IP ban op verschillende websites

[florianbos]

Hallo,

voor mij de eerste keer op dit forum hoop hier veel te leren!

Bij ons thuis is het volgende aan de hand: het begon ongeveer 2/3 week geleden toen we een aantal bekende grote websites niet meer opmochten bv. "disneyplus.com" "buienradar.nl" enz enz. Ik kreeg toen de volgende melding:



vervolgens deze website gevonden: https://www.akamai.com/us/en/clientrep-lookup/

de website stelde het volgende:
Your IPv4 Address 217.120...... received a bad risk score.

The IPv4 Address was associated with the following malicious activity:

Scanning Tool

vervolgens een request ingestuurd om het te laten onderzoeken door dit bedrijf. Prima binnen 2 werkdagen reactie dat ze niks verdachts meer hebben gezien en dat de IP ban zal verdwijnen. en inderdaad alles werkte weer. Maar nu een goeie week later zijn we weer terug bij af.

Mijn vraag is: wat voor software op de apparaten in huis zal verdacht kunnen zijn van een " scanning tool" en hoe dit op te lossen? heb er al aan gedacht om een ander IP aan te vragen via Ziggo maar dit zal vermoedelijk een tijdelijke oplossing zijn.

Alvast Bedankt.

[lier]

Misschien iets van een port scan?
Heb je iets van Aliexpress aan je netwerk hangen?
Devices op het netwerk die niet geupdate (kunnen) worden?

[Verwijderd]

Misschien is 1 van je machines geinfecteerd en wordt er spam gestuurd of zit deze in een botnet.

[Verwijderd]

VPN aanstaan wellicht?

[Ramon]

Kinderen in de puberteit misschien? Beschrijf eerst alles in je netwerk maar eens anders kunnen we blijven raden...

[F_J_K]

Volgens mij is heel 217.120.* van Ziggo dus vast geen VPN.

Op PC's kan je met bijvoorbeeld https://docs.microsoft.co...ternals/downloads/tcpview zien welke software verbinding heeft met internet, en hoeveel. Misschien valt daar iets op. Doe sowieso even een goede virusscan op alle PC's.

Of inderdaad een of andere niet-geupdate hardware die aan het netwerk hangt ('internet of things' etc..), dat is lastiger controleren.

Sommige routers hebben een functie om alle verkeer te tonen dat er langs komt. Kan de jouwe dat? Dan valt er misschien een apparaat op dat veel communiceert.

Ook kan je -als je daar enige kaas van hebt gegeven- een eigen dns server installeren en alle dns verkeer bekijken. Bijvoorbeeld een pihole.

[deagan1337]

Controleer even een IP in dezelfde reeks, bijv. 217.120.x.100 en 217.120.x.101

Indien die IP's ook een 'bad risk' score hebben, ligt het aan de reeks en niet jouw individuele IP adres. Dan hoef je niet je hele netwerk te onderzoeken. Indien het enkel om jouw IP adres gaat zit het waarschijnlijk wel in je eigen lokale netwerk.

[florianbos]

vermoeden gaat op dit moment uit naar een 2 maand oude ASUS laptop, deze is meegeweest op vakantie en ook op de vakantieplek kregen we na een paar dagen de melding "Acces Denied"

Heb op deze laptop een virusscan uitgevoerd, er werd 1 virus gevonden onder de naam "Trojanspy:win32" geen idee wat het is maar dit is verwijderd.

Heb ook TCPview gebruikt op meerder apparaten maar geen hele gekke dingen tegen gekomen.

Nu kijken of ik binnenkort weer op de websites kan.

Bedankt.

[Brahiewahiewa]

deagan1337 schreef op donderdag 27 augustus 2020 @ 13:14:
Controleer even een IP in dezelfde reeks, bijv. 217.120.x.100 en 217.120.x.101

Indien die IP's ook een 'bad risk' score hebben, ligt het aan de reeks en niet jouw individuele IP adres. Dan hoef je niet je hele netwerk te onderzoeken. Indien het enkel om jouw IP adres gaat zit het waarschijnlijk wel in je eigen lokale netwerk.

