Internet Storm Center brengt hack-aanvallen in kaart

Nu de wereldwijde hack-aanvallen bijna een dagelijks fenomeen zijn geworden, zullen ze nu worden bijgehouden door het Internet Storm Center. Deze organisatie maakt hiervoor gebruik van gegevens van DShield.org, waar data over activiteiten van hackers worden geanalyseerd en gebruikt om betere regels voor firewalls op te stellen. Het Internet Storm Center is een initiatief van Incidents.org, een organisatie die zich bezighoudt met beveiliging tegen indringers. Deze tool die zij hebben ontwikkeld is een wereldwijde weerkaart, maar dan voor poortscanactiviteiten, verdeeld naar geografische regio. Het volledige bericht kun je hier nalezen.

Met dank aan Anoniem: 10449 voor de tip.

Reacties (44)

[JF_]

Port 4665 onbekend? Knurften.. Iedereen met een beetje verstand van p2p-software weet toch dat edonkey daar zit?
En btw... 'Hack-aanvallen'? Probeer 'portscans'.

[TheGhostInc]

Nou zeg, dan zijn er wel heel veel mensen bezig met portscans op poort 80
Kijk, dat bij die "others" ook nog een stuk portscannen bij hoort, tuurlijk, maar dit soort gegevens wordt vooral van sites/ip's gehaald die ook bezocht worden.
Als je op pubs aan het zoeken bent, dan probeer je niet 100.000x 1 ip uit, dan probeer je 100.000 verschillende ip's uit, dat zie je in deze stats dan ook amper terug, aangezien het aantal sites maar beperkt is.
Dit zullen vooral Code Red zijn dat nog steeds veel rondzwerft, ssh zal bekend zijn met z'n bug. Dan heb je het echt niet meer over poortscanners, maar over daadwerkelijk situaties waarbij hacken het doel is.

* 786562 TheGhostInc

[xenobia12345]

Had even goed gelezen op Incidents.org :

http://isc.incidents.org/index.html

Currently tracking storms:
Port Strength Comment
4665 3.6 likely scatter from eDonkey file sharing
1214 2.6 likely scatter from Kazzaa file sharing
80 2 Nimda/Code Red

[Anoniem: 32081]

Erg leuk dat sommigen hier zo onschuldig zeggen dat ze alleen maar kijken of ze via anonymous FTP op een systeem kunnen kijken. En dan doodleuk zeggen dat ze heel misschien wel de eigenaar zouden waarschuwen dat het poortje open staat.
Je zou als je eerlijk bent ook gewoon kunnen zeggen dat je aan het leechen bent. Maar vrijwel niemand voert deze poortscans handmatig uit, daar is erg gebruiksvriendelijke software voor die een hele range kan scannen. Als er dan een poort wordt gevonden die open staat dan is het meestal ook niet zo dat er 'alleen maar een anonymous login' wordt gedaan. Iedere sysadmin die de FTP logs wel eens bekijkt ziet meteen dat er nog wat andere dingen worden 'getest'. Hieronder wat berichten van mijn eigen server:

Bijvoorbeeld een bufferoverflow

Het systematisch scannen van directories aangemaakt door Frontpage

Pogingen om rootstatus te krijgen bij de ftp sessie.

Ja, we hebben het hier nog steeds over onschuldige poortscans.

[Anoniem: 15462]

Ik doe af en toe een portscan op een range van ipadressen. Echter ik heb nog nooit een poging tot leechen of hacken gedaan.
Soms ben ik gewoon benieuwd hoe goed beveiligd sommige bedrijven of instellingen zijn, gezien hun werkgebied. En wat me meestal opvalt is dat er geregeld eploits zijn, waardoor je superuser of admin rechten kunt krijgen. Dit terwijl er meestal al een patch voor de betreffende exploit te vinden is.
Het is meer interesse dan de behoefte om te hacken.

[NDSFREAK]

Of het echt de aanvallen in kaart brengt, dat betwijfel ik op het moment. Maar ze brengen eerder het soort verkeer internet verkeer inkaart op basis van protocol niveau.

Wat ook me ook opvalt is dat het internet in Europa anders wordt gebruikt dan in de VS en rest van de wereld. Je ziet dat de europeaan meer FTP downloads doen dan de rest van de wereld, wordt er meer geupdated of wordt er meer gedownload dan in de rest van de wereld??
Tevens kun je aan de grafiek mooi zien , hoe het internet in de rest van de wereld gebruikt wordt ten opzichten van de rest van de wereld.

[Anoniem: 50332]

dat kaartje zegt niks over het gebruik. het gaat hier over niet geautoriseerd gebruik. Dus als ik ergens iets legaal ftp komt dat niet in de errorlog. Maar iemand die van mijn pc thuis (kabel 24x7) iets probeert te ftp'en komt in de logfile van mijn firewall. en als ik die naar dshield stuur, ook in die grafiek. Die trouwens per dag heel grillig wijzigd. ga maar eens naar de site van dshield

[ColdRain]

Die site, inclusief het kaartje (en het constant updaten ervan) bestaat al meer dan een jaar. De inleiding laat nochtans uitschijnen dat dit initiatief nu pas van start gaat. Beetje misleidend.

