+ Responder ao Tópico



  1. #1

    Exclamation Será que estão tentando invadir meu MK?

    gente!! quem fo mais experiente me diz ai!!!
    tinha um server linux numa escola q trabalho!!
    eu desconfiava que o antigo adm entrava e fazia umas bagunças!!
    instalei o MK!!
    so que agora percebi as seguints msg de log

    e essas são apenas as da parte da manhã!! sera que tem alguem usando um bruteforce ou algo do tipo?: minha senha e alfa numerica com um nivel de dificuldade alto!!




    ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user jack from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user operator from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user operador from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user grafik from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user usuario from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user norma from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user robert from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user roberto from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user bobby from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user cesar from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user daniel from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user jim from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user jimmy from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user lee from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user matt from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user paul from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user peter from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user sean from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user steve from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user steven from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user temp from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user tim from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user tom from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user samba from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user apple from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user master from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user manager from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user root from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user xxx from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user jerry from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user jesus from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user zeus from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user god from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user erica from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user eric from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user alexander from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user webuser from 200.150.229.125 via ssh

  2. #2

    Padrão

    Com certeza vc está sendo invadido por alguém pelo ip 200.150.229.125 e os nomes for user, são as tentativas de login usadas por ele.
    use essa regra no firewall, e vej a se resolve:
    add chain=input src-address-list=drop_port_22_23 action=drop comment="Bloqueia Porta 22_23" disabled=no

  3. #3

    Padrão

    opa!!!! eu ja fiz o bloqueio !!!
    tinha visto as tentativas em vão tbm!!! o que me intriga e como obteve esse ip!!
    sou tecnico em segurança de uma empresa!!! o interessante é que esse servidor e novo!! e ele é apenas para uma sub rede!! os endereços que tentaram entrar são do mexico e australia!!! parece que vem de um proxy para se disfarçar ou entaum na pior das ipoteses esse mk crakeado tem alguma coisa suspeita!!
    tenho um outro serve com tecnologia nt que registrou um envio de ip do mk pra rede externa!!!
    agora eu me pergunto!! porque o mk crakeado faria isso!! e o mais interessante e que logo apos esse envio de ip começaram as tentativas!!!!!
    pra quem quise analiza!! ta ai uma coisa intrigante!!


    Citação Postado originalmente por rps67 Ver Post
    Com certeza vc está sendo invadido por alguém pelo ip 200.150.229.125 e os nomes for user, são as tentativas de login usadas por ele.
    use essa regra no firewall, e vej a se resolve:
    add chain=input src-address-list=drop_port_22_23 action=drop comment="Bloqueia Porta 22_23" disabled=no

  4. #4

    Padrão

    realmente isto é bastante interessante pois todo mikrotik que instalo acontece a mesma coisa minutos apos instalar tem gente tentando logar

  5. #5

    Padrão aos entendidos no MK

    bom gente!!!
    como disse um outro serve registrou a conexão!!! ela usava o protocolo 17 ip 210.241.226.204 usou o protocolo de autenticação 47 se naum estou enganado e usado pro vpn e o 51 tbm!!! !!! estou afim de reinstalar novamente e ver se o mesmo ocorre novamente!!! isso na versão 2.9.27!! a crackeada!!!! quando bloquiei as portas ssh pude observar que havia tipo um sniff randonizando(nome que encontrei rs) outras portas!!!!!!! não sou la aquele firewall.. nem entendo mto... mas so de bater os olhos nisso fiquei intrigadissimo!!!!
    aguardo respostas.. testes etc

  6. #6

    Padrão

    aqui eu montei um servidor MK tmbem, e aparesia amesma coisa, dava a entender que era uma tentativa de nvazao.
    extranho isso, ou sera un bug ou uma backdor no mk ?????

  7. #7

    Padrão Deve ser apenas em mkt crackeado

    Amigo isso deve ocorrer apenas com mikrotik crackeado pois uso 2 mikrotiks licenciados aqui na empresa onde trabalho e nunca tive problemas desse tipo

  8. #8

    Padrão MK

    Bom, instalei a versao demo do MT e deu a mesma coisa, ow seja, para quem estiver desconviando da versão crakeada, acredito que não seja.

