Newsgroup: it.comp.sicurezza.windows
Titolo: Chi è quel pisquano che mi fa lo scan delle porte?

La mia � pi� che altro una curiosit�. Ho Win XP con Sygate Personal,
un firewall vecchiotto e semplice che per� supera brillantemente il
test di Gibson Research. 
Non passa giorno che il log del firewall non si riempia di messaggi
del tipo: 
'Somebody is scanning your computer.
Your computer's TCP ports:  8085, 9415, 2479,  and 9000 have been
scanned from 58.218.199.147.'
L'IP di partenza e il numero di porta sono sempre diversi.
Mi chiedo: qual � la provenienza di questa attivit�? Ragazzini
occhialuti che giocano a fare l'hacker? Spider e worm sguinzagliati
per la rete? Societ� di spam in cerca di vittime?
E poi, la cosa � del tutto innocua (come penso) o c'� del pericolo?
Grazie per le risposte.
-- 
Questa non � una firma.

 Questa non è una firma.
è la cina che ti chiama :-)
quindi hai una possibilità su 1 milardo e mezzo di beccare il pisquano
una volta erano i russi adesso è il turno dei cinesi
-- 
Sono Juza, la nuvola. Sono un uomo libero. Libero come le nuvole del 
cielo, sospinte lievemente dal vento.
http://altagradazione.blogspot.com/
http://altawallpaper.blogspot.com/
 

 scanned from 58.218.199.147.'
http://whatismyipaddress.com/ip/58.218.199.147
User Comments
They try to hack my computer. - 2010-12-29
This ip is scanning my ports like crazy! - 2011-01-07

una volta erano i russi adesso è il turno dei cinesi
Insomma, sempre di stronzi si tratta.


This ip is scanning my ports like crazy! - 2011-01-07
Ho controllato il log ed effettivamente gli IP di partenza si riducono
a tre, su un centinaio di tentativi di accesso. E provengono tutti
dalla Cina. Ma cosa vogliono? Mah.


Per i posteri, *Lorem Ipsum* scrisse:

Ma che ti frega, lasciali fare quei musi gialli (cit.)
-- 
Don Fizzy © on GSX-R 750
       /)/)
     (  '.')
   o(_('')('')   That's all, folks!

 dalla Cina. Ma cosa vogliono? Mah.
spionaggio industriale :-) 

 del tipo: 
Benvenuto online :)
Generalmente sono PC zombizzati che scannano altri host per cercare
vulnerabilita' o servizi apertis enza password (proxy, open relay, ssh
vulnerabili, siti vulnerabili...)
Ciao,
luigi
-- 
/
+--[Luigi Rosa]--
\
Una volta eliminato l'impossibile, tutto cio` che rimane,
per quanto improbabile, e` la verita`.
    --Sherlock Holmes

vulnerabili, siti vulnerabili...)
Ci vorrebbe uno script che gli rimanda il messaggio: "Stai scannando
come un cinese di merda" (quasi cit.)


 come un cinese di merda" (quasi cit.)
Ci sono state negli anni proposte di firewall che restituiscono i favori agli
attaccanti. Io stesso ogni tanto lo faccio e trovo host con porte aperte,
servizi senza password o altro.
Ma e' inutile perche' l'attacante e' lui stesso una vittima.
Ciao,
luigi
-- 
/
+--[Luigi Rosa]--
\
CORREZIONE D'ERRORE: Versione 1.1.
    --Pietropaolo Bianchi

 Sono online dal 1997. C'era Windows 95 
Tsk... Win 3.11, Trumpet Winsock, Eudora 1.4.4 e Mosaic. Altroché! :-)
Ciao
Luca

 Tsk... Win 3.11, Trumpet Winsock, Eudora 1.4.4 e Mosaic. Altroché! :-)
...e premere due volte ESCAPE per connettersi, con i clienti che capivano NETSCAPE.
Adesso sembra incredibile che il TCP/IP in Win 3.11 dovesse essere scaricato a
parte.
Ciao,
luigi
-- 
/
+--[Luigi Rosa]--
\
I told the doctor I broke my leg in two places.
He told me to quit going to those places.
    --Henny Youngman

 a parte.
Comunque funzionava molto meglio di quella ciofeca di Volverine di 
Microsoft :)
Ciao
Luca


E vogliamo parlare di fidonet? :)

 cache locale. 
Eh, ma era una delle "parole chiave", assieme a "navigare".
Ricordo di essere andato da un cliente per installare Winsock. Gli avevo fatto
vedere, aveva premuto ESC ESC e si era connesso. Il cliente rimane fermo un
attimo. Guarda Window, guarda me e mi fa "Ma allora adesso sto navigando?!"
Un altro che mi chiama e mi fa "senta, sul mio pc io scrivo ANSA e mi collegao
all'ansa, se sicro INTERNET..." e io "...Appare il messaggio 'Comando o nome di
file non corretto'"
Ciao,
luigi
-- 
/
+--[Luigi Rosa]--
\
Il cinemascope e` un'ottima formula per serpenti o per funerali,
ma non per esseri umani.
    --Fritz Lang

 E vogliamo parlare di fidonet? :)
Quella era la vita precedente.
Ciao
Luca

 E vogliamo parlare di fidonet? :)
Iniziato con 2:331/nonricordo.3 (Opus Pavia) nel 1986/87 con un modem 2400
"engineering release"
Proseguito con 2:331/318.3 e con 2:331.501.3 con USRobotics e ZyXEL vari.
http://luigi.rosa.name/wiki/index.php/FidoNet
 per chi vuole ricordare qualcosa
Ciao,
luigi
-- 
/
+--[Luigi Rosa]--
\
Il tempo e` un'ottima invenzione per evitare che tutte le cose
succedano contemporaneamente.

