italy     | *     | 10  | x          | 
I.NET
 S.p.A                    
|
| 7   |        | 217.29.67.35    | 
interbusiness2.mix-it.net
 
| ?(Italy)         | *     | 10  | x          | Milan Internet eXchange        
|
| 8   |        | 80.17.211.89    | 
r-mi257-mi258.opb.interbusiness.it
 
| Milan, Italy     | *     | 18  | x----      | InterBusiness                  
|
| 9   |        | 151.99.98.97    | 
r-rm258-mi213.opb.interbusiness.it
 
| Rome, Italy      | *     | 32  |  x-------  | InterBusiness - Telecom 
Italia |
| 10  |        | 151.99.98.97    | 
r-rm258-mi213.opb.interbusiness.it
 
| Rome, Italy      | *     | 23  |  x--       | InterBusiness - Telecom 
Italia |
| 11  |        | 151.99.101.122  | 
r-bo83-bo74.opb.interbusiness.it
 
| Bologna, Italy   | *     | 20  |  x         | InterBusiness - Telecom 
Italia |
| 12  |        | 151.99.101.122  | 
r-bo83-bo74.opb.interbusiness.it
 
| Bologna, Italy   | *     | 20  |  x         | InterBusiness - Telecom 
Italia |
| 13  |        | 80.21.70.155    | 
host155-70.pool8021.interbusiness.it
 
| -                |       | 21  |  x-        | InterBusiness                  
|
| 14  |        | 213.26.175.34   | -                                    
| ?Parma, Italy    | *     | 39  |  x-        | BANCA MONTE PARMA              
|
------------------------------------------------------------------------
------------------------------------------------------------------------
--------
Ho provato ad aprire l'ip vai web ed in effetti all'indirizzo 
http://213.26.175.34
 mi appare un web protetto che richiede user e 
password.
Anche il telnet sulla 23 è abilitato.....
che ne dite??? non riesco a capire cosa stia facendo, finora non c'è 
stato nessun intrusione

 tentativo d'accesso dal seguente ip 213.26.175.34
Magari sapere su che porta tenta l'accesso sarebbe d'aiuto.
-- 
News2000 1.5ß Version 
http://socket2000.8m.com

 tentativo d'accesso dal seguente ip 213.26.175.34
su quali porte? 
-- 
http://werted.cjb.net

 
A saperlo. Il fatto č che BlackIce Server si limita a dire:
[Scan] Attacker attempts to see if a particular port is open for remote 
access.
aprendo con Microsoft Netrwork Monitor uno dei file con i pacchetti 
analizzati creati dal firewall ho 
Frame: Base frame properties
ETHERNET: ETYPE = 0x0800 : Protocol = IP:  DOD Internet Protocol
IP: ID = 0x3E76; Proto = TCP; Len: 44
TCP: ....S., len:    0, seq:  75893942-75893942, ack:         0, win: 
8192, src: 4558  dst:  261 
Inoltre un semplice netstat-na non restituisce tra gli IP quello 
responsabile dell'attacco 213.26.175.34.

 Eh, chissa'...
Nimda? :-D


 --------
C'è gente che vende il conto corrente on-line e passa per quel server ?


Infatti puo' essere, secondo me, o un codice simile... comunque un
programma, sicuramente non un umano... ergo la macchina attaccante e'
infetta... ergo avvisa il proprietario...
Ciao
Claudio Valerio
Analista Programmatore
XXI.it S.r.l.
www.xxi.it

8192, src: 4558  dst:  261 
------------^^^^-------^^^^^
La porta non č la 261 ? Partito dalla remota 4558, verso la tua 261.
Puň essere? Cosa c'č sulla 261?
ok, ok, vo affangugol.
Keith
--
Faites vos yeux, rien ne voit plus
------

ok, ok, vo affangugol.
/etc/services e' piu' vicino e impegna meno risorse :-)
Leonardo ecologico
-- 
ftp://warez.slashdot.com:12345
 - Warez for nerds. Stuff that matters.

, 
claudio...@xxi.it
 says...

Il problema è come lo avviso?
Grazie a tutti x le vostre risposte.

 correlato alla suddetta non ancora "charito"...
Beh, quello e' solo _uno_ dei pacchetti e lui non ha detto se
anche gli altri erano diretti alla stessa porta. Non ci rimane
che supporre che sia cosi'. Caso strano: la 261 e' la porta per
autenticare le sessioni della console di FW-1 (mi sembra). E
dai risultati del tuo fingerprint... Ma perche' tutto quel
traffico? Magari al banco di parma lo sanno...
Fabio
PS: ma tu usi nmap contro il firewall di una banca? :)