DoS attacks op m'n router

[Pkunk]

M'n router begon ineens raar te doen (spontane reboots e.d.) waardoor ik de logs eens ben gaan bekijken. Zie ik tot mijn schrik dat er vanaf een half uur geleden het helemaal vol staat met dit soort zaken:

[DoS Attack: ACK Scan] from source: 84.210.21.240, port 51703, Sunday, May 22,2011 18:02:43
[DoS Attack: RST Scan] from source: 217.120.240.31, port 55811, Sunday, May 22,2011 18:02:40

Ik kan die ip adressen niet pingen en ze veranderen ook de hele tijd. Ik heb m'n wireless maar uit gezet maar dat lijkt niet te helpen. Ik vind het maar irritant. Wat moet ik hier mee? Wat kan ik er tegen doen?

[Joep]

IP adres laten wijzigen bij provider?

[battler]

Stel je ISP op de hoogte.

[twicejr]

Ehm, het is toch goed dat ie het blockt?
De router op stealth mode zetten helpt ook, dan ben je onzichtbaar (voor de toekomst..)

Volgens mij kun je het verder op deze manieren tegengaan:
-Loggen sowieso voor dat nivo, of die functie uitschakelen indien mogelijk
-Zipb instellen (als je pc stealth gefirewalled is, en volgens mij werkt zipb maar voor 1 client??)
-Firewall helemaal uit, als je pc's toch allemaal al gefirewalled zijn.

[Voor 98% gewijzigd door twicejr op 22-05-2011 20:14]

[Pkunk]

twicejr schreef op zondag 22 mei 2011 @ 20:10:
Volgens mij kun je dit op 2 manier tegengaan:
-Loggen voor dat nivo, of die functie uitschakelen indien mogelijk.

Wat bedoel je precies? Loggen voor welk nivo? Welke functie uitschakelen?

Ik zal sowiso m'n isp op de hoogte stellen, al zie ik niet wat ik daarmee op kan schieten

meh irritant dit

[battler]

Eigenlijk kan jij niets doen (behalve je IP wijzigen). Je lijn wordt gewoon volgepropt met useless data. Zelfs als je jouw pc uit zet (of onzichtbaar maakt (wat dat ook moge betekenen). Komt die data gewoon aan bij je router, dat je router op dat moment die data dropt neemt niet weg dat je lijn volgepropt wordt.

[Pkunk]

Net even Ziggo gebeld en die kunnen niets. Ik kan alleen hopen dat binnenkort m'n ip veranderd kennelijk..

Maar hoe link is dit nou? Ik heb 1 poort geforward en wat gebeurt er nou als die poort gescanned wordt? Kunnen ze dan m'n netwerk in?

[Pkunk]

En wat is dit nu weer?

[LAN access from remote] from 94.171.33.8:60040 to 10.0.0.4:56432, Sunday, May 22,2011 18:36:09
[UPnP set event: add_nat_rule] from source 10.0.0.4 Sunday, May 22,2011 18:36:09

Zitten ze nu in m'n netwerk ofzo?

Nou ik zet m'n internet maar uit rest van de avond. Ben benieuwd of het morgen nog is..

[Voor 14% gewijzigd door Pkunk op 22-05-2011 20:59]

[Joep]

Pkunk schreef op zondag 22 mei 2011 @ 20:33:
Net even Ziggo gebeld en die kunnen niets. Ik kan alleen hopen dat binnenkort m'n ip veranderd kennelijk..

Je moet je niet zo snel laten afschepen. Ziggo is de goedkoopste niet, dus gewoon service eisen en doorzeuren tot de servicedesk je zat is en doorstuurt voor een IP adres-wijziging.

[Boudewijn]

Als je je modem uit zet dan krijg je soms na een tijdje een nieuw ip .

[job]

Je router een ander mac adres geven (kan je de mac kloon optie voor misbruiken) en je krijgt een nieuw ip.

Pkunk schreef op zondag 22 mei 2011 @ 20:39:
En wat is dit nu weer?

