🚀 go-pugleaf

On 5/13/24 16:26, Arni wrote:
> Macie jakies niestandardowe obserwacje z logów?
> Z mojego serwera pocztowego widzę od ok 2 tygodni ogromny wzrost macania 
> pod kątem poszukiwania open relaya z pojedynczych adresów IP z klas, 
> jakie dotychczas u mnie nie występowały. IP mi się porządkują klasami i 
> jak widzę, ze z danej klasy jest za dużo prób to wycinam całe /24 na 
> firewallu. Dlatego łatwo mi wychwycić pojedyncze IP z nienotowanych 
> dotychczas klas. I jest tego 3-4 razy więcej niż zwykle. Ktoś buduje 
> albo już zbudował botnet.
> 
> Ponadto z monitoringu sieci firmowej widzę, że w tym samym czasie 
> drastycznie wzrosła ilość prób wszelkiej maści ataków skryptowych na 
> routery/firewalle a nawet na stronę www.
> A jak sie to zestawi z wiadomościami z kraju i ze świata to coś musi być 
> na rzeczy.
> 

Sprawdzałeś może narodowość tych IP ?

Możliwe, że to jakiś nowy wirus.
Albo nasi "bracia" zza Buga :)

Marcin Safiejuk <aaa@bbb.ccc> pisze:
> On 5/13/24 16:26, Arni wrote:
>> Macie jakies niestandardowe obserwacje z logów?
>> Z mojego serwera pocztowego widzę od ok 2 tygodni ogromny wzrost
>> macania pod kątem poszukiwania open relaya z pojedynczych adresów IP
>> z klas, jakie dotychczas u mnie nie występowały. IP mi się
>> porządkują klasami i jak widzę, ze z danej klasy jest za dużo prób
>> to wycinam całe /24 na firewallu. Dlatego łatwo mi wychwycić
>> pojedyncze IP z nienotowanych dotychczas klas. I jest tego 3-4 razy
>> więcej niż zwykle. Ktoś buduje albo już zbudował botnet.
>> Ponadto z monitoringu sieci firmowej widzę, że w tym samym czasie
>> drastycznie wzrosła ilość prób wszelkiej maści ataków skryptowych na
>> routery/firewalle a nawet na stronę www.
>> A jak sie to zestawi z wiadomościami z kraju i ze świata to coś musi
>> być na rzeczy.
>> 
>
> Sprawdzałeś może narodowość tych IP ?
>
> Możliwe, że to jakiś nowy wirus.
> Albo nasi "bracia" zza Buga :)

Więcej wiary w ojczyznę zyskownego spamu (USA).

-- 
Andrzej A. Filip

W dniu 2024-05-13 o 08:53, Marcin Safiejuk pisze:
>
> 
> Sprawdzałeś może narodowość tych IP ?
> 
> Możliwe, że to jakiś nowy wirus.
> Albo nasi "bracia" zza Buga :)

totalna mieszanka: USA, Hiszpania, jakieś arabskie

-- 
Arni

W dniu 2024-05-13 o 09:56, Arni pisze:
> W dniu 2024-05-13 o 08:53, Marcin Safiejuk pisze:
>>
>>
>> Sprawdzałeś może narodowość tych IP ?
>>
>> Możliwe, że to jakiś nowy wirus.
>> Albo nasi "bracia" zza Buga :)
> 
> totalna mieszanka: USA, Hiszpania, jakieś arabskie
> 
przed chwilą Bruksela i Szwecja
-- 
Arni

On 5/13/24 18:00, Arni wrote:
> W dniu 2024-05-13 o 09:56, Arni pisze:
>> W dniu 2024-05-13 o 08:53, Marcin Safiejuk pisze:
>>>
>>>
>>> Sprawdzałeś może narodowość tych IP ?
>>>
>>> Możliwe, że to jakiś nowy wirus.
>>> Albo nasi "bracia" zza Buga :)
>>
>> totalna mieszanka: USA, Hiszpania, jakieś arabskie
>>
> przed chwilą Bruksela i Szwecja

Pewnie jakiś wirus się rozpanoszył na komputerach w świecie i dlatego 
wygląda na bot. Z opisu wnioskuję, że szuka jakichś zaprogramowanych w 
nim dziur.
Ale szukanie openrelay? Spóźniona próba o co najmniej kilka lat. Tak jak 
wysyłałk informacji o darowiźnie od bogatego krewnego.

W dniu 2024-05-13 o 12:28, Marcin Safiejuk pisze:
> On 5/13/24 18:00, Arni wrote:
>> W dniu 2024-05-13 o 09:56, Arni pisze:
>>> W dniu 2024-05-13 o 08:53, Marcin Safiejuk pisze:
>>>>
>>>>
>>>> Sprawdzałeś może narodowość tych IP ?
>>>>
>>>> Możliwe, że to jakiś nowy wirus.
>>>> Albo nasi "bracia" zza Buga :)
>>>
>>> totalna mieszanka: USA, Hiszpania, jakieś arabskie
>>>
>> przed chwilą Bruksela i Szwecja
> 
> Pewnie jakiś wirus się rozpanoszył na komputerach w świecie i dlatego 
> wygląda na bot. Z opisu wnioskuję, że szuka jakichś zaprogramowanych w 
> nim dziur.

ataki sa na rożne elementy sieci, rożnymi technikami. Iniekcja kodów, 
szukanie podatności, próby nieautoryzowanego zalogowania itp

> Ale szukanie openrelay? Spóźniona próba o co najmniej kilka lat. Tak jak 
> wysyłałk informacji o darowiźnie od bogatego krewnego.

jaka spóźniona? to trwa cały czas od poczatku mojej karkiery w tej 
branzy. Skrypt po 3 nieudanych próbach autoryzacji smtp (a raczej jej 
braku) blokuje takich delikwentów, Jedyne co sie zmieniło to właśnie 
adresacja IP no i skala blokad ostatnio znacznie wzrosła.
-- 
Arni