Archives de catégorie : Sécurité

Serveur de moins d’une semaine … déjà attaqué !

Publié le par
Répondre

Par qui ?

175.172.174.191 : CHINA UNICOM Liaoning province network (CN)
123.132.65.176 (via Ankit): China Unicom Shandong Province Network (CN)
103.145.13.43 (via libwww-perl/6.47) : CINTY EU WEB SOLUTIONS (NL)
175.21.153.128 (via Ankit) : China Unicom Jilin province network (CN)
178.63.34.189 (via http://mj12bot.com/) : Hetzner Online GmbH (DE)
74.120.14.36 (via https://about.censys.io/) : Censys, Inc. (MI)
34.240.212.8 (via https://developer.twingly.com) : Amazon (Irland)
167.248.133.52 (via CensysInspect/1.1; +https://about.censys.io/) : Censys, Inc. (MI)
162.142.125.52 (via CensysInspect/1.1; +https://about.censys.io/) : Censys, Inc. (MI)
197.53.220.102 : (EG : Egypte)
134.209.87.169 : (NY : New York : United States)
66.151.211.226 : (DE : : United States)
 

Je vous conseille donc de faire ceci après une nouvelle installation :

iptables -A INPUT -s 175.172.174.191  -j DROP
iptables -A INPUT -s 123.132.65.176 -j DROP
iptables -A INPUT -s 103.145.13.43  -j DROP
iptables -A INPUT -s 175.21.153.128  -j DROP
iptables -A INPUT -s 178.63.34.189  -j DROP
iptables -A INPUT -s 74.120.14.36  -j DROP
iptables -A INPUT -s 34.240.212.8  -j DROP
iptables -A INPUT -s 167.248.133.52  -j DROP
iptables -A INPUT -s 162.142.125.52  -j DROP
iptables -A INPUT -s 197.53.220.102  -j DROP
iptables -A INPUT -s 134.209.87.169  -j DROP
iptables -A INPUT -s 66.151.211.226  -j DROP

bref il me faut trouver un projet qui bloque via un script toutes les IP de Chine.

Misère.

J’ai eu 64 IP différentes :
# cat /var/log/apache2/access.*.log | awk ‘{print $1}’ | sort -n | uniq -c | sort -n | wc -l
64

 

Fishing SMS via 8t0.host : ‘Le colis FR… vers … se trouve au centre de distribution. Vous pouvez suivre votre colis ici .. ‘

Publié le par
Répondre

Quand je vois que 8t0.host est au Panama : https://who.is/whois/8t0.host c’est forcément du fishing.

En résumé : 8t0.host ( Panama ) => frtplive07985.blogspot.com => kingkongclicks.com ( Panama ) .

!!! NE PAS CLIQUER !!! C’est du fishing …

Misère.

$ curl -v http://www.8t0.host/s/42a2ev/he3
...
> 
< HTTP/1.1 302 Found
< Cache-Control: private
< Transfer-Encoding: chunked
< Content-Type: text/html; charset=utf-8
< Location: https://frtplive07985.blogspot.com/
< Server: Microsoft-IIS/10.0
< X-AspNetMvc-Version: 4.0
< X-AspNet-Version: 4.0.30319
< X-Powered-By: ASP.NET
< Date: Mon, 07 Sep 2020 10:11:11 GMT
<
$ curl -v https://frtplive07985.blogspot.com
....
* TLSv1.3 (OUT), TLS Unknown, Unknown (23):
* TLSv1.3 (OUT), TLS Unknown, Unknown (23):
* TLSv1.3 (OUT), TLS Unknown, Unknown (23):
* Using Stream ID: 1 (easy handle 0x556025d9f710)
* TLSv1.3 (OUT), TLS Unknown, Unknown (23):
> GET / HTTP/2
> Host: frtplive07985.blogspot.com
> User-Agent: curl/7.58.0
> Accept: */*
>
* TLSv1.3 (IN), TLS Unknown, Certificate Status (22):
* TLSv1.3 (IN), TLS handshake, Newsession Ticket (4):
* TLSv1.3 (IN), TLS handshake, Newsession Ticket (4):
* TLSv1.3 (IN), TLS Unknown, Unknown (23):
* Connection state changed (MAX_CONCURRENT_STREAMS updated)!
* TLSv1.3 (OUT), TLS Unknown, Unknown (23):
* TLSv1.3 (IN), TLS Unknown, Unknown (23):
* TLSv1.3 (IN), TLS Unknown, Unknown (23):
< HTTP/2 200
< x-robots-tag: noindex, nofollow
< content-type: text/html; charset=UTF-8
< expires: Mon, 07 Sep 2020 10:12:43 GMT
< date: Mon, 07 Sep 2020 10:12:43 GMT
< cache-control: private, max-age=0
< last-modified: Mon, 07 Sep 2020 07:40:54 GMT
< x-content-type-options: nosniff
< x-xss-protection: 1; mode=block
< server: GSE
< accept-ranges: none
< vary: Accept-Encoding
<
* TLSv1.3 (IN), TLS Unknown, Unknown (23):

Ransomware : un été catastrophique …

En passant

Répondre

Quelques noms :

Misère.