  9. #9

    Padrão

    Certo... mas você tentou mudar o ip do MKT para testar talvez o MKT crackeado envie seu ip para algum host... entao como o seu ip é o mesmo o cara que está tentando invadir continua tentando faz o seguinte muda o ip, e monitora se o MKT vai enviar o seu ip novamente

  10. #10

    Padrão ...

    bom vai ve então que é um teste que o mikrotik faz pra testar as habilidades do administrador e deixa-lo mais experto rs!!!

  11. #11

    Padrão ..

    boua!! é isso mesmo que farei!!

    Citação Postado originalmente por sophs Ver Post
    Certo... mas você tentou mudar o ip do MKT para testar talvez o MKT crackeado envie seu ip para algum host... entao como o seu ip é o mesmo o cara que está tentando invadir continua tentando faz o seguinte muda o ip, e monitora se o MKT vai enviar o seu ip novamente

  12. #12
    xargs -n 1 kill -9 Avatar de sergio
    Ingresso
    Jan 2004
    Localização
    Capital do Triângulo
    Posts
    5.201
    Posts de Blog
    9

    Padrão

    gente, vocês estrão precisando ler mais.... Aqui no Under, nos foruns de segurança, firewall, tem vários posts à respeito disso.

    Isso é um force brute de ssh, um script normalmente em perl que roda a web à procura de ssh com user/senha toscas...

    Para parar com isso, mude a porta padrão do ssh e coloque regras de firewall para INPUT somente de IPs confiáveis (os do host que poderão acessar).

  13. #13

    Padrão

    ola sergio!!! e sempre bom ler mais rs.... mas se vc ler um pouco acima vera que eu mesmo sugeri que fosse um brute force....
    so que esses brute force não scaneiam ips em velocidades maiores que a do tempo pra no praso de vc jogar na rede ele esta em cima no mesmo momento!!!
    quanto a senha pelomenos as minhas são de alta dificuldade até estrelinha e simbolos gregos eu uso........
    o problemas e a saida de dados do mk!!! que esta entrando e obvio.... agora como é tão rapido não sei responder.. ja usei mto brut force com dicionarios importados que tentava senhas não tão toscas.......
    continuarei fuçando aqui!! mas desde ja obrigado!!


    Citação Postado originalmente por sergio Ver Post
    gente, vocês estrão precisando ler mais.... Aqui no Under, nos foruns de segurança, firewall, tem vários posts à respeito disso.

    Isso é um force brute de ssh, um script normalmente em perl que roda a web à procura de ssh com user/senha toscas...

    Para parar com isso, mude a porta padrão do ssh e coloque regras de firewall para INPUT somente de IPs confiáveis (os do host que poderão acessar).

  14. #14
    xargs -n 1 kill -9 Avatar de sergio
    Ingresso
    Jan 2004
    Localização
    Capital do Triângulo
    Posts
    5.201
    Posts de Blog
    9

    Padrão

    Citação Postado originalmente por gotch Ver Post
    ola sergio!!! e sempre bom ler mais rs.... mas se vc ler um pouco acima vera que eu mesmo sugeri que fosse um brute force....
    so que esses brute force não scaneiam ips em velocidades maiores que a do tempo pra no praso de vc jogar na rede ele esta em cima no mesmo momento!!!
    depende... se por acaso um host da sua rede estiver como zumbi com algum malware qq é na hora!

    Citação Postado originalmente por gotch Ver Post
    quanto a senha pelomenos as minhas são de alta dificuldade até estrelinha e simbolos gregos eu uso........
    isso é uma boa política de senhas.

