Ik heb de IP van een hacker...wat nu..

[Verwijderd]

Ik merkte laatst, dat er iemand op m'n computer zat te klooien (vensters openen en sluiten...cd-rom open en dicht).

Dus heb ik BlackIce geïnstalleerd en binnen 5 min heb ik iemand aan een poort hangen.
BlackIce heeft braaf z'n IP genoteerd met de boodschap, dat het ging om een TCP OS fingerprint.

Hoe ernstig is dit? Moeten er gruwelijke wraakacties plaats gaan vinden of is het een verveelde puber?

Hoe kom ik achter meer informatie van het IP? Ik heb www.leader.ru al geprobeerd maar daar kwam niets uit.

Ik heb ook al uitgebreid in de search gezocht, maar ik kon geen link vinden om de ISP van die IP te achterhalen.

Bij voorbaat dank voor jullie reactie.
Mudman

[Bigs]

Kennelijk heeft die 'hacker' bij jou een trojan geinstalleerd. Dat is je eigen stomme fout, ga nou niet wraak koesteren tegen die 'hacker' (is toch alleen maar lastig), maar zorg eerst gewoon dat je je zaakjes op orde hebt!

[Verwijderd]

rtfm (read the _fine_ manual)

[N8w8]

Ik heb de IP van een hacker...wat nu..

correctie, je denkt zn IP te hebben.

[Bigs]

Idd.. waarschijnlijk weer een IP van de DHCP server van je provider ofzo

[Verwijderd]

JESUS CHRISTUS!!!!!!!!!!!

Wat ben jij dom!! Een hacker?? die??
Nee dat is een cracker!!

[Verwijderd]

Het is goed mogelijk, dat ik inderdaad een DHCP server te pakken heb ofzo....op dit gebied ben ik helemaal niet thuis.

Ik heb inmiddels verschillende WHOIS-site's geprobeerd, maar ik snap niets van wat ze zeggen.

Kunnen jullie me vertellen waar dit IP vandaan komt : 172.17.13.12

Is het uberhaubt wel zo ernstig als BlackIce zegt?

[Wirf]

whahaha.... het gaat om een TCP OS fingerprint actie?

_dat_ is volledig onschuldig, met dat soort pakketjes kan een "cracker" er achter komen wat voor OS je draait (win98, winNT, linux, freeBSD, whatever)

er is waarschijnlijk wel ingebroken op je pc, maar de IP die je hebt is waarschijnlijk niet het IP van de inbreker

(tip: draai eens een goed antivirus programma, misschien dat die je backdoor kan dichtzetten)

[Wirf]

ff dat IP'tje nog door WHOIS gehaald:

Netname: IANA-BBLK-RESERVED
Netblock: 172.16.0.0 - 172.31.0.0

Coordinator:
Internet Corporation for Assigned Names and Numbers (IANA-ARIN) [e-mail]
[phone]

Domain System inverse mapping provided by:

BLACKHOLE.ISI.EDU 128.9.64.26
BLACKHOLE.EP.NET 198.32.1.116

These blocks are reserved for special purposes.
Please see RFC 1918 for additional information.

komt er op neer dat het een fake adres is, dat normaal niet gebruikt mag worden

[Wirf]

traceroute leverde ook niets op, werd na een paar routers al gefilterd (zoals het hoort, dit soort IP's horen niet op het internet thuis)

[Verwijderd]

En wat voor conclusie moet ik hieruit trekken??

Sinds ik BlackIce erop heb staan heb ik nergens meer last van...ook heb ik verschillende virus scanners gedraaid : niets gevonden.

Dus gewoon iemand die een beetje zat te spelen?

