Help! ik word aangevallen...

[Verwijderd]

op dit moment wordt ik behoorlijk gehackt heb ik het idee..

zonealarm komt constant met meldingen... ik kan zelfs soms niet eens het internet op.. zo erg is het... wat kan ik hier tegen doen...

ik heb wel een ip-adres vanwaar het vandaan komt.

help me!

[KunDun]

Pc gewoon uitzetten

[Verwijderd]

netwerkstekker er even uithalen, doet wonderen

[Nibble]

netwerk stekker eruittrekken wil meestal wel helpen, dan rustig alles analyseren, dingen dichtgooien en weer online gaan.. gewoon niet panieken.

[twiekert]

pff en wat denk je wat wij daaraan kunnen doen. dat we hier op een magische knop drukken en het ineens op houdt?

[Rafe]

Je wordt niet gehacked, je firewall geeft aan dat een mogelijke aanval is afgeweerd.

Mijn ervaring met ZoneAlarm is, dat het ongeveer al je internet verkeer als een aanval ziet

[ErHa]

Heb je soms Emule geinstalleerd en dat net uitgezet... andere emule gebruikers blijven namelijk nog vrij lang daarna 'doorvragen' aan jou kant

[ Voor 7% gewijzigd door ErHa op 21-02-2003 19:11 . Reden: typo ]

[Verwijderd]

ik heb al geprobeerd m'n netwerkkabel er uit te doen.. die is er ongeveer een half uur uitgeweest en het is echt niet zo maar iets.. mijn pc ging heel raar doen.. (e-mails naar rare adressen verzenden e.d.) ik heb hem al opnieuw moeten installen...

[ Voor 11% gewijzigd door Verwijderd op 21-02-2003 19:13 ]

[Verwijderd]

ik heb geen emule geinstalleerd gehad.

[Verwijderd]

firewall is leuk.. maar ook aan een (up2date) virusscanner gedacht?

[Verwijderd]

Verwijderd schreef op 21 February 2003 @ 19:16:
firewall is leuk.. maar ook aan een (up2date) virusscanner gedacht?

ja... deze heb ik ook

edit: inmiddels zijn er al meer dan 1000 aanvallen tegengehouden.... (in 5 min.)

[ Voor 19% gewijzigd door Verwijderd op 21-02-2003 19:20 ]

[Verwijderd]

is er op de een of andere manier een mogelijkheid waar ik kan zien waar het vandaan komt? ik heb wel het ip-adres nml.

[_MaLa_]

messchien zit je niet via een vast ip op internet zet dan eens je modem aan en uit voor een ander iptje en zet je firewall op high als het niet ophoud...

[Verwijderd]

ik zit wel via een vast ip op internet... chello heb ik als provider

firewall staat op high

[ Voor 33% gewijzigd door Verwijderd op 21-02-2003 19:26 ]

[Fairy]

Verwijderd schreef op 21 februari 2003 @ 19:12:
ik heb al geprobeerd m'n netwerkkabel er uit te doen.. die is er ongeveer een half uur uitgeweest en het is echt niet zo maar iets.. mijn pc ging heel raar doen.. (e-mails naar rare adressen verzenden e.d.) ik heb hem al opnieuw moeten installen...

Dan heb je al een virus op je pc zitten die je er eerst maar eens af moet halen.

[Verwijderd]

ik heb de schijven al opnieuw geformateerd....

[cold45]

firewall op normall zetten, als ie op high staat houd ie waarschijnlijk meer tegen?
btw is ut ip niet toevallig 127.0.0.1 of 192.168.1.10 oid? aangezien k met ZoneAlarm vaak van dat soort dingen werden geblockt...

[Verwijderd]

nee het ip is: **********

[ Voor 44% gewijzigd door Verwijderd op 21-02-2003 19:47 ]

[Aetje]

Copy/paste eens een paar meldingen. Als je denkt dat het ECHT een hack is doet een mailtje naar de abuse afdeling van je eigen of zijn ISP wonderen...