 "engineering release"
Un 2400bps nell'86?
Ricco! :-P
Ciao
Luca

 Ricco! :-P
Non come credi: era, appunto, una "engineering release", l'equivalente hardware
di una beta. Acquistato senza garanzia di funzionamento e pagato meno di un 1200
Ha funzionato come un orologio per anni.
Ciao,
luigi
-- 
/
+--[Luigi Rosa]--
\
If a computer cable has one end, then it has another.

> E vogliamo parlare di fidonet? :)
vogliamo parlare di arpanet :) ?

 garanzia di funzionamento e pagato meno di un 1200
Il primo che ho avuto in casa (come ho già raccontato tempo
fa a Luca) era un autocostruito, schemi presi da una rivista
tedesca ed accoppiatore acustico ricavato "smontando" una
cuffia "Koss" di quelle con i "padiglioni imbottiti" da 10Kg <g>
al punto che quando al cinema, molto tempo dopo uscì il
film "wargames" esclamai "azz ! quello ha un modem come
quello che avevo io !!" - tornando ai modems, era "simpatico"
il bug dei primi Hayes, bastava inviare un pacchetto ICMP
echo request (icmp type=8) con un payload fatto ammodino
ossia con qualcosa del tipo "+++ATH0\r\n" il pacchetto veniva
correttamente ricevuto ed inoltrato al computer, lo stack di rete
lo riconosceva e rispondeva con un bellissimo echo reply e
con lo stesso payload, a quel punto il modem, vedendosi
arrivare dalla seriale una richiesta di escape "+++" seguita
da una richiesta di riaggancio linea obbediva prontamente
con l'ovvia conseguenza di trovarsi di botto disconnessi :D

 vogliamo parlare di arpanet :) ?
Ah e comunque prima di FIDO c'erano le BBS :)
e di quelle ne trovavi una marea insieme ad un
tot di s/w e documenti che ai tempi erano MOLTO
interessanti :)

 con l'ovvia conseguenza di trovarsi di botto disconnessi :D
Fregavi gli utenti, ma non i vecchi lupi della FidoNet :)
Uno dei primi settaggi che si facevano in un modem nuovo che stava per andare
online era cambiare uno dei registri S che contiene il codice ASCII della terna
di escape. Per default e' 43 (il '+'), ma nessun vecchio lupo della Fido lo
lasciava settato cosi' :)
Ciao,
luigi
-- 
/
+--[Luigi Rosa]--
\
There is only a one letter difference between "networking"
and "not working".
    --Marco "Markino" Sacchi

correttamente ricevuto ed inoltrato al computer
Si', un giorno che mi vidi quotare per l'ennesima volta il messaggio
con tutta la signature, decisi di metterlo in firma.
https://groups.google.com/group/it.discussioni.misteri/msg/1ac3dff6dc677cc7?hl=it
Qualche volta funziono' anche.
Leonardo
-- 
Enough, enough!  But, stranger, ere we part,
Glancing farewell to each nefarious bier,
This warning would I beg you take to heart:
There is an end to e'en the worst career!

 Questa non è una firma.
Con il Sygate hai tutti i mezzi per identificarlo.
Studiatelo bene, io in questo momento non lo utilizzo ma l'ho usato per 
moltissimi anni e quando mi scandagliavano le porte in un minuto ero in 
grado di sapere chi era.
Se usi il mulo ci sono tutte le telefoniche che lo fanno......
 

Se usi il mulo ci sono tutte le telefoniche che lo fanno......
Questa non l'ho capita ma mi incuriosisce molto. Uso il mulo ma cosa
ci dovrei fare? Chi sono le telefoniche? Cosa fanno le telefoniche?
-- 
Questa non č una firma.

 Questa non � una firma.
Le compagnie telefoniche scannerizzano le porte di chi usa il mulo.
Con Sygate le trovavo tutte, da Tele2 a Telecom Brasile erano sempre 
loro che Sygate intercettava.
Forse � un software che viene loro fornito dalle major..... 

Forse č un software che viene loro fornito dalle major..... 
Allora ho fatto bene a cambiare il numero di porta.
Ho letto solo ora, grazie per la cortese risposta.


> ossia con qualcosa del tipo "+++ATH0\r\n" il pacchetto veniva
Si usava anche in con Mirc su IRC..cadevano come birilli :)

 Si usava anche in con Mirc su IRC..cadevano come birilli :)
beh... anche in quel caso (IRC non mIRC in particolare) il
principio di base era lo stesso, anche se il protocollo era
a livello applicativo e non a livello di stack di rete