Hûh? Hoe doe je dat? Denk je dat je zomaar een adres uit de ziggo ip-range jezelf kunt toeëigenen?

[Mavamaarten]

Brahiewahiewa schreef op donderdag 27 augustus 2020 @ 14:15:
[...]

Hûh? Hoe doe je dat? Denk je dat je zomaar een adres uit de ziggo ip-range jezelf kunt toeëigenen?

Volgens mij bedoelt hij dat je best de "buur"-IP addressen eens checkt op de website voor de risk score. Zo kan je kijken of het enkel je eigen IP adres is dat op een zwarte lijst staat, of een hele IP range. Het gaat niet over het toeeigenen van IP-addressen.

[F_J_K]

florianbos schreef op donderdag 27 augustus 2020 @ 13:53:
Heb op deze laptop een virusscan uitgevoerd, er werd 1 virus gevonden onder de naam "Trojanspy:win32" geen idee wat het is maar dit is verwijderd.

"Trojanspy:win32" is een erg generieke naam. In het algemeen zou ik er niet meteen van uit gaan dat je klaar bent na verwijderen van alleen dat. Doe ook even een offline scan van die laptop. Bijvoorbeeld met https://support.kaspersky.com/viruses/krd18 die je dan natuurlijk wel vanaf een andere PC wilt downloaden en op USB of CD wilt zetten.

[deagan1337]

Brahiewahiewa schreef op donderdag 27 augustus 2020 @ 14:15:
[...]

Hûh? Hoe doe je dat? Denk je dat je zomaar een adres uit de ziggo ip-range jezelf kunt toeëigenen?

Dat zeg ik toch niet?

Wat hierboven al gezegd wordt, indien de IP range is gelist heeft het weinig zin je hele eigen netwerk onder de loep te nemen, dit zal de blokkade dan niet opheffen indien het niet door dat IP wordt veroorzaakt maar blokkade op het subnet/ip reeks. Eenvoudige check is een IP opgeven in dezelfde reeks ( mits je dit kunt checken, bij Akamai niet zag ik ). Hij zal anders met Ziggo/Akamai contact op moeten nemen om de IP range te laten delisten/het probleem in de range te verhelpen ( individuele IP's contacten die het probleem veroorzaken - door Ziggo ).

[ Voor 6% gewijzigd door deagan1337 op 27-08-2020 14:50 ]

[florianbos]

Top duidelijk, ga ik eerst checken of het inderdaad een probleem is op de IP range.

[florianbos]

217.120.xx.xx is listed in the PBL, in the following records:

PBL157711


217.120.0.0/14 is listed on the Policy Block List (PBL)


Outbound Email Policy of The Spamhaus Project for this IP range:

This IP address range has been identified by Spamhaus as not meeting our policy for IP addresses permitted to deliver unauthenticated 'direct-to-mx' email to PBL users.

Important: If you are using any normal email software (such as Outlook, Entourage, Thunderbird, Apple Mail, etc.) and you are being blocked by this Spamhaus PBL listing when you try to send email, the reason is simply that you need to turn on "SMTP Authentication" in your email program settings. For help with SMTP Authentication or ways to quickly fix this problem click here.


dit is de melding die ik krijg op spamhaus.org

[Verwijderd]

Dat is voor mail. Je hebt nu een probleem met het bezoeken van websites. Ik raad je aan om verder te zoeken naar apparaten in je netwerk die mogelijk een virus bevatten.

[_trickster_]

florianbos schreef op donderdag 27 augustus 2020 @ 15:13:
217.120.0.0/14 is listed on the Policy Block List (PBL)

Outbound Email Policy of The Spamhaus Project for this IP range:

This IP address range has been identified by Spamhaus as not meeting our policy for IP addresses permitted
to deliver unauthenticated 'direct-to-mx' email to PBL users.
dit is de melding die ik krijg op spamhaus.org

Dat klopt ook wel, de meeste IP-adressen toegewezen aan "Consument-eindpunten" staan op de blacklist omdat deze standaard zelf geen e-mails versturen.