[Wirf]

Op donderdag 18 januari 2001 17:36 schreef Mudman het volgende:
En wat voor conclusie moet ik hieruit trekken??

conclusie: je bent _wel_ gecracked, maar omdat blackice er nu tussen zit, kan de "cracker" niet meer bij z'n crack-programma'tje (z'n backdoor)

Dus gewoon iemand die een beetje zat te spelen?

ja, waarschijnlijk wel, mijn gok is dat het een bekende van jou is, en/of iemand bij dezelfde ISP..

maar, laat in ieder geval blackice draaien.. (zowiezo een goed idee om een firewall te draaien)

[WFvN]

Gewoon een goede virusscanner op je bak loslaten... kun je zien met welke trojan je geïnfecteerd bent... Ook kun je zien waar het in zit... misschien wel in een emailtje.... afzender bekijken....

[Bigs]

Het is een intern adres van binnen je netwerk (of VPN bij sommige providers en MXtream). Denk niet dat het de persoon is die je moet hebben.

[Verwijderd]

Dank u voor de informatie, het was weer leerzaam.:)

Ik ben gerust gesteld

[Verwijderd]

Het kan ook een Napster/Scour/... programma zijn geweest, die jouw in de hotlist heeft staan..

kijk anders op Ripe.net

Toets daar het IP-nummer in en lees de RFC*.txt

[Verwijderd]

Je kan dus _wel_ hacken als iemand blackice heeft, echt wel, ik heb mijn oma ook gehackt die heeft toech ook blackice, sub7 gaat door firewalls heen..

[Bigs]

Als je je firewall maar fatsoenlijk instelt komt er echt niks doorheen hoor. Maarja, de meeste mensen die zo'n BlackIce-programmatje gebruiken zijn zielige hypocrieten die bij elk piepje gaan janken zonder te weten wat het doet (DOMAIN? is dat een nieuwe trojan?) en die beschikken dus ook niet over de kennis om zo'n programma fatsoenlijk in te stellen.

[Verwijderd]

UltraDEV: Je maakt een fout. Sub7 is geen hacken.

[Verwijderd]

He...wat een leuk programmatje is dat BlackIce. Ik heb nu weer een sub7 attack van een of andere UPC-er.

[Verwijderd]

norton personal firewall 2001

[Verwijderd]

BlackIce werkt prima hoor...hij komt er niet in...hij probeert het alleen.|:(

[rvbcrs]

Wat ook wel ff het kijken waart is is:

Zoek op je harddisk of er een bestand KEYHOOK.DLL opstaat zo ja.. weggooien verder zou er nog een bestand explorer.scf of zoiets die laatste weet ik niet helemaal zeker... dit zijn bestanden die bijv. een trojan als NetBus gebruiken... ook is het verstandig om niet van jan en alleman .EXE bestandjes of andere executables aan te namen op deze manier krijgen "crackers" (lees: vervelende kleine pubertjes) toegang tot je PC...

Groetjes RvBCrS

[DeeJee]

Op donderdag 18 januari 2001 16:58 schreef Bigs het volgende:
Kennelijk heeft die 'hacker' bij jou een trojan geinstalleerd. Dat is je eigen stomme fout, ga nou niet wraak koesteren tegen die 'hacker' (is toch alleen maar lastig), maar zorg eerst gewoon dat je je zaakjes op orde hebt!

Er is dus juist NIX aan de hand. BlackIce heeft de "aanval" dus gewoon geblocked. Het is dus niet je eigen stomme fout zoals sommige "tweakers" beweren. Geen actie nemen. Laat BlackIce het werk doen.

Op donderdag 18 januari 2001 17:20 schreef jordyb het volgende:JESUS CHRISTUS!!!!!!!!!!!

Wat ben jij dom!! Een hacker?? die??
Nee dat is een cracker!!

En nee hij is niet DOM Tweakers helpen elkaar toch ...? Ook als iemand iets niet weet.!!!! Sorry moest ik ff kwijt :):)

[Verwijderd]

Op donderdag 18 januari 2001 18:16 schreef UltraDEV het volgende:
Je kan dus _wel_ hacken als iemand blackice heeft, echt wel, ik heb mijn oma ook gehackt die heeft toech ook blackice, sub7 gaat door firewalls heen..

