No entren en pánico... :) Creo que este tema recién está viendo cómo salir a flote... Me refiero a que puede ser parte de un ataque de mayor magnitud y solo recién se estén haciendo pruebas... Deben estar identificando targets y creando algunas db con data.
Me llegan más requerimiento por consulta PTR por mis segmentos IP, que con este 'ataque' :B
Alex Ojeda Mercado. Administrador de Red Rosal 331, Piso 2, Santiago, Chile Fono: + 56 2 345 86 00 Mail: alex.ojeda@indexa.cl
Cuidemos el Medio Ambiente Evitemos imprimir demás
CONFIDENCIALIDAD: La información contenida en este mensaje y/o en los archivos adjuntos es de carácter confidencial o privilegiada y está destinada al uso exclusivo del emisor y/o de la persona o entidad a quien va dirigida. Si usted no es el destinatario, cualquier almacenamiento, divulgación, distribución o copia de esta información está estrictamente prohibida y sancionada por la ley. Si recibió este mensaje por error, por favor infórmenos inmediatamente respondiendo este mismo mensaje y borre éste y todos los archivos adjuntos. Gracias. CONFIDENTIAL: The information transmitted in this message and/or attachments is confidential and/or privileged and is intented only for use of the person or entity to whom it is addressed. If you are not the intended recipient, any retention, dissemination, distribution or copy of this information is strictly prohibited and sanctioned by law. If you received this message in error, please reply us this same message and delete this message and all attachments. Thank you.
-----Mensaje original----- De: dns-esp-bounces@listas.nic.cl [mailto:dns-esp-bounces@listas.nic.cl] En nombre de Francisco Vargas Piedra Enviado el: viernes, 01 de junio de 2012 12:29 Para: DNS en español Asunto: Re: [dns-esp] Ataque a mis DNS
Buenos días,
Acá en Costa Rica mitigamos el ataque utilizando IPTABLES con las siguientes reglas:
sudo iptables -I INPUT -p udp --dport 53 -m string --algo bm --hex-string '|0000FF0001|' -m recent --set --name dnsquery sudo iptables -I INPUT -p udp --dport 53 -m string --algo bm --hex-string '|0000FF0001|' -m recent --name dnsquery --update --seconds 1 --hitcount 5 -j DROP sudo iptables -I INPUT -p udp --dport 53 -m string --algo bm --hex-string '|0000FF0001|' -m recent --name dnsquery --update --seconds 1 --hitcount 5 -j LOG --log-prefix "ATACANTE- " --log-level 4
La última línea la utilizamos para tener logs en syslog marcados con "ATACANTE" y poder encontrarlos fácilmente con grep.
Evidentemente esto sólo detendrá que las peticiones lleguen al servicio de DNS. En nuestro caso hemos ido contactando a los clientes y al parecer corriendo antivirus (aún no precisamos cuál) se ha ido eliminando el botnet.
Los mantendré al tanto. Agradecería cualquier retroalimentación.
Saludos, Francisco Vargas Piedra
-----Mensaje original----- De: dns-esp-bounces@listas.nic.cl [mailto:dns-esp-bounces@listas.nic.cl] En nombre de Nelson Lopez V. Enviado el: viernes, 01 de junio de 2012 10:18 a.m. Para: dns-esp@listas.nic.cl Asunto: Re: [dns-esp] Ataque a mis DNS
Estimados,
aca en la Universidad de chile estamos empezando a ver los coletasos de estas botnets
estamos viendo conexiones desde la IP 46.249.48.59 que coincidentemente es de RIPE, el comportamiento es trafico Puerto origen/destino 53 udp.
aca no tenemos DNSSEC y por firewall tampoco estamos permitiendo paquetes mayores al estandar, por lo que no ha sido tragico.
aun estamos tratando de verificar si es trafico saliente o entrante los mantendre informados, y de ser saliente, solicitare a los organismos que auditen las maquinas y de ser posible obtener imagenes de los discos.
Saludos.
On 05/31/2012 07:01 PM, Francisco Vargas Piedra wrote:
Excelente. Me gusta esa idea.
Les agradezco a todos la ayuda. Los mantendré informados.
Saludos a todos, Francisco Vargas Piedra
-----Mensaje original----- De: dns-esp-bounces@listas.nic.cl [mailto:dns-esp-bounces@listas.nic.cl] En nombre de Juan Manuel Doren Enviado el: jueves, 31 de mayo de 2012 04:58 p.m. Para: DNS en español Asunto: Re: [dns-esp] Ataque a mis DNS
-p udp --dport 53 -m string --from 50 --algo bm --hex-string '|0000FF0001|' -m recent --set --name dnsanyquery
-p udp --dport 53 -m string --from 50 --algo bm --hex-string '|0000FF0001|' -m recent --name dnsanyquery --rcheck --seconds 60 --hitcount 5 -j DROP
Estamos planeando implementar estas reglas para denegar el ataque en caso de que se reactive el botnet; entonces preciso tener bastante retroalimentación para no afectar a nuestros clientes con las reglas que vayamos a incluir.
yo pondría las reglas comentadas en el firewall (para activarlas rápido )y por mientras solamente loguearia a los que hagan más de n peticiones por segundo, así conoces el comportamiento normal de la red, lo que básico para determinar cuando se convierte en anormal. _______________________________________________ dns-esp mailing list dns-esp@listas.nic.cl https://listas.nic.cl/mailman/listinfo/dns-esp _______________________________________________ dns-esp mailing list dns-esp@listas.nic.cl https://listas.nic.cl/mailman/listinfo/dns-esp
dns-esp mailing list dns-esp@listas.nic.cl https://listas.nic.cl/mailman/listinfo/dns-esp _______________________________________________ dns-esp mailing list dns-esp@listas.nic.cl https://listas.nic.cl/mailman/listinfo/dns-esp