[kodak]

Nu nog een stormcenter om spam 'aanvallen' in kaart te brengen. Dan lijkt het compleet.

[Anoniem: 16125]

Die FTP aanvallen zijn echt bull , mijn ISP meldde me ook dat ik een FTP-aanval(hacking) had verricht , terwijl ik enkel had gescand naar anonymous FTP's . En scannen probeert niet meer dan in te loggen , en daar is NIKS illegaal aan ...

[nulkelvin]

Jow dat zeggen ze allemaal, maar het zal best wel tegen de gebruiksvoorwaarden van je isp zijn.

De enigen die echt baat hebben bij het op grote schaal scannen naar anonymouse ftp's zijn van die pub zoekers om te kijken of ze beschrijfbare ruimte kunnen vinden, zodat ze daar hun zooi op kunnen douwen.

[jhead22]

Ik vind poort scan's geen hack aanvallen. Ik controleer iedere firewall die ik maak met een poort scan om te kijken of ie goed dicht zit

Beetje vaag dat ze dat als hacken zien....

[Anoniem: 29464]

Maar daar "begint" vaak wel een aanval mee, met een poortscan, al is het maar om te kijken welke services er runnen, of om een fingerprint te krijgen....

en het is ook een beetje vertekend beeld: veel van die port - 80 (http) scans zullen nog wel van Code Red afkomstig zijn, Tegen de M$ IIS Server

Maar portscannen zelf, nee, dat noem ik geen hacken...

[memphis]

Ik vergelijk poortscans hetzelfde als een onbekende die elke deur aan je huis probeert om te kijken als ie open staat. Wat doet zo'n persoon als de deur ook daadwerkelijk open staat De kans is dus groot dat die persoon verder gaat en het dus werkelijk inbreken wordt.

Kortom, in mijn ogen zijn poortscans al een verkeerde bezigheid.

[wzzrd]

Maar net als het openduwen van die deur is het doen van een portscan (of "zou het doen van een portscan") niet strafbaar ("moeten zijn").

[RetepV]

En het is gewoon de fout van de eigenaar als ie port 21 open heeft staan.

Ja, net zoals het de fout is van de overhoop gereden voetganger dat 'ie zich op de weg bevond!

InterFreak, die redenatie van jou klopt niet helemaal hoor, jij houdt geen rekening met newbies. Alsof je zegt dat een newbie fout is omdat 'ie newbie is. Dat vind ik wel een heel erg extreem-rechtse opstelling .

[Anoniem: 29464]

Ik geef je er wel awat gelijk in, maar om er meteen een Extreem-rechtse opstelling van te maken.. dat vind ik wat overdreven....

Ik vind het meer iets van :
Ik-klap-er-iets-uit-wat-logisch-klinkt-voordat-ik-erbij nadenk
(En dit is geen flame btw )

[Jrz]

Ja precies, en dat wordt gezien als een attack. Want jij loopt te zoeken naar een pub zodat je met je pistengels kan warezen

[Anoniem: 30107]

Sorry maar officieel is het poort scannen niet verboden. Ik heb ook dagelijks last van poortscans en houd er ook zeker niet van maar het scannen van poorten is gewoon legaal. Dat je er foute dingen mee kunt doen is duidelijk alleen het poort scannen is volgens de wet niks mis mee. Je kan dus ook eigenlijk geen aangifte doen van een poortscan

[Anoniem: 34437]

volgens mij steel je dan mijn bandwidth, en omdat ik -officieel gezien- een limiet heb stel ik jou dus verantwoordelijk voor het verlies ;p
btw: ik kom toch ook niet bij jou thuis voelen of de deur openstaat?

[witchdoc]

Als jij op zoek bent naar iemand die een winkel heeft ga je anders vast wel eens aan de deur kijken.

[freaky]

Wat een onzin...

Maar ok, omdat ik -zakelijk & prive- tijd tekort kom, klaag ik jouw aan wegens het verspillen van me tijd voor idiote dingen. Dan kunnen we nou het ping-pong spelletje starten, jij, ik, jij, ik, jij en zolang totdat we allebei geen rooie cent/tijd/leven meer hebben en nog geen flikker verder zijn behalve het verspillen van ambtenarentijd en het spekken van de staatskas.

Heel simpel, ik mag kijken of jouw winkel open is, is jouw winkel open mag ik er NORMAAL gebruik van maken. Wil je dat niet had je je winkel (poort dus) maar moeten sluiten, firewallen, tcp wrapperen, restricten of een combo d'r van. Ik mag niet stelen uit jouw winkel (cracken) en ik mag em ook niet als btw caroussel gebruiken (als DDoS client of whatever).