Dus die melding kan je eigenlijk negeren.

[jeroen3]

Doet Ziggo ook aan quarantaine bij verdacht verkeer zoals KPN?
Wellicht gewoon even contact opnemen met Ziggo met het verzoek de gegrondheid hiervan te onderzoeken?

Als er een heel blok op de lijst staat zullen er wel meer klanten last van hebben.

[lordsnow]

Mogelijk dat je 2-3 weken geleden een ander internet-IP hebt gekregen van Ziggo, waardoor je nu hinder ondervindt omdat deze al op diverse plaatsen op een zwarte lijst staat? Je zou bij Ziggo kunnen informeren of ze je een ander IP-adres geven. Dan kan je overal weer bij.

[florianbos]

Hoi, het lijkt nu weer opgelost we kunnen weer alle websites bezoeken. Nu ff afwachten of het terugkomt, Hangt hier ook een Raspberry Pi die is tijdelijk uitgeschakeld.

Ziggo ook gebeld die konden/wilden het IP adres niet aanpassen.

[pennywiser]

[e-mail] al gecontacteerd? zij weten wellicht of je ip door ziggo geblockt was en waarom.

[frickY]

Ik vind de getoonde foutmelding meer lijken op het response van een proxy server, dan direct van een provider...

[florianbos]

Het lijkt tot nu toe nog steeds goed te gaan, heb ook een Raspberry Pi die tijdelijk is uitgeschakeld. Gaat vanaf vandaag weer aan om te kijken of het probleem terug komt.

[pennywiser]

frickY schreef op maandag 31 augustus 2020 @ 13:09:
Ik vind de getoonde foutmelding meer lijken op het response van een proxy server, dan direct van een provider...

de website stelde het volgende:
Your IPv4 Address 217.120...... received a bad risk score.

[Reshadf]

Ik heb dit ook sinds een paar dagen. Ik heb een claim ingediend om het weer na te kijken maar kom ook niet op meerdere websites. Hoe heb jij het opgelost? contact met ziggo, disney+ Etc gehad maar niemand weet wat akamai is 🥲

[ehtweak]

Reshadf schreef op zondag 18 juli 2021 @ 14:45:
maar niemand weet wat akamai is

Da's niet zo moeilijk:

Wikipedia: Akamai Technologies

Één van de grotere CDN's van het www.

[F_J_K]

Reshadf schreef op zondag 18 juli 2021 @ 14:45:
Ik heb dit ook sinds een paar dagen. Ik heb een claim ingediend om het weer na te kijken maar kom ook niet op meerdere websites. Hoe heb jij het opgelost? contact met ziggo, disney+ Etc gehad maar niemand weet wat akamai is 🥲

Akamai: zie boven of https://www.akamai.com/us/en/what-we-do/

Wat lees je op https://www.akamai.com/us/en/clientrep-lookup/ als je er met je eigen IP-adres naar toe gaat? Wat is precies (evt. minus IP-adres) de melding die je op bijv Netflix ziet?

Wat doen: zie het topic hierboven. Iets in je netwerk is schijnbaar aan het spammen o.i.d. Scan alle apparaten op malware. Schakel als test alles uit dat aan je netwerk hangt.

[Jeoh]

Het duurt trouwens even nadat je alles hebt uitgezet voordat je score dropt. Het ligt ook aan de website op welke score ze besluiten om je te blokkeren. Even uit m'n hoofd krijg je een score van 0 tot 10, als er geen activiteit gedetecteerd wordt dropt je score met 1 iedere 12 uur.

(ik heb vroeger aan de andere kant van de Client Reputation gezeten)

[rens-br]

@Reshadf zou je even een nieuw topic willen starten. Het kicken / kapen van het topic van iemand anders is niet gewenst.