[GROM] Hackpogingen op me router...

[Aetje]

Ik denk, loop eens de logjes van mijn Freesco routertje na, kom ik dit tegen:

Nov 8 04:00:45 - Socks5[399]: Auth Failed: (66.28.208.80:58743)
Nov 8 04:00:54 - Socks5[399]: Auth Failed: (66.28.233.164:4413)
Nov 8 04:01:00 - Socks5[398]: Auth Failed: (66.28.208.80:60487)
Nov 8 04:01:02 - Socks5[398]: Auth Failed: (66.28.233.164:4488)
Nov 8 04:01:08 - Socks5[398]: Auth Failed: (66.28.208.80:33446)
Nov 8 04:01:09 - Socks5[398]: Auth Failed: (66.28.208.80:33640)
Nov 8 04:01:10 - Socks5[399]: Auth Failed: (66.28.233.164:3280)
Nov 8 04:01:23 - Socks5[399]: Auth Failed: (66.28.233.164:1508)
Nov 8 04:01:23 - Socks5[398]: Auth Failed: (66.28.233.164:3405)
Nov 8 04:01:24 - Socks5[398]: Auth Failed: (66.28.233.164:3454)
Nov 8 04:01:35 - Socks5[398]: Auth Failed: (66.28.233.164:4164)
Nov 8 04:01:35 - Socks5[399]: Auth Failed: (66.28.233.164:4368)
Nov 8 04:01:37 - Socks5[396]: Auth Failed: (66.28.233.164:1218)
Nov 8 04:01:42 - Socks5[396]: Auth Failed: (66.28.208.80:37880)
Nov 8 04:01:44 - Socks5[396]: Auth Failed: (66.28.233.164:2243)
Nov 8 04:01:45 - Socks5[399]: Auth Failed: (66.28.233.164:2808)
Nov 8 04:01:49 - Socks5[399]: Auth Failed: (66.28.233.164:1540)
Nov 8 04:01:53 - Socks5[399]: Auth Failed: (66.28.233.164:3778)
Nov 8 04:01:54 - Socks5[396]: Auth Failed: (66.28.233.164:4640)
Nov 8 04:02:15 - Socks5[396]: Auth Failed: (66.28.233.164:1700)
Nov 8 04:02:17 - Socks5[399]: Auth Failed: (66.28.208.80:42448)
Nov 8 04:02:21 - Socks5[399]: Auth Failed: (66.28.208.80:42929)
Nov 8 04:02:26 - Socks5[399]: Auth Failed: (66.28.208.80:43628)
Nov 8 04:02:30 - Socks5[399]: Auth Failed: (66.28.233.164:3081)
Nov 8 04:02:36 - Socks5[399]: Auth Failed: (66.28.208.80:44994)
Nov 8 04:02:38 - Socks5[399]: Auth Failed: (66.28.208.80:45178)

En dat gaat nog wel even door. Bruteforce poging dus... Ik woest, gelijk die IP's geblocked. (En voor degenen die denken waarom draait die gek een proxy naar de Inet interface: Vriendin in amerika heeft AOL. AOL kan niet op bep. IRC servers... dat doet ze via mijn IP )
En dan de backtrace. Die IP's leiden me naar een of andere vage russische comp, die op NetBSD draait. Zag dat SMTP en POP aanstond, dus gelijk even een mailtje naar de admin gestuurd...

Vraag is... Kan ik deze gozers zelf aanpakken, eventueel geholpen door mijn provider XS4All? Ik denk niet dat ze binnen zijn geweest (ik heb gelijk ff het root password gewijzigd) maar ik huiver toch een beetje...

[HurrI]

gewoon een scriptkiddie .. niet te druk om maken... gewoon niet een woordenboek woord gebruiken. En daarbij, zoo te zien doet ie er 10/20 per minuut, dus reken maar uit hoe lang het duurt voordat ie een 6 letter/cijfer random wachtwoord heeft gevonden.... statistisch dan

Overigens, alleen voor irc'en heb je niet een volwaardige proxy nodig. Met een irc bouncer kan je exact hetzelfde bereiken.

[Aetje]

Mja... maar dat wil ik niet (met het oog op zelf ook de proxy volwaardig kunnen gebruiken om -bepaalde- firewalls te omzeilen en op school op T.net te kunnen )

Overigens zijn alle passwords minimaal 8 characters lang op die bak. Root is 20...