/me lijdt hieruit op dat dit een hele echte, originele scriptkiddie is! [img=15,15]i/s/wink.gif[/img]

En dat het 'door firewalls heen gaat' snap ik ook wel.. Leer es een beetje TCP/IP joh!

(no offence at all btw!)
(jaja, 19% tegenwoordig!)

[Bigs]

Op vrijdag 19 januari 2001 13:07 schreef DeeJee het volgende:
[..]
Er is dus juist NIX aan de hand. BlackIce heeft de "aanval" dus gewoon geblocked. Het is dus niet je eigen stomme fout zoals sommige "tweakers" beweren. Geen actie nemen. Laat BlackIce het werk doen.

Nee je hebt gelijk, laat die trojan maar lekker staan.

Dom volk hier

[Verwijderd]

Ik wil niet iedereen meteen uitmaken voor 'dom volk', maar inderdaad:

Een firewall is NIET om een trojan 'onschadelijk' te maken of wat dan ook! Bedenk dat goed!

[DeeJee]

Op vrijdag 19 januari 2001 17:38 schreef Bigs het volgende:

[..]
Nee je hebt gelijk, laat die trojan maar lekker staan.

Dom volk hier

Toch leuk dat je mensen DOM gaat noemen
Jij begint te zeuren over Trojans....:? Terwijl er nix aan de hand is.

Niet zo zeiken en iemand normaal antwoord geven alstie iets vraagt!

[Verwijderd]

als je slim bent laat je je firewall ff testen en dat doe je op www.grc.com

[Verwijderd]

Nou ik heb m'n schijf echt met van alles en nog wat afgezocht, maar helemaal niets gevonden.
Dat leek mij ook al erg stug, want ik open niets wat ik niet helemaal vertrouw.

Bedankt voor de link naar die test-site. Ik ben nu helemaal gerustgesteld want alles zat potdicht.

Nog ff een vraagje...hoeveel aanvallen per dag zijn nou normaal...ik heb nu twee dagen BlackIce draaien en al zo'n 20 verschillende IP's gehad, die aan m'n poorten zaten te rommelen..
Is dit nou veel of gewoon normaal?

[F0kke]

Ik heb het probleem ook gehad, dat een of andere lozer deed wat hij bij jou ook doet.
Het gaat hier om een Trojan. De Subseven trojan. Jij hebt een executeble uitgevoert die poort 27374 open heeft gezet.(Die heeft de "loser" je dus waarschijnlijk gestuurt) Nu heeft de "hacker" (een of andere lozer dus, want met subseven kan iedereen hacken) de beschikking om met zijn Subseven tooltje leuk allerlei opties te gaan gebruiken:
- Volledige HD toegang
- Cd-Rom open/dicht
- Screen Flip Mode enz enz
- Mouse control
- Shutdown en Reboot opties
- Zo kan ik nog wel ff doorgaan.

Om te zorgen dat je poortje weer dicht gaat moet je in system.ini vrij bovenaan:
"RUN"
"LOAD"
weghalen.
Er zijn soms meerdere geinfecteerde gebieden zoals een bepaalde key in het register. Je moet ff gaan zoeken op het www. Daar is errug veel info te vinden over SubSeven.

Succes

[Verwijderd]

Nou..ik heb nog eens goed gezocht..weer niks gevonden...sub7 ook nergens te vinden.

Maar in ieder geval hartelijk dank voor al jullie hulp.:)

Voor degene die benieuwd zijn of zij misschien sub7 op hun systeem hebben, hier staat heel duidelijk beschreven hoe je het stap voor stap kunt verwijderen.

[Verwijderd]

sub7 is leuk

[Wirf]

Op vrijdag 19 januari 2001 22:14 schreef Mudman het volgende:
Nog ff een vraagje...hoeveel aanvallen per dag zijn nou normaal...ik heb nu twee dagen BlackIce draaien en al zo'n 20 verschillende IP's gehad, die aan m'n poorten zaten te rommelen..
Is dit nou veel of gewoon normaal?

Dit is helaas normaal