Eventjes info ophalen over dat IP:
Redhat systeem zo te zien. Linux box met een paar extensies. Whois gedaan:

code:

OrgName:    Cogent Communications 
OrgID:      COGC
Address:    1015 31st Street, NW
City:       Washington
StateProv:  DC
PostalCode: 20007
Country:    US

NetRange:   66.28.0.0 - 66.28.255.255 
CIDR:       66.28.0.0/16 
NetName:    COGENT-NB-0000
NetHandle:  NET-66-28-0-0-1
Parent:     NET-66-0-0-0-0
NetType:    Direct Allocation
NameServer: AUTH1.DNS.COGENTCO.COM
NameServer: AUTH2.DNS.COGENTCO.COM
Comment:    ADDRESSES WITHIN THIS BLOCK ARE NON-PORTABLE
Comment:    Reassignment information for this block can be found at
Comment:    rwhois.cogentco.com 4321
RegDate:    2000-10-12
Updated:    2001-12-05

TechHandle: ZC108-ARIN
TechName:   Cogent Communications 
TechPhone:  [phone]
TechEmail:  [e-mail] 

OrgAbuseHandle: COGEN-ARIN
OrgAbuseName:   Cogent Abuse 
OrgAbusePhone:  [phone]
OrgAbuseEmail:  [e-mail]

OrgNOCHandle: ZC108-ARIN
OrgNOCName:   Cogent Communications 
OrgNOCPhone:  [phone]
OrgNOCEmail:  [e-mail]

OrgTechHandle: IPALL-ARIN
OrgTechName:   IP Allocation 
OrgTechPhone:  [phone]
OrgTechEmail:   [e-mail] @nospam.com

[ Voor 81% gewijzigd door Aetje op 21-02-2003 19:45 ]

[Icey]

Verwijderd schreef op 21 February 2003 @ 19:38:
nee het ip is:

weghalen, want dat mag niet...

[ Voor 4% gewijzigd door Icey op 21-02-2003 19:43 ]

[Verwijderd]

The firewall has blocked internet access to you computer (tcp port 1080) from **********
(TCP Port 44323) [TCP Flags: S].

[ Voor 10% gewijzigd door Verwijderd op 21-02-2003 19:46 ]

[Verwijderd]

ik krijg ze nu ook van adres: **********

[ Voor 28% gewijzigd door Verwijderd op 21-02-2003 19:46 ]

[Aetje]

Ah, poort 1080, da's proxy. Iemand is aan het scannen naar open proxies. Niet bang zijn indien je geen proxy draait

[Glashelder]

Waarom mag je geen IP's posten?

[Verwijderd]

weet ik ook niet... thks!

[Aetje]

2e IP:

code:

OrgName:    AT&T WorldNet Services 
OrgID:      ATTW
Address:    400 Interpace Parkway
City:       Parsippany
StateProv:  NJ
PostalCode: 07054
Country:    US

NetRange:   12.0.0.0 - 12.255.255.255 
CIDR:       12.0.0.0/8 
NetName:    ATT
NetHandle:  NET-12-0-0-0-1
Parent:     
NetType:    Direct Allocation
NameServer: DBRU.BR.NS.ELS-GMS.ATT.NET
NameServer: DMTU.MT.NS.ELS-GMS.ATT.NET
NameServer: CBRU.BR.NS.ELS-GMS.ATT.NET
NameServer: CMTU.MT.NS.ELS-GMS.ATT.NET
Comment:    For abuse issues contact [e-mail]
RegDate:    1983-08-23
Updated:    2002-08-23

TechHandle: DK71-ARIN
TechName:   Kostick, Deirdre 
TechPhone:  [phone]
TechEmail:  [e-mail] 

OrgAbuseHandle: ATTAB-ARIN
OrgAbuseName:   ATT Abuse 
OrgAbusePhone:  [phone]
OrgAbuseEmail:  [e-mail]

OrgTechHandle: ICC-ARIN
OrgTechName:   IP Customer Care 
OrgTechPhone:  [phone]
OrgTechEmail:  [e-mail]

OrgTechHandle: IPSWI-ARIN
OrgTechName:   IP SWIP 
OrgTechPhone:  [phone]
OrgTechEmail:  [e-mail]

[Icey]

dual-zip schreef op 21 februari 2003 @ 19:46:
Waarom mag je geen IP's posten?

omdat dat mensen aanzet??

stel ik heb ruzie met me buurman, ik zeg op got dat ik word angevallen, geef het ip van me buurman...

