Abnormale rekenaargedrag - Stormfront
04-16-2005, 05:57 AM #1
Hierdie is belangrik. Onderving enige van julle abnormale rekenaargedrag, lae spoed of iets dergliks, op gereelde basis? Ek onthou 'n ruk terug het iemand genoem as hy op SF inkom, wys sy firewall 'n port scan. Ek het dieselfde ervaar maar my nie daaraan gesteur na my ISP my verseker het dis hul eie scans. Elk geval, sulke tipes goed. Laat weet asb per PM.
Hoekom ek vra is, ek het die volgende epos ontvang van iemand in die buiteland. Hier is 'n uittreksel:
Ek loop tans so 6 masjiene, en het verder ook routers ens. ten einde my stelsels te beskerm en, my masjiene is dus dmv. fisiese hardeware totaal vanaf die internet geskei.
Om eerlik te wees - die enigste manier waarop die rekenaars moontlik aangeval kan word, is deur die email en, ten einde daar ook veilig te wees, gebruik ek Norton virus scan - en, ek maak nooit 'n mail oop sonder om eers na die source data te kyk nie.
Wel - - hier kom die skok...
Sowat 4 dae na ek daardie goed vir Stormfront ingevul het, het my ISP hier my laat weet dat daar massiewe hoeveelhede informasie vanaf my stelsels die wereld ingestuur word. Ek het elke stukkie sagteware op die masjien (my werk stasie) ondersoek maar, daar was eenvoudig geen "normale" virus, worm of enige iets anders te vinde nie.
Op die einde het ek egter wel gevind dat data deur my databasis stelsel vanaf die rekenaar die wereld ingestuur is.
Op die einde was ek verplig om my rekening met my ISP toe te maak, en 'n ander ISP te kry om aan die internet te kan konnekteer met 'n skoon, nuwe rekening, IP adres ens.
Deur 'n ondersoek van my router logs het ek vasgestel dat sowat 5 gig data vanaf my rekenaar die wye wereld ingestuur is.
Deur die ISP het ons probeer om uit te vind waarheen maar, dit was nie eintlik moontlik nie - ons kon slegs die spoor volg tot by die internasionale link vanaf hier, so, ek kon nooit uitvind presies wie my rekenaar data so sou wou kry nie.
Ek loop my stelsels reeds sowat 4 jaar in hierdie formaat en, is nog nooit voorheen aangeval nie, het nog nooit data verloor nie en, die enigste manier waarop dit kon gebeur het is indien iets wel deur die mail op my masjien ingekom het. Dit was egter iets wat Norton nie ken nie, en ek nie herken het nie...
Die snaakste van alles was - daar was geen virus nie, geen sagteware om die masjien of my stelsels te stop, te breek nie. Daar was geen worm wat my masjien probeer gebruik het vir advertensie doeleindes, of ander masjiene aan te val nie. Slegs 'n enkele script in die databasis, wat stelselmatig alles op my hardeskyf begin lees het, en dit dan gestuur het.
As sulks moet ek dus wonder - wie in hierdie wereld sou my masjien - en myself - interessant genoeg vind om soveel moeite te doen?
Ek kan nie vir jou sê van waar/wie dit was nie maar, dit het gebeur na ek by Stormfront aangesluit het - dit is al wat ek "anders" gedoen het...
As sulks, was ek nog nie weer op daardie site nie - en sal seker nie weer soontoe gaan nie.
04-17-2005, 06:54 AM #3
Hy het my toestemming gegee om sy pos hier te plaas, maar gevra ek noem die volgende:
Maar onthou asseblief - daardie aanval op my stelsels kon ek op geen manier verbind aan SF - of enige ander site nie.
Ons het hard probeer - en heelwat spandeer in die proses - maar, ek kon ongelukkig nie die spoor volg nie.
Gevolglik kan ek niemand onder verdenking plaas nie - al wat ek wel kan sê is, dit het gebeur na ek by SF aangesluit het...
Verder - dit was nie 'n "normale" aanval nie. Bloot 'n proses om alles op my masjien af te laai en te stuur na...???
Dus, indien jy dit ooit sou noem aan iemand anders - onthou asseblief dat my bedoeling allermins is om enige spesifieke persoon, internet site of besigheid te beskuldig.
Bloot miskien 'n waarskuwing aan mense - wees versigtig want, sulke dinge gebeur wel...
04-19-2005, 03:38 PM #4
Vanaand het ek 'n direkte aanval op my rekenaar gekry. My firewall het dit registreer as 'n "Critical Incoming Attack" van "Remote Host" 155.239.102.255 Die gegewens is as volg:-
Application (firewall) has changed since the last time you opened it, process id: 4
The change was denied by user
Ek het die IP adres teruggespoor na:-
NetRange: 155.232.0.0 - 155.240.255.255
CIDR: 155.232.0.0/13, 155.240.0.0/16
# ARIN WHOIS database, last updated 2005-04-18 19:10
Het dit al met enige van julle gebeur...??
Last edited by Lehav; 04-19-2005 at 03:39 PM. Reason: Byvoeging
Bel hulle en vind uit
04-20-2005, 03:22 AM #6
Sommer e-pos gestuur met die nodige...
155.239.102.255 is obfn-ip-nas-1-p255.telkom-ipnet.co.za
Dit was `n dialup in Bloemfontein,
04-22-2005, 02:33 PM #8
Kan ons 'n telefoonnommer vir daardie dialup kry...??
04-22-2005, 02:48 PM #9
bel vir jou ISP en vertel hulle die IP en die tyd van die aanval.
04-22-2005, 02:53 PM #10
In teendeel, ek sal hulle sommer gaan sien. Hulle sit mos hier by my...