nicht angemeldet
Was tun bei Zugriffsversuchen von IP?
Hallo zusammen,
ich bin Laie auf dem Netzwerkgebiet, deshalb entschuldigt ungenaue/falsche Beschreibungen:
Wir sitzen hier in einem virtuellen Netzwerk einer größeren Institution. Das virtuelle Netzwerk umfasst ein Subnetz. Anbindung ist über ein Backbone an das RZ.
Mit einer best. IP-Adresse aus diesem Subnetz versucht jemand ständig auf andere Rechner zuzugreifen. Natürlich haben wir sofort in der Firewall die entsprechende IP und die MAC-Adresse gefiltert.
Ich würde aber gerne mehr über diesen Angreifer rausbekommen. Als erstes habe ich mal ein nbtscan gemacht.
Rechnernamen habe ich nun und die MAC Adresse.
Dann habe ich mal mit nmap den Rechner gescannt.
nmap 3.81 scan initiated Thu Sep 08 15:53:11 2005 as: nmap -sS -F -o xxx.log -v -O -P0 x.x.x.x
Interesting ports on xxx (x.x.x.x):
(The 1212 ports scanned but not shown below are in state: closed)
PORT STATE SERVICE
113/tcp open auth
135/tcp open msrpc
139/tcp open netbios-ssn
443/tcp open https
445/tcp open microsoft-ds
1025/tcp open NFS-or-IIS
4000/tcp open remoteanything
5000/tcp open UPnP
8000/tcp open http-alt
MAC Address: 08:00:46:D0:CE:BC (Sony)
Device type: general purpose
Running: Microsoft Windows 95/98/ME|NT/2K/XP
OS details: Microsoft Windows Millennium Edition (Me), Windows 2000 Pro or Advanced Server, or Windows XP, Microsoft Windows XP SP1
TCP Sequence Prediction: Class=random positive increments
Difficulty=10920 (Worthy challenge)
IPID Sequence Generation: Busy server or unknown class
Was bringen mir jetzt diese Infos? Wo kann ich weitermachen? Was würdet Ihr empfehlen?
Gruss
LeKuchen
-
Hi,
4000/tcp open remoteanything
der betreffende User weis sicher nichts von diesen Scanversuchen, da er sich ein Backdoor/Trojaner eingefangen hat (ok, es könnte auch Absicht sein).
Wo kann ich weitermachen?
Sämtliche Verbindungen dieser Maschine sperren, die betreffende Person sollte sich dann schon im RZ melden.
Was würdet Ihr empfehlen?
Den Rechner runterfahren ;)
shutdown -iHTH, Stefan
-
Hallo Stefan,
4000/tcp open remoteanything
der betreffende User weis sicher nichts von diesen Scanversuchen, da er sich ein Backdoor/Trojaner eingefangen hat (ok, es könnte auch Absicht sein).
Ja, genau der Port hatte mich auch gewundert...
Was würdet Ihr empfehlen?
Den Rechner runterfahren ;)
Das mit dem runterfahren klappt leider nicht: Zugriff verweigert, Rechner scheint also nicht in unserer Domäne angemeldet zu sein....
Gruss
LeKuchen
-
-
Moin!
Was bringen mir jetzt diese Infos? Wo kann ich weitermachen? Was würdet Ihr empfehlen?
Die Frage ist doch eher: Was willst du eigentlich überhaupt tun?
Den Inhaber der IP herausfinden? Dürfte leicht sein, wenn er sich innerhalb des eigenen Netzwerkes befindet, und recht unmöglich, wenn er im Internet sitzt.
Da man die IP sicherlich mit entsprechenden Mitteln auch örtlich herausfinden könnte, wenn sie ins eigene Netz gehört, ließe sich mit einiger Ermittlungsarbeit tatsächlich ein "Showdown am Rechner" inszenieren. :) Meinetwegen auch so richtig mit Kameraüberwachung und Detektivarbeit.
Andererseits: Wenn der Bösewicht am Ende einfach nur eine Abmahnung bekommt oder seinen Account wegen Mißbrauchs verliert, wäre Kameraüberwachung vielleicht doch etwas zu hoch gegriffen. :)
- Sven Rautenberg
--
My sssignature, my preciousssss!-
Hallo Sven,
Den Inhaber der IP herausfinden? Dürfte leicht sein, wenn er sich innerhalb des eigenen Netzwerkes befindet, und recht unmöglich, wenn er im Internet sitzt.
Wir haben schon versucht rauszufinden, wo die Person auf das Netzwerk zugreift, konnten ihn aber nur bis zu einem Switch zurückverfolgen, an dem 3 Gebäude hängen.
Hmm, ich denke, es gibt drei Möglichkeiten:
-Der Rechner ist ein Zombie, d.h. irgendein User hat Trojaner/Remotetools auf seinem Rechner und weiss nichts davon.
-Irgendjemand hat eine Sicherheitslücke im Netz gefunden und hat sich so aus dem Internet Zugriff auf das Netzwerk verschafft und greift nun mit gefälschter IP etc zu.
-Irgendwo in der Einrichtung an irgendeinem Platz ist jemand, der auf böse Absichten hat.Mir ginge es nicht so darum, einen bösen Buben dingfest zu machen, sondern die erste Möglichkeit (s.o.) auszuschließen und in Zukunft soetwas zu verhindern...
Gruss
LeKuchen
-