Hackpoging

[Empulse]

Zojuist kreeg ik voor het eerst een melding van Zone Alarm Pro dat er een hackpoging gedaan is op mijn PC. Heeft iemand enig idee hoe ik kan achterhalen om wie het gaat?


Opgelost

[ Voor 19% gewijzigd door Empulse op 21-09-2006 20:55 ]

[woutertje]

Gewoon negeren,
het is waarschijnlijk niks en als het wel wat was dan is het er nu niet meer.
Vroeger kreeg ik dit soort meldingen ook vaak, nu heb ik geen firewall meer (heb nog nooit last
gehad van hackers).

[ Voor 38% gewijzigd door woutertje op 21-09-2006 20:26 ]

[CodeCaster]

De IP-adressen zijn van je lokale netwerk, en de poorten zijn van netbios.

Lekker negeren.

woutertje

[ Voor 12% gewijzigd door CodeCaster op 21-09-2006 20:26 ]

[Dersan]

Nee, dit kan niet. Hooguit welke provider/regio waar hij woont.

[Verwijderd]

Wat denk je dat dat "Blocked" betekent?

[Empulse]

Is het serieus iets dat ik moet negeren? Ik gebruik het programma al maanden en heb deze meldingen nog nooit gehad.

Edit: zelf heb ik er geen verstand van, vergeef mij dat

[ Voor 35% gewijzigd door Empulse op 21-09-2006 20:55 ]

[CodeCaster]

Ga eens zoeken welk programma op 192.168.1.101 NetBIOS commando's loopt te verzenden.

[Empulse]

Codemaster,

Dank voor je reactie...
Hoe kan ik zoiets onderzoeken?

[hamsteg]

Zolang ZA het meldt is alles OK

Wil je mijn Linux Server log zien? Ik weet precies wanneer er weer een nieuw script de wereld is ingegooid met guessers ... mijn dagelijkse reporting staat dan weer vol met de pogingen van script-kiddies die elke keer weer hetzelfde proberen te kraken. Moet eerlijk zeggen dat het de laatste weken een beetje rustig is ... hmm zitten alle europese script-kiddies weer op school

Gewoon negeren, komt een IP adres wat vaker terug even contact opnemen met de provider ... werkt zeer goed. Persoon wordt afgesloten en je hebt van hem geen last meer.

[Empulse]

@ Hamste en Code

Maar gaat het dus om een programma op mijn computer of een werkelijke poging tot hacken?

[CodeCaster]

Het is een lokaal IP, dus van een computer of apparaat (netwerkprinter?) in jouw netwerk, met het IP 192.168.1.101.

Niks om je druk over te maken.

[Verwijderd]

wat hacken jullie ik probeer maple story maat het lukt niet

[link0007]

Precies, als het goed is komt 'ie dan ook op een internationale blacklist voor ISP's
Altijd grappig, als je buurman opeens aanklopt en zegt dat 'ie van het internet is afgesloten, en vraagt of jij hem kan helpen

[Empulse]

Ok.

Bedankt voor de reacties!

[Nimoleda]

hamsteggot schreef op donderdag 21 september 2006 @ 20:36:
Zolang ZA het meldt is alles OK

Wil je mijn Linux Server log zien? Ik weet precies wanneer er weer een nieuw script de wereld is ingegooid met guessers ... mijn dagelijkse reporting staat dan weer vol met de pogingen van script-kiddies die elke keer weer hetzelfde proberen te kraken. Moet eerlijk zeggen dat het de laatste weken een beetje rustig is ... hmm zitten alle europese script-kiddies weer op school

Gewoon negeren, komt een IP adres wat vaker terug even contact opnemen met de provider ... werkt zeer goed. Persoon wordt afgesloten en je hebt van hem geen last meer.

offtopic

Bij mij lijkt het alleen maar erg te worden met de ssh attacks,
Oplossing: verander de ssh poort naar 222, dan groeien je logs ook niet meer zo hard

@ Empulse

Gewoon negeren, zolang zonealarm hem netjes blocked is er niets aan de hand

[mae-t.net]

Je vergeet te vermelden of je draadloos internet hebt, en of je zelf maar 1 computer hebt. Iemand die ook op jouw netwerk zit, heeft op de netwerkomgeving geklikt. Als jij maar 1 computer hebt zal het dus inderdaad de buurman zijn, of een ander die op jouw netwerkje zit.

