Ma perchè mi fanno dei portscan sempre da IP della telecom?

[Black Rebel]

Anchi'io ricevo questi portscan!! anche se nn così frequentemente.
Spesso da telecom(Ho Alice). Un giorno nell'arco di 10 min mi fanno il portscan in fila: Telecom,Fastweb,Libero e Tiscali

[axxaxxa3]

Originariamente inviato da Black Rebel
Anchi'io ricevo questi portscan!! anche se nn così frequentemente.
Spesso da telecom(Ho Alice). Un giorno nell'arco di 10 min mi fanno il portscan in fila: Telecom,Fastweb,Libero e Tiscali

Anche a me......ma che cacchio vogliono......Mi sorge un dubbio amletico(che parolona) Se non avessimo un firewall che chiude le porte.....questa nostra cara telecom cosa farebbe???

[gpc]

Originariamente inviato da axxaxxa3
Anche a me......ma che cacchio vogliono......Mi sorge un dubbio amletico(che parolona) Se non avessimo un firewall che chiude le porte.....questa nostra cara telecom cosa farebbe???

E' quello che pensavo anche io.
Secondo me controllano che programmi uno sta usando...
Comunque dopo le email a abuse non ne hanno più fatti... chissà...

[axxaxxa3]

.....Uhm uhm.......roba da querela!
Io credo non sia legale...tu?

[gpc]

Originariamente inviato da axxaxxa3
.....Uhm uhm.......roba da querela!
Io credo non sia legale...tu?

Direi di no... il portscan non è legale che io sappia, ma in ogni caso ricorda: in Italia il cittadino di fronte a qualcosa di più grande non ha nessun diritto.

[axxaxxa3]

Eh si.........mannaggia.....mi tocca diventare hacker..

[gpc]

Comunque, a chi capita conviene inviare una email ad abuse ad ogni attacco subito. Secondo me si stancano prima loro...

[Black Rebel]

Sarebbe anche interessante sapere quali programmi usano le porte alle quali è stato fatto il portscan

A me ieri mi hanno "scannato" queste porte:

80, 8080, 8000, 3128,3129.

[gpc]

Originariamente inviato da Black Rebel
Sarebbe anche interessante sapere quali programmi usano le porte alle quali è stato fatto il portscan

A me ieri mi hanno "scannato" queste porte:

80, 8080, 8000, 3128,3129.

80 e 8080 sono porte standard, direi ftp e html, anche se non sono sicuro.
Le altre non le conosco...
Cosa usi per vedere quali porte di controllano?

[Black Rebel]

Ho Sygate 5.1 che sul log indica anche le porte tipo questo:
Somebody is scanning your computer.
Your computer's TCP ports:
8000, 80, 3128, 8080 and 3129 have been scanned from 80.181.199.248.

Cmq nn penso che scelgono porte a caso, ma senz'altro quelle che servono ai loro interessi. Quali siano non lo so.

[gpc]

Originariamente inviato da Black Rebel
Ho Sygate 5.1 che sul log indica anche le porte tipo questo:
Somebody is scanning your computer.
Your computer's TCP ports:
8000, 80, 3128, 8080 and 3129 have been scanned from 80.181.199.248.

Cmq nn penso che scelgono porte a caso, ma senz'altro quelle che servono ai loro interessi. Quali siano non lo so.

Uh oh, che strano, anche io Sygat 5.1 ma mi dice solo:
Somebody is scanning your computer.

Perchè?

[Black Rebel]

Originariamente inviato da gpc
Uh oh, che strano, anche io Sygat 5.1 ma mi dice solo:
Somebody is scanning your computer.

Perchè?

Non so, cmq andando su Logs,Security log e clikkando su uno qualsiasi dei Portscan mi da anche le relative porte. Su tutti.
Misteri.

[xool]

Anch'io sto ricevendo questi portscan e la prossima volta segnalo tutto all'abuse. Ma voi cosa indicate nell'email? Solo l'IP o tutto il contenuto del log che nel mio caso mi da Sygate?

[gpc]

Originariamente inviato da xool
Anch'io sto ricevendo questi portscan e la prossima volta segnalo tutto all'abuse. Ma voi cosa indicate nell'email? Solo l'IP o tutto il contenuto del log che nel mio caso mi da Sygate?

Io allego tutto.
Questa è una email che ho inviato per esempio:

To: abuse@telecomitalia.it
Subject: portscan da IP 80.181.124.240

Portscan effettuato il 9/3/2004 da 80.181.124.240.
Allego il risultato del whois:

