DoS attack

[Alain]

Op dit moment loopt er bij een server-dedication klant al meer dan 24 uur
een dos aanval, geval is dat het voor die klant een super belangrijke
website is. Inmiddels is er een scriptje gemaakt wat de computers (allemaal
zombies) die de aanval veroorzaken automatisch in de firewall duwt. Werkt
goed, maar toch.

Weet bijna zeker dat de persoon achter de attack, alle zombies handmatig
zoekt en aanstuurf. Er is namenlijk een duidelijk patroon te zien. Hij ging
omstreeks 2 uur naar bed vannacht, stond om 11 uur op enzo Als een isp
van zo'n zombie zou mee werken moet het te achterhalen zijn wie dit doet.

Op een gegeven moment heb je zoveel zombies, dat je niet elke provider er
meer over gaat mailen (vooral omdat 99 van de 100 isp's er niks mee doen).
Goed, nu mijn vragen;

Wie heeft er wel eens actief proberen te achterhalen wie er achter een
dergelijke aanval zit? En dan vooral, op wat voor een manier?

Welke grote internet providers (ongeveer elke grote internet (nl) provider
hebben we er nu wel tussen zitten (wanadoo, xs4all, @home, demon, hetnet,
planet, tiscali etc)) werken graag mee aan het uitzoeken van dit soort
zaken?


--
Alain

spamsux.nl

[Geert Booster]

In article <c9g616$9jq$1@nl-news.euro.net>, Alain wrote:

<knip wat zaken>

DoS is klote, ook als ISP zijnde.

> Welke grote internet providers (ongeveer elke grote internet (nl) provider
> hebben we er nu wel tussen zitten (wanadoo, xs4all, @home, demon, hetnet,
> planet, tiscali etc)) werken graag mee aan het uitzoeken van dit soort
> zaken?

Demon,Planet,XS4ALL zullen er nog wel wat mee willen doen.

@Home/Chello/Tiscali/Wanadoo zal moeilijk worden, die reageren al niet
eens meer op abuse lijkt wel. HetNet twijfel ik over, daar dat ook PMG
is.


Succes ermee!


Geert

[Dick Wesseling]

In article <c9g6j1$cb4$1@nl-news.euro.net>,
"Alain" <Alain@spamsux.nl> writes:
>
> Op dit moment loopt er bij een server-dedication klant al meer dan 24 uur
> een dos aanval,
....
> Wie heeft er wel eens actief proberen te achterhalen wie er achter een
> dergelijke aanval zit? En dan vooral, op wat voor een manier?
>

Als je je niet stoort aan een zelfingenomen toon dan kun je op
http://grc.com/dos/grcdos.htm een verslag van een dergelijke onderneming
vinden. Het komt er op neer dat je je handen moet zien te leggen op een
machine die aan de dos deelneemt en dan met een packet sniffer het spoor
terug moet volgen.

[Onno]

> Weet bijna zeker dat de persoon achter de attack, alle zombies handmatig
> zoekt en aanstuurf. Er is namenlijk een duidelijk patroon te zien. Hij
ging
> omstreeks 2 uur naar bed vannacht, stond om 11 uur op enzo Als een isp
> van zo'n zombie zou mee werken moet het te achterhalen zijn wie dit doet.

Tja, die gast heeft vast zo'n stom virus gepakt, aangepast met andere poort
oid en krijgt nu seintjes dat ie toegang heeft. De kans is groter (als hij
slim genoeg is en dus via shit providers altijd tunnelt voordat ie bij
xs4all klanten klooit) dat je hem via social engeneering tegenkomt.

Forum op site van klant? Klant is pro-abortus? Iemand heeft hem al bedreigd?
Onlangs per ongeluk op straat tegen een klein ielig mannetje met een bril
aangebotst?

Trouwens, doe een portscan op de remote IP's, vaak kom je dan zelf binnen
(zoek op google bv poortnummer, of output als je ernaar telnet) en kan je
zelf dus kijken waar de hacker vandaan komt.