[Verwijderd]

kan een van jullie hacken\

[Verwijderd]

Dat zijn inderdaad lokale adressen. Dus je ene PC probeert je andere PC te hacken.....

Ik heb de laatste tijd last van Amerikaanse script-kiddies die proberen binnen te komen op mijn FTP-servertje.... proberen het wachtwoord van Administrator te brute-forcen ofzo. MIjn FTP heeft alleen geen Administrator-account, dus ik wens ze veel succes. (En ik block de hele IP-range van hun, uiteraard Amerikaanse, ISP.) Mailen naar de abuse-adressen van de providers werkt toch niet. Zodra ik Nederlandse IP's in de logfiles tegenkom, dan ga ik het abuse-adres van de provider wel spammen met mijn logfiles.

[ Voor 11% gewijzigd door Verwijderd op 21-09-2006 21:00 ]

[DataGhost]

aj viasco schreef op donderdag 21 september 2006 @ 20:43:
[...]


offtopic

Bij mij lijkt het alleen maar erg te worden met de ssh attacks,
Oplossing: verander de ssh poort naar 222, dan groeien je logs ook niet meer zo hard

@ Empulse

Gewoon negeren, zolang zonealarm hem netjes blocked is er niets aan de hand

http://en.wikipedia.org/wiki/Tarpit_(computing)
222 komen ze ook wel een keer achter, beetje intelligente portscan ziet gewoon dat ssh draait op eoa poort. Als je ze na een foute inlogpoging in een tarpit flikkert gaat het allemaal wat trager moet ik ook nog eens configureren

@TS: zet die meldingen eens even uit ofzo, ze komen van je lokale netwerk en zijn daarom (hoogstwaarschijnlijk) geen hackpogingen. Misschien kan je ook even op de help-knop drukken of wat zoeken, aangezien het een standaardmelding is, gok ik. Even googlen op netbios had je vast genoeg informatie opgeleverd.

[Verwijderd]

ik zou het willen leren om maple story te hacken

[Empulse]

bedankt tweakers voor de hulp!

Wat zou een leek zoals ik moeten zonder de tweak community?

[Verwijderd]

aj viasco schreef op donderdag 21 september 2006 @ 20:43:

Bij mij lijkt het alleen maar erg te worden met de ssh attacks,
Oplossing: verander de ssh poort naar 222, dan groeien je logs ook niet meer zo hard

Goede log analyzers gebruiken. Wat boeit het hoe groot m'n logs zijn als een goede analyzer je toch alleen de zinvolle informatie geeft?

[Nimoleda]

Verwijderd schreef op donderdag 21 september 2006 @ 20:50:
[...]

Goede log analyzers gebruiken. Wat boeit het hoe groot m'n logs zijn als een goede analyzer je toch alleen de zinvolle informatie geeft?

Duh lijkt me logisch ja

Maar als je van de massa ssh attacks af wil verander je de ssh port, en natuurlijk zal er vast wel een slimme bot zijn die jou ssh port vind zal vinden, maar het scheelt zeker weten.

[VisionMaster]

aj viasco schreef op donderdag 21 september 2006 @ 20:43:
[...]


offtopic

Bij mij lijkt het alleen maar erg te worden met de ssh attacks,
Oplossing: verander de ssh poort naar 222, dan groeien je logs ook niet meer zo hard

@ Empulse

Gewoon negeren, zolang zonealarm hem netjes blocked is er niets aan de hand

Je kan ook een regel aan maken dat op port 22 alles filtered op het source adres. Zo heb ik al mijn werk IP adressen en de prive thuis adressen van de betrokken collega's op onze servers in een whitelist. Dat scheelt ook... de rest wordt lekker gedropt. Dat houdt de verzender van de pakketjes nog even in zijn greep tot zijn time-out.