Een programma op de pc met ip 10.0.0.4 heeft dmv upnp een poort geopend.
Wat heb je op die pc draaien? een torrent client wellicht?

[Voor 68% gewijzigd door job op 22-05-2011 22:07]

[franssie]

precies, ik schat dat nu (al zij het onbedoeld) gaat gebeuren aangezien ie off-line zou gaan.
blijft wel raar dat (1) een particulier onder DOS ligt en (2) Ziggo niet wil helpen.

job schreef op zondag 22 mei 2011 @ 22:05:
Je router een ander mac adres geven (kan je de mac kloon optie voor misbruiken) en je krijgt een nieuw ip.

Dat zou icm een half uurtje off-line zijn moeten werken, slim!

[Voor 43% gewijzigd door franssie op 22-05-2011 22:07]

[Rob]

Heb je niet gewoon een torrent client draaien en download je een populaire torrent?

[JPS]

Rob schreef op zondag 22 mei 2011 @ 22:10:
Heb je niet gewoon een torrent client draaien en download je een populaire torrent?

Sja, zoiet lijkt me meer voor de hand liggend. Bovendien, je wireless functie uitschakelen is zinloos als de aanval vanaf externe IP adressen komt

[Pkunk]

job schreef op zondag 22 mei 2011 @ 22:05:
Je router een ander mac adres geven (kan je de mac kloon optie voor misbruiken) en je krijgt een nieuw ip.

Dunno hoe ik dat moet doen, maar dat valt vast uit te zoeken

Een programma op de pc met ip 10.0.0.4 heeft dmv upnp een poort geopend.
Wat heb je op die pc draaien? een torrent client wellicht?

Ja, maar dus niet op dat moment. Ik heb meteen maar even een volledige virus en malware scan gedaan, maar die was nagtief.

Ja ik download dus met torrents inderdaad, maar de client heb ik al de hele avond uit staan. En daarbij heb ik nu ook geen actieve torrents (zowel up als down). Ik heb nu weer even m'n internet aangezet en wordt nog steeds gescant al lijkt het wat minder intens dan voorheen. Ik krijg nu om de minuut een nieuwe log entry i.t.t. elke 5 seconden voorheen.

M'n ip is nog hetzelfde na het uitzetten van m'n modem. Ik heb Ziggo plus en daarbij hoort schijnbaar een statisch ip. Morgen nog maar even bellen en een ander ip eisen.

[Voor 44% gewijzigd door Pkunk op 22-05-2011 22:55]

[Henk007]

Ik zou me er niet al te druk over maken. Volgens mij wordt ieder IP adres wel eens gescant, gepingd of geDOS. Vroeger raakte ik ook in paniek door dat soort meldingen in de logs, nu lees ik ze niet eens meer.

[Rob]

Misschien staat je IP nog in een tracker, proberen al die IP's nog een stukje van de torrent binnen te halen

[Pkunk]

Rob schreef op zondag 22 mei 2011 @ 22:57:
Misschien staat je IP nog in een tracker, proberen al die IP's nog een stukje van de torrent binnen te halen

Kweenie hoor, als het van torrents zou komen zou ik die ip adressen moeten kunnen pingen toch lijkt me? Dat kan nu niet.

[Craven]

Pkunk schreef op zondag 22 mei 2011 @ 23:00:
[...]

Kweenie hoor, als het van torrents zou komen zou ik die ip adressen moeten kunnen pingen toch lijkt me? Dat kan nu niet.

Dat sowieso niet. Die torrents komen gewoon van andere mensen die achter een vergelijkbare router zitten. En die hoeven natuurlijk niet allemaal pings te accepteren.

edit: sterker nog de meeste huis tuin en keuken routers blokkeren dat gewoon.

edit 2: en nog een leuke. Een simpele portscan op je router is niet anders dan gewoon "internetruis". Ik denk dat je het rebooten van je router eerst beter ergens anders in kan zoeken. Maar als je echt wilt uitsluiten gewoon ip aanpassen d.m.v. bovenstaande tips. Maar ik denk niet dat dat je probleem gaat oplossen.