En nu zijn er vast en paar goede hackers tussen ons die er dan wat van bouwen.

Straks is Tweakers.net nog aansprakelijk.

[jevn]

dual-zip schreef op 21 February 2003 @ 19:46:
Waarom mag je geen IP's posten?

gokje misschien om te voorkomen dat we dan massaal dat ip gaan lastig vallen => dan zou dat via tweakers lopen en dat is niet het doel van het forum (erg slecht voor het imago) én nog veel erger als degene die begonnen is.

[Verwijderd]

Het kan zijn dat iemand jou IP adres gebruikt om op internet te komen.
Neem contact op met provider, ze geven je als t goed is een nieuw IP-adres.

Als het niet werkt ga je naar www.pc-cillin.com en klik je op housecall. Dit is een goede onlinevirusscanner

suc6

[maartena]

Verwijderd schreef op 21 February 2003 @ 19:25:
ik zit wel via een vast ip op internet... chello heb ik als provider

firewall staat op high

Chello is niet vast maar DHCP volgens mij. Stop eens een andere LAN kaart in je bak (als je die hebt) en stop daar je chello modem weer in.... krijg je een ander IP adres, ben je van de rotzooi af.

[Wokschotel]

Ik zou Bush bellen, volgens mij zit Saddam er achter.

Maar serieus, waar maak je je in hemelsnaam druk om? Een stelletje poortscanners is wel het laatste waar ik me zorgen over maak zeg. Goeiedag, leer wat een firewall is, hoe het werkt en bovenal waarom je je geen zorgen hoeft te maken.

[pc_wracker]

Wokschotel schreef op 21 February 2003 @ 23:17:
Ik zou Bush bellen, volgens mij zit Saddam er achter.

Maar serieus, waar maak je je in hemelsnaam druk om? Een stelletje poortscanners is wel het laatste waar ik me zorgen over maak zeg. Goeiedag, leer wat een firewall is, hoe het werkt en bovenal waarom je je geen zorgen hoeft te maken.

Als je is een beetje leest zegt ie dat ie in 5 min 1000 "poortscannen" heeft gehad. Lijkt mij beetje veel eey.

[Wokschotel]

pc_wracker schreef op 21 February 2003 @ 23:27:
[...]


Als je is een beetje leest zegt ie dat ie in 5 min 1000 "poortscannen" heeft gehad. Lijkt mij beetje veel eey.

Mja, da's meer een DOS ja Maar zo moeilijk lijkt het me toch niet om te bedenken dat ie dan maar de PC uit moet zetten, naar de kroeg gaan en morgen weer aanzetten?

[Bigs]

Wokschotel schreef op 21 februari 2003 @ 23:33:
[...]
Maar zo moeilijk lijkt het me toch niet om te bedenken dat ie dan maar de PC uit moet zetten, naar de kroeg gaan en morgen weer aanzetten?

LOL, dat is inderdaad gewoon DE oplossing voor dit probleem En het liefst dan first thing tomorrow ZoneAlarm ff eraf gooien.. _(imo)

[Verwijderd]

Zoveel scans in zo'n korte tijd is toch echt niet normaal hoor, zeker niet als ze vanaf één IP adres komen, of vanaf een beperkt aantal IP's. Ik zou in zo'n geval gewoon een (gedeelte van) je logfile doorsturen naar de ISP van de afzenders, in dit geval dus [e-mail] en [e-mail], met een korte beschrijving van het probleem. En daarna inderdaad lekker de kroeg in.