Ik ben ooit in India uitgekomen op een redhat 4.2 bak van een gek die mijn
firewall had gefucked. Die had vnl in Japan/China servers tot zijn
beschikking maar ook in Zuid Europa. Ben iets van 3 dagen bezig geweest,
t/m NASM en al, lol. Die gast keek er raar van op toen ie ontdekte dat ie
gefucked was en toen deed ik zijn licht uit (en zijn 16 IRC channels waar ie
stoer zat te lullen over wat voor hacker ie was met zijn rootkitjes en
andere 3rd party hacks).

> Wie heeft er wel eens actief proberen te achterhalen wie er achter een
> dergelijke aanval zit? En dan vooral, op wat voor een manier?

Ik, counterhack de 'zombies'. Wees wel onzichtbaar, want anders gaan ze die
zombies patchen, lol. Zou ik gerust doen, remote access aanzetten en dan
windows update draaien, lol.

> Welke grote internet providers (ongeveer elke grote internet (nl) provider
> hebben we er nu wel tussen zitten (wanadoo, xs4all, @home, demon, hetnet,
> planet, tiscali etc)) werken graag mee aan het uitzoeken van dit soort
> zaken?

Al willen ze het dan kunnen ze het niet. Je zult dan elke internet access
provider moeten dwingen aan bepaalde dingen te voldoen zoals het loggen wie
wanneer vanaf wat naar wat verbindt. Nadeel is alleen dat veel providers
zelf unsecure zijn en hackers simpelweg die logfiles cleanen. De oplossing
zit hem echt in je eigen netwerk, via tripwire en dat soort zaken
automatisch blacklisten en ervoor zorgen dat je zo breed bent dat het de
moeite niet voor ze is (dat ze via thuisPC's DOSen althans, bij zo'n virus
ala sco houd het gewoon op vrees ik).

Er is in elk geval geen waterdichte methode, de kans is aanzienlijk dat je
na VEEL moeite gedaan te hebben er niets mee bereikt, ik zou die tijd
stoppen in beveiliging. Als voldoende bedrijven mee zouden doen zou je
natuurlijk alle shitproviders kunnen blacklisten totdat ze budgetten
vrijmaken voor controle en beheer van hun netwerk. Tegen de tijd dat de
overheid iets gaat doen aan al die onzin is internet al weer vervangen door
iets nieuws, lol. Als je kijkt naar het aantal doden in het verkeer,
autodiefstallen, etc. is dat ook nog steeds niets, internet zal ook wel een
half geregelde onzin worden.

[Alain]

Onno wrote:
> Trouwens, doe een portscan op de remote IP's, vaak kom je dan
> zelf binnen (zoek op google bv poortnummer, of output als je
> ernaar telnet) en kan je zelf dus kijken waar de hacker
> vandaan komt.


Heb dit maar eens gedaan, de trojan gebruikt poort 5000, na wat zoeken
blijken er een aantal trojans te zijn die deze poort gebruiken; Back Door
Setup, Blazer5, Bubbel, ICKiller, Ra1d en Sockets des Troie. Maar dit zijn
allen trojans van meer dan 5 jaar oud. Het lijkt me niet dat die nog veel
voorkomen. Vermoedelijk gaat het dus om een nieuwe trojan?


--
Alain

spamsux.nl

[Michiel Erens]

Alain wrote:
>
> Heb dit maar eens gedaan, de trojan gebruikt poort 5000, na wat
> zoeken blijken er een aantal trojans te zijn die deze poort
> gebruiken; Back Door Setup, Blazer5, Bubbel, ICKiller, Ra1d en
> Sockets des Troie. Maar dit zijn allen trojans van meer dan 5 jaar
> oud. Het lijkt me niet dat die nog veel voorkomen. Vermoedelijk
> gaat het dus om een nieuwe trojan?