[Voor 33% gewijzigd door Craven op 22-05-2011 23:05]

[Pkunk]

Craven schreef op zondag 22 mei 2011 @ 23:01:
[...]

Dat sowieso niet. Die torrents komen gewoon van andere mensen die achter een vergelijkbare router zitten. En die hoeven natuurlijk niet allemaal pings te accepteren.

Ik zou verwachten dat je de gemiddelde gebruiker gewoon kan pingen. Ik heb er nu een stuk of 10 geprobeerd maar bij geen van allen response. Is dat niet op z'n minst een beetje vreemd?

[Craven]

Zie ook 1e edit. Maar nee dus. Meeste router antwoorden gewoon niet op icmp.

[JvW]

Ik sluit me aan bij de torrent-theorie. Ik heb een soortgelijk probleem gehad met utorrent op een oude desktop hier. Als ik de client had uitgeschakeld dan bleef er vaak nog een hele tijd incoming activiteiten in de router. Ging vanzelf weer weg.

Kun je terugzien of het eerder is voorgekomen, of wanneer het is begonnen? Misschien kun je dan iets uitsluiten.

[alt-92]

Pkunk schreef op zondag 22 mei 2011 @ 23:06:
[...]
Ik zou verwachten dat je de gemiddelde gebruiker gewoon kan pingen.

Ik verwacht helemaal niks van HTK routers, die zien een ping al als hackpoging.

Wat jij in je logs ziet zijn half-gesloten connecties die de rest van hun handshake (duh - tcp) af willen maken bijvoorbeeld, als je echt geDoSsed wordt kom jij echt niet meer online.

Het scheelt ook een boel als je je eigen routerlogs beter leert interpreteren:

[UPnP set event: add_nat_rule] from source 10.0.0.4 Sunday, May 22,2011 18:36:09

Jouw router zet een poort open d.m.v. UPnP omdat jouw interne PC met IP 10.0.0.4 dat vraagt.

[Pkunk]

alt-92 schreef op maandag 23 mei 2011 @ 14:16:
Jouw router zet een poort open d.m.v. UPnP omdat jouw interne PC met IP 10.0.0.4 dat vraagt.

Sure, maar het was meer i.c.m. de regel daarboven waar ik me zorgen om maakte:

[LAN access from remote] from 94.171.33.8:60040 to 10.0.0.4:56432, Sunday, May 22,2011 18:36:09

Daar staat verder niet bij dat dat bij een of andere client van mij hoort. Daarbij had ik om die tijd geen torrent o.i.d. open staan. Ik zie daar alleen maar dat een of ander ip adres m'n LAN op komt.

Anyway, ik krijg nog steeds dezelfde meldingen maar nu nog maar om het half uur zo'n beetje. M'n torrent client staat ook alweer een tijdje aan en flink te uploaden maar dat lijkt dus weinig uit te maken.

Ik blijft het maar een raar verhaal vinden..

[Voor 4% gewijzigd door Pkunk op 23-05-2011 18:48]

[Repsaj_Nav]

Heb je in je torrent-programma deze poort ingesteld? (56432).
Anders lijkt het me dat je het probleem ergens anders moet zoeken.

[Pkunk]

Repsaj_Nav schreef op maandag 23 mei 2011 @ 18:52:
Heb je in je torrent-programma deze poort ingesteld? (56432).
Anders lijkt het me dat je het probleem ergens anders moet zoeken.

Nope. Maar is die poort niet gewoon via UPnP "geregeld" ?

Maar misschien is het handig als ik me eens wat beter in de materie ga inlezen zodat ik het zelf ook alemaal wat beter kan interpreteren, want ik doe nogal wat aannames..

[fonsoy]

Boudewijn schreef op zondag 22 mei 2011 @ 22:05:
Als je je modem uit zet dan krijg je soms na een tijdje een nieuw ip .

In mijn ervaringen is het veranderen van het MAC adres van de router, in combinatie met een modem reboot een oplossing.