Intruder!!!!!!! Help

[DeeJee]

Mijn blackice geeft aan dat er iemand een SNMP dicovery broadcast doet.
Kan waarschijnlijk geen kwaad, want heb hem geblocked. Toch is het vrij klote. Blijft komen. Heb al 400 counts.

WAT kan ik doen?

[Vm1heA]

gimme the IP man
dan kunnen we meer

[DeeJee]

IP: 62.108.23.95
DNS: node175f.a2000.nl

[Vm1heA]

mailtje sturen naar [e-mail]

ip vermelden en zeggen wat ie gedaan heeft
werkt goed voor de andere gebruikers, krijgen ze weer wat meer bandbreedte als ie zn account kwijt raakt.

[DeeJee]

Okee ga ik meteen doen.

Thanx

[Agent-X]

Wie is abuse ?
?
hehe

[Bigs]

Is een SNMP discovery broadcast niet gewoon iets wat je kabelprovider doet?

Je kunt via SNMP niet iemands computer binnenkomen trouwens, hoor.

[DeeJee]

Ja Maiar ik had hem wat laat door!!!

[DeeJee]

Wat zijn leuke tools om wat meer te weten te komen.Ik heb nu netinfo

[Bigs]

Doe eens traceroute www.a2000.nl. Komt het IP niet in die lijst voor?

[DeeJee]

Nee niet dat specifieke nummer.

[Macros]

Mini research:

nmap -O 62.108.23.95

Starting nmap V. 2.54BETA5 ( www.insecure.org/nmap/ )
Warning: OS detection will be MUCH less reliable because we did not find at least 1 open and 1 closed TCP port
Interesting ports on node175f.a2000.nl (62.108.23.95):
(The 1531 ports scanned but not shown below are in state: filtered)
Port State Service
21/tcp open ftp
25/tcp open smtp
80/tcp open http

TCP Sequence Prediction: Class=trivial time dependency
Difficulty=2 (Trivial joke)
Remote operating system guess: Windows NT4 / Win95 / Win98

Nmap run completed -- 1 IP address (1 host up) scanned in 173 seconds

[Verwijderd]

hmmm.... adres bevind zich in wormerveer... volgens mij hebben die niet zo heel erg veel kabelaars... let's get them!

[Verwijderd]

moet je eens kijken op http://62.108.23.95 ;o)

[DeeJee]

Zie ik nix Paz.
Klopt komt vanuit Wormerveer. Alleen beginnen de client ip's daar met 24.132... enzov. Lijkt me dus meer een DNS ofzo.

[collin]

Kikkerbeet 10, 3824 WV AMERSFOORT

Stuur hem een PTT mailtje

Trouwens, 62.108.20.3 zit mij te portscannen

irritante gasten met die range

[TrailBlazer]

Ik heb het idee dat die hacker het via dit account doet ofzo want dit lijk me niet echt een hacker zo op het eerste gezicht

[Bigs]

Doe toch maar voorzichtig. Die persoon doet misschien niks fout of expres. Aardig zijn wil ook wel eens helpen ipv bruut geweld

[DeeJee]

Zal wel geen slechte bedoelingen hebben. Gaat mij er meer om datie het blijft proberen. Hoe kom je aan dat adres in Amersfoort.

[Verwijderd]

gewoon dat adres intoetsen.. ik lieg niet!
ps, het KAN zijn dat deze persoon al tijdens a2000 een aansluiting had. alle 62.108 ip's zijn namelijk nog van het 'oude' snelle a2000.

[0siris]

ga maar eens op zijn homepage kijken, zie je het vanzelf:

http://62.108.23.95/
of
http://kikkerbeet.ods.org/

wat wel raar is, is dat snmp op port 161 draait, wat moet je daar nou mee? das leuk in een intern netwerkje, maar waarom zou een kabelmodemgebruiker naar buiten toe poort 161 openhebben? 21(FTP) en 80 (HTTP) enzo kan ik snappen, maar 161? weird..

[DeeJee]

Maar waar haalt collin dat adres in Amersfoort nou vandaan?

Ik kom niet op die pagina's i.i.g.

[Verwijderd]

laatste keer: kijk gewoon op dat ip adres (http!)... adres is: Kikkerbeet 10, 3824 WV AMERSFOORT

[Verwijderd]

Er staan zelfs foto's/bouwtekeningen van dat huis op dat adres!!!

[DeeJee]

Hehe got it....

thanx everyone. :):)

[Verwijderd]

Deejee: hoe ging dat van dat kwartje nou ook alweer? was toch iets in de trand van:hoe later op de avond, hoe sneller het kwartje valt? of haal ik nu twee dingen door elkaar

[jeroen|IA]

pff... een snmp discovery broadcast... poepoe.. nounou..

Hoogstwaarschijnlijk heeft de betreffende persoon een programmaatje als Fluke Network Inspector of zo opgestart. Die gaat inderdaad het netwerk over om te kijken welke devices op SNMP reageren.

[Verwijderd]

hmmm jeroen, ik wist wel dat het netwerk van upc ietwat krakkemikkig in elkaar zit, maar dat zou in dit geval betekenen dat ze ergens een loopje hebben ingetekend.... 400+ is wel errug veel...

[alt-92]

Wrom? foutje is zo gemaakt hoor...

[jeroen|IA]

Kee, das wat veel. Maar in principe betekent een SNMP discovery broadcast dus niet zo veel. Overigens is 400 scans helemaal niet zo ongebruikelijk voor Fluke Network Inspector. Die heeft namelijk eoa client proggeltje dat eens in de zoveel tijd weer het netwerk over gaat om te kijken of er iets veranderd is. Dus als die ingesteld staat op elke 5 min scannen...

[DeeJee]

Nee erg is het niet, maar wel vervelend. Duurde al twee dagen.

Van dat kwartje: Ik had hem in BlackIce geblocked vandaar dat ik niet op zijn site kwam. :):) (jaja dom)
Toch wel leuk dat we er zo uit komen met al die tweakers hier.

[Verwijderd]

we zijn nu net de GROOTSTE familie van nederland he?

[Vm1heA]

BTW, SNMP is simple network management protocol
En diegene die dat installeert is niet helemaal wijs.
Daar kun je alles uitzoeken wat een server allemaal aan boord heeft.
En ook welke mensen er in mogen loggen.
Meestal staat het protocol op public, dus iedereen kan er in.

Vaak staat het password op public of blanco !!!

[Bigs]

Neh, zolang je de community strings niet weet kun je niks met SNMP.

[LuCarD]

Ik heb ook zo'n idioot in de buurt
Mijn log files lopen vol... zal ik hem aanklagen ?