Forums SFR NeufBox > Attaque Ftp Par Les Chinois

Version complète: Attaque Ftp Par Les Chinois

Forums SFR NeufBox > Forums logiciels et réseaux > Forum Firewall et Sécurité

tiphergane

samedi 02 août 2008 à 16:45

Bonjour a tous, je commence ce post en vous demandant de faire attention.
Il se pourrait qu'une attaque sois lancée sur nos connexion depuis le japon via la chine les USA etc...

Coté sécurité moi perso j'ai COMODO Firewall pro (gratuit) et NOD32 en essai pour le moment.

Vers 17h15 aujourd'hui j'ai détecté une attaque sur mon serveur ftp perso de type fake auth, j'ai récupéré l'ip et je vous donne le tracert.

CODE

tracert 203.141.150.219
Détermination de l'itinéraire vers 203.141.150.219.static.zoot.jp [203.141.150.219]

avec un maximum de 30 sauts :

   2 ms     1 ms     1 ms  neufbox [192.168.1.1]
  43 ms    33 ms    34 ms  *.*5.15-78.rev.gaoland.net [78.11*.*5.*]
 182 ms     *        *     80.124.243.93
  36 ms    42 ms    36 ms  212.73.253.5
  47 ms    36 ms    37 ms  ae-32-52.ebr2.Paris1.Level3.net [4.68.109.62]
 125 ms   124 ms   125 ms  ae-41.ebr2.Washington1.Level3.net [4.69.137.50]

 123 ms   126 ms   125 ms  ae-62-62.csw1.Washington1.Level3.net [4.69.134.146]
 124 ms   127 ms   139 ms  ae-64-64.ebr4.Washington1.Level3.net [4.69.134.177]
 198 ms   193 ms   184 ms  ae-4.ebr3.LosAngeles1.Level3.net [4.69.132.81]
 185 ms   197 ms   186 ms  ae-93-93.csw4.LosAngeles1.Level3.net [4.69.137.46]
 184 ms   184 ms   185 ms  ae-43-99.car3.LosAngeles1.Level3.net [4.68.20.197]
 184 ms   184 ms   184 ms  4.78.192.26
 308 ms   309 ms   309 ms  po0-0.cr2.nrt1.asianetcom.net [202.147.61.134]
 298 ms   298 ms   300 ms  ge-0-0-0-0.gw3.nrt4.asianetcom.net [202.147.0.226]
 299 ms   300 ms   300 ms  GLOBAL-SOLUTION.gw1.nrt4.asianetcom.net [203.192.129.174]
 299 ms   304 ms   298 ms  ae0.core3.marunouchi.vectant.ne.jp [163.139.129.226]
 301 ms   303 ms   298 ms  163-139-60-18.rv.vectant.ne.jp [163.139.60.18]
 305 ms   305 ms   303 ms  Tok5BFL8.vectant.ne.jp [163.139.126.136]
 302 ms   307 ms   304 ms  203.141.150.217.static.zoot.jp [203.141.150.217]

 301 ms   305 ms     *     203.141.150.219.static.zoot.jp [203.141.150.219]

 370 ms   323 ms   309 ms  203.141.150.219.static.zoot.jp [203.141.150.219]

Itinéraire déterminé.

Ca vous servira ou pas, mais si vous avez des firewall configurable, il faudra bloquer les 203.141.150.219.static.zoot.jp et 203.141.150.219.static.zoot.jp

Cordialement.

omegatron

samedi 02 août 2008 à 17:50

Les chinois sont pourtant relativement calmes sur ce plan depuis plusieurs mois... Donc maintenant ce seraient plutôt des Japonais ? Je vais regarder

pault2002

samedi 02 août 2008 à 20:00

Bonsoir tiphergane,

Vous êtes dans de très bonnes mains avec Omegatron, il va s'occuper de votre dossier car c'est sa spécialité le FTP chinois

chui déjà très loin

Mariotte91

samedi 02 août 2008 à 22:16

Bonsoir,

Je trouvais ma connection un peu lente ce soir

CITATION(proftpd.log)

Aug 02 14:38:43 ibm8364 proftpd[4022] localhost (203.141.150.219.static.zoot.jp[::ffff:203.141.150.219]): mod_delay/0.5: delaying for 361 usecs
Aug 02 14:38:44 ibm8364 proftpd[4022] localhost (203.141.150.219.static.zoot.jp[::ffff:203.141.150.219]): no such user 'Administrator'
Aug 02 14:38:44 ibm8364 proftpd[4022] localhost (203.141.150.219.static.zoot.jp[::ffff:203.141.150.219]): USER Administrator: no such user found from 203.141.150.219.static.zoot.jp [::ffff:203.141.150.219] to ::ffff:192.168.1.253:21
Aug 02 14:38:44 ibm8364 proftpd[4022] localhost (203.141.150.219.static.zoot.jp[::ffff:203.141.150.219]): mod_delay/0.5: delaying for 60 usecs
Aug 02 14:38:44 ibm8364 proftpd[4022] localhost (203.141.150.219.static.zoot.jp[::ffff:203.141.150.219]): mod_delay/0.5: delaying for 174 usecs
Aug 02 14:38:44 ibm8364 proftpd[4022] localhost (203.141.150.219.static.zoot.jp[::ffff:203.141.150.219]): no such user 'Administrator'

J'ai stoppé mon serveur en attendant que cela se passe.

Merci de l'info car sinon je n'aurais probablement pas pensé à regarder ce journal. Cela durait depuis 14h36 cet après midi.

Patrick

omegatron

dimanche 03 août 2008 à 22:35

Bah non, chez moi, ni chinois ni japonais... Ce doit être concentré sur quelques plages d'ip seulement, apparemment.

tiphergane

lundi 04 août 2008 à 10:35

Je confirme, il sagit d'une attaque par plage IPs.

Plus de peur que de mal car il tente uniquement de se logger en Administrator.

Enfin garder quand meme vos firewall en alertes, je pense que ce n'est que le début d'une grande attaque.

[parano]
C'est surement pour le début des jeux olympique, comme les Francais on pas mal ouvert leur grande Gu*** (et je suis d'accord avec eux de l'avoir ouvert), on va servir de facade pour des attaques des sites officiels
[/parano]

Sur ceux, bonne journée a tous.

Cordialement

NiKo

lundi 01 septembre 2008 à 14:30

.jp c'est Japan

la chine c'est .cn

just pour info

tiphergane

mardi 02 septembre 2008 à 08:57

CITATION(NiKo @ lundi 01 septembre 2008 à 15:30)

.jp c'est Japan

la chine c'est .cn

just pour info

C'est vrai je le sais en plus, j'ai juste fait un mauvais raccourcis a cause des J.O

Merci quand même pour cette clarification essentiel

Cordialement.

omegatron

mardi 02 septembre 2008 à 13:49

D'où ma remarque plus haut

CITATION

Donc maintenant ce seraient plutôt des Japonais ?

NiKo

mardi 02 septembre 2008 à 15:30

oui lol

Ceci est une version "bas débit" de Justneuf. Pour voir la version complète avec plus d'information, la mise en page et les images, veuillez cliquer ici.