GeekTools Whois Proxy v5.0.3 Ready.
Checking access for 82.48.38.19... ok.
Final results obtained from whois.ripe.net.
Results:
% This is the RIPE Whois server.
% The objects are in RPSL format.
%
% Rights restricted by copyright.
% See http://www.ripe.net/ripencc/pub-serv...copyright.html

inetnum:      80.181.112.0 - 80.181.141.255
netname:      TELECOM-ADSL
descr:        Telecom Italia
descr:        Accesso ADSL
country:      IT
admin-c:      BS104-RIPE
tech-c:       BS104-RIPE
status:       ASSIGNED PA
remarks:      Please send abuse notification to abuse@telecomitalia.it
notify:       ripe-staff@telecomitalia.it
mnt-by:       TIWS-MNT
changed:      net_ti@telecomitalia.it 20030805
source:       RIPE

route:        80.181.0.0/16
descr:        INTERBUSINESS
origin:       AS3269
notify:       network@cgi.interbusiness.it
mnt-by:       TIWS-MNT
mnt-routes:   INTERB-MNT
changed:      net_ti@telecomitalia.it 20021001
source:       RIPE

person:       BBBEASYIP STAFF
address:      Via Val Cannuta, 250
address:      I-00100 Roma
address:      Italy
phone:        +39 06 36881
e-mail:       ripe-staff@telecomitalia.it
nic-hdl:      BS104-RIPE
notify:       ripe-staff@telecomitalia.it
changed:      net_ti@telecomitalia.it 20001019
source:       RIPE

[xool]

Grazie!

[axxaxxa3]

Mon Feb 16 21:53:27 2004 - Remote IP: 80.180.148.124 - host124-148.pool80180.interbusiness.it
Mon Feb 16 21:54:01 2004 - Remote IP: 80.117.214.190 - host190-214.pool80117.interbusiness.it
Mon Feb 16 21:49:00 2004 - Remote IP: 80.180.148.124 - host124-148.pool80180.interbusiness.it
Mon Feb 16 21:46:06 2004 - Remote IP: 80.180.148.124 - host124-148.pool80180.interbusiness.it
Mon Feb 16 21:48:15 2004 - Remote IP: 80.180.148.124 - host124-148.pool80180.interbusiness.it
Mon Feb 16 21:47:21 2004 - Remote IP: 80.117.242.13 - host13-242.pool80117.interbusiness.it
Mon Feb 16 21:39:50 2004 - Remote IP: 151.24.217.166 - ppp-166-217.24-151.libero.it
Mon Feb 16 21:44:40 2004 - Remote IP: 80.117.242.13 - host13-242.pool80117.interbusiness.it
Mon Feb 16 20:45:52 2004 - Remote IP: 80.117.242.13 - host13-242.pool80117.interbusiness.it
Wed Jan 01 00:20:58 1997 - Remote IP: 81.211.255.175 - d81-211-255-175.cust.tele2.it



Gli ultimi dieci IP che mi hanno attaccato....

[gpc]

Ma che sarebbe questo "BBBEASYIP STAFF"?

[axxaxxa3]

non lo so.....mai sentita......qui scatteranno querele a destra e sinistra....

[Hell-VoyAgeR]

Originariamente inviato da Black Rebel
Ho Sygate 5.1 che sul log indica anche le porte tipo questo:
Somebody is scanning your computer.
Your computer's TCP ports:
8000, 80, 3128, 8080 and 3129 have been scanned from 80.181.199.248.

Cmq nn penso che scelgono porte a caso, ma senz'altro quelle che servono ai loro interessi. Quali siano non lo so.

aoh... va bene essere paranoici... ma riflettiamo un secondo...

allora... generalmente i portscan possono arrivare da:

1) un utente che voglia vedere quali porte aperte ci sono sulla nostra macchina
2) un virus che cerca porte vulnerabili per attaccarsi
3) un server (tipo quelli irc) che controllano che non abbiamo open socks sulla nostra macchina (tipo software che faccia da proxy ecc...)
4) varie & eventuali

nel caso 1) probabilmente quell'utente cerca qualche porta particolare, tipo servizi vulnerabili conosciuti o un open sock da sfruttare per anonimizzarsi sulla rete

nel caso 2) i portscan sono del tutto random, quindi non sentiamoci perseguitati, purtroppo sono tantissime le macchine di utilizzatori non molto accorti che ospitano vermi e vermicelli, probabilmente un secondo dopo il portscan che avete ricevuto, un altro si sara' trovato nella stessa situazione e... magari sprovvisto di firewallo a antivirus... si sara' beccato una bella infezione

nel caso 3) normalmente l'utente viene "avvisato" di questo portscan (esempio quando ci si collega ad un server della rete di azzurra viene specificato bene nel motd che un portscanner ci sta analizzando)

- ritengo del tutto improbabile che un portscan parta per scopi statistici o altro direttamente da telecom... non ne avrebbero bisogno, visto che il traffico che generiamo bene o male passa dai loro routers/servers... basterebbe analizzare quello restando oltretutto del tutto nascosti...

- le informazioni nei whois molte volte non vengono aggiornate per svariati motivi...

se ci sono ancora buchi neri... chiedetemi pure!

[gpc]

Infatti mi sono arrivati anche due portscan da IP americani, ma nemmeno c'ho fatto caso.
Mentre sono stato in Spagna, per sei mesi, non m'è arrivato nemmeno un portscan.
Allora, la domanda è questa: visto che tutti, o il 99%, dei portscan vengono fatti da IP telecom, o tutti i cucchi italiani si collegano con Alice e si riempiono di worm e virus oppure c'è qualcosa di strano in tutto questo...