    Citação Postado originalmente por gotch Ver Post
    o problemas e a saida de dados do mk!!! que esta entrando e obvio.... agora como é tão rapido não sei responder.. ja usei mto brut force com dicionarios importados que tentava senhas não tão toscas.......
    continuarei fuçando aqui!! mas desde ja obrigado!!
    Esses scripts scaneiam ranges inteiros de IP, então se usar outro IP do mesmo range é quase instântaneo e não se esqueça que fora do Brasil, usuários "comuns" tem largura de banda de 4, 8, até 20 mbps (alguns na Alemanha, tem hosts atendidos por fibra, onde você pode imaginar a qualidade desses links).
    Já recebi um DoS da Alemanha, de um usuário qq de um provedor lá... só solicitando para a Embratel bloquear meu acesso Internacional todo pra conseguir um tempo de entrar em contato com o provedor em questão e solicitar que o "engraçadinho" parasse com a farra.

  15. #15

    Padrão

    No meu caso eu estou usando Velox, e toda vez que eu reinicio o computador, um novo IP é atribuido...

  16. #16

    Padrão tinha me esquecido!

    rs!! tinha me esquecido dos links internacionais rs!!
    são mto rapidos mesmo... um amigo no japão tem um de 10 mb!
    nukava que era uma maravilha!!

    bom mais mudando de assunto..... vc por acaso não saberia configurar o script ddns do changeip.com pra usa no mikrotik como se fosse o no - ip??? tem outro topico meu postando o script!!
    mais uma vez mto obrigado!!

  17. #17
    xargs -n 1 kill -9 Avatar de sergio
    Ingresso
    Jan 2004
    Localização
    Capital do Triângulo
    Posts
    5.201
    Posts de Blog
    9

    Padrão

    Citação Postado originalmente por gotch Ver Post
    rs!! tinha me esquecido dos links internacionais rs!!
    são mto rapidos mesmo... um amigo no japão tem um de 10 mb!
    nukava que era uma maravilha!!

    bom mais mudando de assunto..... vc por acaso não saberia configurar o script ddns do changeip.com pra usa no mikrotik como se fosse o no - ip??? tem outro topico meu postando o script!!
    mais uma vez mto obrigado!!
    Esse lance da configuração não sei... nunca precisei e por isso não conheço.

    O pessoal do forum deve ajudar nisso.

  18. #18

    Padrão

    Citação Postado originalmente por gotch Ver Post
    gente!! quem fo mais experiente me diz ai!!!
    tinha um server linux numa escola q trabalho!!
    eu desconfiava que o antigo adm entrava e fazia umas bagunças!!
    instalei o MK!!
    so que agora percebi as seguints msg de log

    e essas são apenas as da parte da manhã!! sera que tem alguem usando um bruteforce ou algo do tipo?: minha senha e alfa numerica com um nivel de dificuldade alto!!




    ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user jack from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user operator from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user operador from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user grafik from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user usuario from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user norma from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user robert from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user roberto from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user bobby from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user cesar from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user daniel from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user jim from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user jimmy from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user lee from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user matt from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user paul from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user peter from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user sean from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user steve from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user steven from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user temp from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user tim from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user tom from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user samba from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user apple from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user master from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user manager from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user root from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user xxx from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user jerry from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user jesus from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user zeus from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user god from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user erica from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user eric from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user alexander from 200.150.229.125 via ssh
    [admin@MikroTik] >
    echo: system,error,critical login failure for user webuser from 200.150.229.125 via ssh
    Faça um bloqueio deste IP.... Regra

    IP > Firewall > FILTER
    Chain: INPUT
    SRC. Address: 200.150.229.125
    Protocol: 6 (tcp)
    To port: 8291 (winbox) ou 23 (SSH)

    Aba Action:
    Action: Drop

    Tenta ae e posta o resultado...
    Última edição por catvbrasil; 16-02-2007 às 12:06.

  19. #19

    Smile

    Citação Postado originalmente por gotch Ver Post
    bom vai ve então que é um teste que o mikrotik faz pra testar as habilidades do administrador e deixa-lo mais experto rs!!!
    Eu acho que o cara simplesmente ta usando um linux e scaneando ips aleatoriamente com o algum programa tipo nmap. Quando ele acha um servidor com a porta 22 habilitada tenta entrar com logins aleatorios.

  20. #20

    Padrão

    Pessoal pra mim o jeito mais facil de resolver isso ( não sei se da de fazer no MK ) é mudar a porta ssh e pronto, o cara pode tentar quanto quiser que vc nem precisa se preocupar.

    falows