Twee nieuwe wormen gebruiken hem ook :
http://www.us-cert.gov/current/current_activity.html

--
ME
Posted by news://news.nb.nu

[Onno]

> Heb dit maar eens gedaan, de trojan gebruikt poort 5000, na wat zoeken
> blijken er een aantal trojans te zijn die deze poort gebruiken; Back Door
> Setup, Blazer5, Bubbel, ICKiller, Ra1d en Sockets des Troie. Maar dit zijn
> allen trojans van meer dan 5 jaar oud. Het lijkt me niet dat die nog veel
> voorkomen. Vermoedelijk gaat het dus om een nieuwe trojan?

Zou kunnen, maar vaak gebruiken ze delen zoals remote toegang code opnieuw
voor nieuwe virussen, alleen het besmetten is dan nieuw (of aangepast), de
adresboek crawling, port openen, etc. kan al jaren oud zijn...

Probeer eens telnet naar die poort, soms krijg je dan netjes te horen welke
deamon er draait lol. Tja, als je fanatiek bent is dit wel erg geinig, maar
om mijn mooie verhaal wat te ontkrachtigen, die indier is de enige fucker
die ik echt te grazen nam, ik heb bij nog wat zaken veel tijd erin gestopt
en er niets mee bereikt.

Zou ik je willen pesten met dit geklooi, dan vind je me denk ik niet ;-).
Gelukkig betalen klanten beter voor mijn talenten dan DOS aanvallen en dat
geldt voor de meeste mensen die hiertoe instaat zijn. Ook durf ik geen
illegale dingen te doen (tijdje terug ruzie met ook dat nog en toen me best
gedaan en kwam ik na mijn hack op nu.nl enzo hihi) want ik ben bang mijn
mooie huisje en spulletjes kwijt te raken.

Mensen die dit wel met volle overtuiging doen zijn nogal eenzaam lijkt me.
Ik bedoel, als je zelf een virus schrijft (meestal assembler code in een
win32 omgeving EEKS) om een of andere klant van Alain te pesten is dat zonde
van je tijd en zonde van je skills. Dus.... zal het wel een ventje zijn die
via google zo'n proggie had. En als je vooral NIETS op die website zet
erover houd ie er vanzelf mee op....zonde van zijn tijd. Hij kan beter gaan
trollen ofzo ;-)

Suc6 ermee......

[ikke]

>
> Weet bijna zeker dat de persoon achter de attack, alle zombies handmatig
> zoekt en aanstuurf. Er is namenlijk een duidelijk patroon te zien. Hij
ging
> omstreeks 2 uur naar bed vannacht, stond om 11 uur op enzo Als een isp
> van zo'n zombie zou mee werken moet het te achterhalen zijn wie dit doet.
>
> Op een gegeven moment heb je zoveel zombies, dat je niet elke provider er
> meer over gaat mailen (vooral omdat 99 van de 100 isp's er niks mee doen).
> Goed, nu mijn vragen;
>
> Wie heeft er wel eens actief proberen te achterhalen wie er achter een
> dergelijke aanval zit? En dan vooral, op wat voor een manier?
>
> Welke grote internet providers (ongeveer elke grote internet (nl) provider
> hebben we er nu wel tussen zitten (wanadoo, xs4all, @home, demon, hetnet,
> planet, tiscali etc)) werken graag mee aan het uitzoeken van dit soort
> zaken?
>


Ik mag toch hopen dat jou provider, Trueserver denk ik, maatregelen neemt
om DOS te voorkomen. Ze zijn zelf ook niet gebaat bij DOS op hun netwerk.

[Alain]

ikke wrote:
> Ik mag toch hopen dat jou provider, Trueserver denk ik,
> maatregelen neemt om DOS te voorkomen. Ze zijn zelf ook niet
> gebaat bij DOS op hun netwerk.


De dos is niet zozeer groot qua mbits dat het problemen geeft in 't netwerk,
maar voldoende om de betreffende server onderuit te schoppen.

--
Alain

spamsux.nl

[Albert Zonneveld]

"Onno" <oag_@xs4all.nl> wrote in message
> En als je vooral NIETS op die website zet
> erover houd ie er vanzelf mee op....zonde van zijn tijd. Hij kan beter
gaan
> trollen ofzo ;-)

Dus niet zoals : http://www.planetia.net