[Verwijderd]

aj viasco schreef op donderdag 21 september 2006 @ 20:54:

Duh lijkt me logisch ja

Maar als je van de massa ssh attacks af wil verander je de ssh port, en natuurlijk zal er vast wel een slimme bot zijn die jou ssh port vind zal vinden, maar het scheelt zeker weten.

Het scheelt in pogingen. Maar is dat zo belangrijk als alle pogingen samen maar een fractie zijn van het aantal pogingen dat nodig is om serieus een kans te maken om een password te raden? Gewoon sterke passwords gebruiken, gewoon je software regelmatig updaten. En je vooral geen zorgen maken.

[Nimoleda]

Verwijderd schreef op donderdag 21 september 2006 @ 20:57:
[...]

Het scheelt in pogingen. Maar is dat zo belangrijk als alle pogingen samen maar een fractie zijn van het aantal pogingen dat nodig is om serieus een kans te maken om een password te raden? Gewoon sterke passwords gebruiken, gewoon je software regelmatig updaten. En je vooral geen zorgen maken.

Ik zeg: Inderdaad

[Tripp]

Je hoeft de vraag op zich niet weg te halen in de startpost, Misschien ooit nog eens handig als iemand hetzelfde "probleem" heeft en dit topic vindt met de searchfunctie .

[Verwijderd]

Verwijderd schreef op donderdag 21 september 2006 @ 20:57:
[...]

Het scheelt in pogingen. Maar is dat zo belangrijk als alle pogingen samen maar een fractie zijn van het aantal pogingen dat nodig is om serieus een kans te maken om een password te raden? Gewoon sterke passwords gebruiken, gewoon je software regelmatig updaten. En je vooral geen zorgen maken.

Ik heb het password van mijn admin-account laatst ook maar wat sterker gemaakt i.v.m. de vele aandacht. (Bestaat nu uit meer dan 20 tekens, met hoofdletters, kleine letters, leestekens en cijfers.)

[hamsteg]

Verwijderd schreef op donderdag 21 september 2006 @ 20:47: Mailen naar de abuse-adressen van de providers werkt toch niet. Zodra ik Nederlandse IP's in de logfiles tegenkom, dan ga ik het abuse-adres van de provider wel spammen met mijn logfiles.

Ik heb een score van 50% op afluiten. Het soms wat moeite om een email adres te vinden maar vaak kom ik er wel achter. De sales email addressen zijn het effectiefst want deze mensen zijn panisch voor negatieve publiciteit.

Van gisteren, verstuurd naar sales@.... dat werkt perfect, een ticket gekregen met mijn email klacht. Deze persoon is aan de beurt

---[posted via web-site: www.amenworld.com]---
Confirmation
Please contact us for help.
A ticket has been opened under n° 3932051.
Our customer services team will deal with your request as soon as possible.

Digitally yours
The customer services team.
AMEN
In Web We Trust
-----[end post]---
Dear reader,

Please forward this email to your technical or security department, I
could not find an other way to report possible abuses.

Yesterday afternoon there has been a attempt to break into our server.
Normally we would ignore the attempt, a typing error in the IP address is
quickly made, but in this case there were explicit "root", "guest",
"admin", "test" guessing attempts.

Could you please look into the attached logging? In case these attemps are
returning, we will issue a formal complaint and make sure your IP address is
put on a blacklist.

It would be nice to hear the results of your investigation. The mentioned
time has timezone +1 GMT.

---[ filtered log ]---
Nobody is guilty until proven ... dus wordt niet getoond.

[Xandrios]

Duidelijk.