[HurrI]

Niet naar omkijken en lekker gaan slapen...

[Aetje]

Mja, en straks beschuldigd worden van meedoen aan een DDOS aanval zeker. Liever niet...

[silentsnow]

Aetje schreef op 08 november 2002 @ 03:44:
Overigens zijn alle passwords minimaal 8 characters lang op die bak. Root is 20...

Weer wat geleerd. Ik zal het ff omroepen op een aantal IRC kanalen (voorzichtig)

[Aetje]

Nov 8 04:19:00 - Socks5[398]: Auth Failed: (66.28.208.80:59416)
Nov 8 04:19:00 - kernel: ip_fw_demasq_gre(): Inbound from 10.0.0.138 has no masq table entry.
Nov 8 04:19:14 - last message repeated 62 times
Nov 8 04:19:14 - Socks5[398]: Auth Failed: (66.28.208.80:32896)
Nov 8 04:19:14 - kernel: ip_fw_demasq_gre(): Inbound from 10.0.0.138 has no masq table entry.
Nov 8 04:19:15 - last message repeated 8 times
Nov 8 04:19:15 - Socks5[399]: Auth Failed: (66.28.208.80:33005)
Nov 8 04:19:15 - kernel: ip_fw_demasq_gre(): Inbound from 10.0.0.138 has no masq table entry.
Nov 8 04:19:21 - last message repeated 29 times
Nov 8 04:19:21 - : [admin@192.168.0.66] issued: ipfwadm -I -l
Nov 8 04:19:21 - kernel: ip_fw_demasq_gre(): Inbound from 10.0.0.138 has no masq table entry.
Nov 8 04:19:21 - last message repeated 2 times
Nieuwe firewall settings aan: Hier
Nov 8 04:19:21 - named[180]: sysquery: findns error (2) on ns1.nativehosting.com?
Nov 8 04:19:21 - kernel: ip_fw_demasq_gre(): Inbound from 10.0.0.138 has no masq table entry.
Nov 8 04:19:52 - last message repeated 176 times
Nov 8 04:20:54 - last message repeated 248 times
Nov 8 04:21:55 - last message repeated 291 times
Nov 8 04:22:56 - last message repeated 398 times
Nov 8 04:23:57 - last message repeated 283 times
Nov 8 04:24:58 - last message repeated 297 times
Nov 8 04:25:58 - last message repeated 318 times


Zo, nu kan ik lekker slapen...

[HurrI]

tijd van posting en tijden van je log zijn wat raar zeg maar of log je in de toekomst?

[Aetje]

Mja, kwam ik later achter. Ik had de offset van de NTP client niet goed staan...

iig heb ik nu een extra "veiligheids" maatregeltje eraan gehaakt: De activity LED heb ik met wat soldeer-en-knutselwerk op het frontje van de router gezet. Zie ik iig of er veel activiteit op de fysieke interface is wanneer dat niet hoort...

[Aetje]

Nov 9 11:45:43 - Socks5[407]: Auth Failed: (66.28.208.52:54942)
Nov 9 11:45:47 - Socks5[404]: Auth Failed: (66.28.208.52:55682)
Nov 9 11:45:50 - Socks5[405]: Auth Failed: (66.28.208.52:56189)

Nu is 't genoeg: ipfwadm -I -a deny -P all -S 66.28.0.0/16 -D 0.0.0.0/0
Stomme russen...
En een boos mailtje naar Nativehosting.com

[Fish]

heb je dhcp .. kun je je ipadress niet releasen ? en een andere krijgen dus ..

[Jimbolino]

Mja, en straks beschuldigd worden van meedoen aan een DDOS aanval zeker. Liever niet...

als jij een goed password hebt, is dat dus bullshit

maar 66.28.x.x blokken is een goede maatregel...

ook is het maybe slim om je proxy op een andere poort te runnen, die niet zo scan-gevoelig is...

[Aetje]

XS4All ADSL = statisch IP...
En 66.28 blokken ging goed tot er ook aanvallen van andere domeinen kwamen... *zucht*

Naja, ik heb nu het proxietje maar uit gezet. Jammer... Maar die kiddies gaan er niet in komen. Ik heb nu geen zin om die @^$%@'s aan te pakken...