Bekijk Volledige Versie : Portscans van poorten 23 en 2323
dreamhost_nl
22/10/16, 13:24
Beste concullegae,
We ervaren de laatste paar weken, en m.n. vannacht, een (ver)grote hoeveelheid portscans van de poorten 23 (SSH) en 2323 (alternative SSH) naar onze servers toe. Nu draait er op onze servers helemaal niets over deze poorten, maar het is wel erg opmerkelijk.
Nu is onze vraag of dit specifiek alleen naar onze servers toe gebeurd of dat dit gewoon een nieuwe tendens is geworden?
Alvast bedankt voor het vermelden.
dennis0162
22/10/16, 15:05
Poort 23 is over het algemeen Telnet. 22 is ssh.
Je kan de poort toch gewoon dichtzitten veel veiliger en heb je er geen last van?
systemdeveloper
22/10/16, 16:08
merken we ook, met name op dns servers. Laat maar rammelen, of hang er een daemon aan met een fake telnet server om een beetje terug te trollen :)
systemdeveloper
22/10/16, 18:35
Even die mirai code bekeken en dat is erg op zoek naar telnet poortjes, dus dat kan/zal het ook wel zijn.
Interessante en redelijk nette code overigens.
dreamhost_nl
22/10/16, 18:38
dennis0162: Is inderdaad Telnet. Foutje. Gelijk heb je. Die poorten staan gewoon dicht, maar de firewall pikt de portscans eruit. Ook als ze dichtstaan is dat wel interessant om te weten m.i. systemdeveloper: De DNS servers komen ook wel aan bod ja, maar niet zo freqent als de portscans op poort 23 die echt honderden keren per server voor de laatste paar weken vookomen. Dacht al dat het een botnet moest zijn; komt vanaf heel veel verschillende IP-adressen, alhoewel Viëtnam en Taiwan (Hinet.net) wel heel vaak voorkomen.
Ik merk dat hier zelf op de office vdsl lijn en kabel/vdsl lijnen bij klanten op dat er de laatste tijd inderdaad heel veel portscans gedaan worden, voornamelijk uit de taiwan, china, vietnam, korea, rusland kanten. Het is dus zeker geen alleenstaand geval en volgens mij lopen ze gewoon de ene ip range na de andere af.
dreamhost_nl
25/10/16, 12:11
Onze IP-ranges zijn dan zeer populair, want ik zie eerder een verhoging dan een verlaging van de hoeveelheden portscans over de poorten 23 en 2323. Er zit m.i. geen enkele structuur in, buiten dat het meerendeel uit Viëtnam en Taiwan komt. Als er structuur in had gezeten zouden ze na de eerste portscans wel gestopt zijn nadat er geen enkele response van die poorten was gekomen.
systemdeveloper
25/10/16, 12:15
Vind je het gek? Die mirai code staat online, dus elke driejarige die een shellscript kan aantrappen om de boel te compileren kan aan de slag...
dus elke driejarige die een shellscript kan aantrappen om de boel te compileren kan aan de slag...
Als ervaringsdeskundige kan ik met 100% zekerheid zeggen dat dat er 0 zullen zijn :)
systemdeveloper
25/10/16, 13:20
Als ervaringsdeskundige kan ik met 100% zekerheid zeggen dat dat er 0 zullen zijn :)
Haha, dan ken je mijn neefje nog niet :)
dreamhost_nl
26/10/16, 11:02
Er staat wel meer code online dan alleen de Mirai code; code die ook een stuk kwaadaardiger is dan een portscan over poorten 23 en 2323.
systemdeveloper
26/10/16, 11:46
'Kwaadaardige code' is een personificatie. Code doet wat de maker wilt dat het doet (op bugs na). De mirai is alleen een goed voorbeeld wat er kan gebeuren als leveranciers te lui zijn om hun producten te testen op misbruik. Nu waren het een zooi webcams en andere prullen, maar wat als iemand straks een botnet maakt van auto's en met een klik een half wagenpark ergens een gebouw of het kanaal in laat rijden? Vergezocht? Maybe...