[Vipertje]

vraagje doe je ook aan online gaming want die UDP poort probes komen van die gameservers af en dan is een halfuurtje gamen ongeveer wel 1000 scans van 1 ip

[jep]

1000 packets in 5 minuten is niet veel hoor? 50.000 per seconde, da's een aardige attack. 1000 Packets in 5 minuten is geen aanval. Da's een probe/scan, whatever. Niets boeiends . Wat is de data precies? Wellicht is het gewoon voor jou bestemde data van 't 1 of ander.

[ Voor 51% gewijzigd door jep op 22-02-2003 02:23 ]

[Verwijderd]

jep schreef op 22 February 2003 @ 02:14:
1000 packets in 5 minuten is niet veel hoor? 50.000 per seconde, da's een aardige attack. 1000 Packets in 5 minuten is geen aanval. Da's een probe/scan, whatever. Niets boeiends . Wat is de data precies? Wellicht is het gewoon voor jou bestemde data van 't 1 of ander.

Alleen meldt ZA in zijn default-instellingen niet alle probes in de logs, dus het zouden er ook wel eens meer dan 1000 kunnen zijn. De TS heeft het erover dat zijn internetverbinding compleet is ingestort, waaruit ik opmaak dat er toch wel iets abnormaals aan de hand is. Maar het maakt natuurlijk wel uit wat hij precies op het net uitspookt; online gaming, file-sharing, het draaien van een server, etc. levert automatisch (veel) meer packets op dan gewoon een beetje rondsurfen.

Ik zou i.e.g. persoonlijk toch wel raar opkijken als er bij mij opeens meer dan 1000 scans in 5 minuten voorbij zouden komen, want gemiddeld meldt ZA hier slechts enkele tientallen probes per uur. Dat dit voor een gemiddelde netwerkbeheerder of webmaster peanuts is doet daar verder niet veel aan af.

[Verwijderd]

het gaat nu nog steeds door. de computer heeft de hele nacht niet aan gestaan. bij elkaar zijn er al 3000 geblokkeerd door ZA. het enige wat ik op deze pc doe is internetten.

ik heb nu wel al een linux-bak klaar staan die het internet-verkeer moet gaan regelen. hiervoor moet ik dan nog een goede firewall vinden en dan zal ik het ook een proberen met een andere lan-kaart.

er wordt nu ook gescant naar andere poorten (o.a. 3359, 4980 en 4508) wordt er een beetje gestoord van

[ Voor 13% gewijzigd door Verwijderd op 22-02-2003 10:00 ]

[Verwijderd]

ik heb hem aangesloten op een andere lan-kaart (zitten er 2 in mijn computer) en nu een ander ip-adres... relaxt.. ik kan nu wel aannemen dat ik van die scans af ben
geweldig.. bedankt voor alle hulp...

[Aetje]

Linux heeft zijn firewall in de kernel, de kern van het OS, ingebouwd... Valt niet veel aan te zoeken

[xos]

|Ik ken zonealarm niet maar misschien kan je de volgende keer opgeven dat ie al het verkeer van die ip's blokkeerd en er geen melding van geeft. Werkt een stuk rustiger voor jezelf . En mocht je er een linux router tussen plaatsten zorg dat ie goed beveiligd is. Een linux bak is out of the box niet secure.

[NoBody]

ik hoef hier denk ik niet veel woorden aan vuil te maken...

TCPView eens proberen

[Bigs]

Verwijderd schreef op 22 February 2003 @ 09:56:
het gaat nu nog steeds door. de computer heeft de hele nacht niet aan gestaan. bij elkaar zijn er al 3000 geblokkeerd door ZA. het enige wat ik op deze pc doe is internetten.

ik heb nu wel al een linux-bak klaar staan die het internet-verkeer moet gaan regelen. hiervoor moet ik dan nog een goede firewall vinden en dan zal ik het ook een proberen met een andere lan-kaart.

er wordt nu ook gescant naar andere poorten (o.a. 3359, 4980 en 4508) wordt er een beetje gestoord van

Die poorten lijken me vrij willekeurig, misschien toch iets met een on-line game of een chat- of P2P-programma. Ik snap niet waar je je zo druk om maakt hoor er gebeurt toch niks?