Geloof dat dat genoeg analogieen waren voor vandaag

[Anoniem: 53330]

die van kazaa dan hebben ze gedaan... digital media gehackt?

[Frostie]

Mja scannen naar anonymous ftp's zijn ze meestal ook niet echt blij mee en terecht ik hoef niet al die scriptkiddies in mijn logs.

[Anoniem: 34729]

ftp scans vallen onder computer vrede breuk
en is te vergelijken met huisvrede breuk
als de eigenaar jou geen toestemming geeft mag je er gewoon niet op

Its that simple

[HermeS]

Zo simpel ligt het niet (gelukig maar).

Dus als ik bij jouw thuis aan de deur sta, en jouw vraag of ik binnen mag komen, en je wijst het af, en ik ga, dan pleeg ik huisvreedebreuk volgens jouw?

En als je me wel binnen laat, en ik heb een tas met cd's bij me, en je laat vervolgens nog meer mensen binnen, en ik deel die cd's uit...... etc get my point?

[Anoniem: 14842]

Niet helemaal.

Als er ergens een deur open staat en jij gaat naarbinnen. Ben je dan illegaal bezig? JA!*
Dat heet namelijk huisvredebreuk en dat is een misdrijf. Als de deur ook nog eens gesloten en vergrendeld was is het inbraak.

Je zou dus eerst een mailtje naar de persoon moeten sturen wiens ip je wilt scannen en vragen om zijn/haar toestemming. Als je dan toestemming krijgt mag het, eerder gewoon niet. Het feit dat je er niet voor vervolgt kunt worden wil niet zeggen dat het door de beugel kan.

Natuurlijk is het heel iets anders als je de poort van een computer scant die van jezelf of een goede vriend is om te kijken of alles dicht zit. Maar dat is dan dus ook meteen met toestemming.

*

Tenzij het een deur van een openbaar gebouw betreft.

[hilgo]

Is naar een deur lopen om te kijken of deze open staat strafbaar ? Nee. Is door de open deur naar binnen lopen strafbaar ? Ja. Zolang het bij het eerste blijft is er niets aan de hand, alleen komt vaak uit het kijken het betreden voort.
Wat jij dus zegt over het toestemming vragen om te scannen is onzin, met een scan kijk je alleen of de deur open staat. Wat er daarna gebeurt (door de opening naar binnen gaan) is strafbaar.

[BadRespawn]

misschien zie ik het verkeert maar is een scan niet eigenlijk alleen maar kijken of er uberhaubt wel een deur is.

je weet alleen maar of er wel of niet een service draait op die poort. daar is niets illegaals aan, is ook niet nadelig voor degene die gescant wordt. flooden is wat anders.

om binnen te komen zal je toch iets van een password nodig hebben, of van een exploit gebruik moeten maken oid.

[Anoniem: 45514]

Het testen van 1 poort is geen probleem. Het word wel een probleem wanneer je systematisch scant. (Ofwel elke dag bij een huis langs gaan om te kijken of de deur open staat, ofwel alle ramen en deuren langs lopen)

[kareltje21]

Portscans worden door jurispridentie niet gezien als strafbaar.

Portscans wordt vergeleken met het aan de deur voelen om te kijken of deze open is. Dit is niet daadwerkelijk toegang verkrijgen tot het systeem.

Wel wordt het als bedreigend ervaren door ISP's als je constant rondloopt en aan alle deuren rammelt. ISP's kunnen je daarvoor aanpakken (daar staan zij wettelijk gezien wel in hun recht) echter het enige dat zij kunnen doen is jou afsluiten en via hun kanaal de toegang tot het net ontzeggen.

[Anoniem: 50332]

een deel van de poort 80 zullen wel gewoon legitiem zijn. Ik heb hier een linksys router. Daar is een proggie voor wallwatcher http://www.wallwatcher.com , zodat je precies kunt zien wat in en uit gaat.
evt kun je dan je log mailen naar dshield.org .
Kom toch in de log regelmatig tegen dat iemand ALLE poorten scanned. Helaas het zit dicht, maar je kunt je best wel voorstellen wat het vervolg is.

Voor de gemoedsrust kun je ook gewoon niet in de log kijken!

[Pietervs]

Voor de gemoedsrust kun je ook gewoon niet in de log kijken! of het betreffende IP nummer even doorgeven aan de ISP...

[tweakerbee]

Ziet er leuk uit, maar wat voor nut heeft het nou eigenlijk?
De aanvallen zullen hierdoor echt niet minder worden, het is alleen iets makkelijker om na te zoeken waar en wanneer aanvallen zijn gepleegd. Systematisch zoeken?

[Mr.CeeJay]

de FXP'ers zitten duidelijk in Europa