Hjælp til hacker

du kan kontakte hans udbyder også bede dem om at gøre noget ved det! ellers kan du kun blokere ham!

www.ripe.net via den kan du finde frem til hans udbyder, forudsat at han bruger sin egen maskine, og ikek har overtaget en anden og gør det derfra.

whois hans ip.

skriv til abuse som står listet for den ip range han tilhører. husk at vedlægge logs.

Du kontakter www.cert.dk de hjælper gerne i sådanne sager og er ret effektive.

Anmeldeformularen finder du her:
https://www.cert.dk/anmeldelsesblanket/

Tusind tak..... hva med
2: er der nogen måde at finde ud af hvem der har en bestemt ip ?

3: kan man kontakte en bestemt ip ?

nej, du skal gå igennem dem der ejer ip'en. de giver normalt ikke oplysninger om hvem der er bag en ip, men tager sig gerne af misbrug.

så skal du være så heldig at en ip resolver til et domæne der er registeret til ham der har fået tildelt ip'en og han ikke har skjult oplysningerne... men det er ikke særligt sandsynligt.

2: er der nogen måde at finde ud af hvem der har en bestemt ip ?
Nej, det er kun politiet der kan dette og det kræver en dommerkendelse. Den der prøver at hacke dig er TDC kunde.
3: kan man kontakte en bestemt ip ?
Nej. Begynd ikke selv at opspore hackeren overlad dette til cert og politiet.

du skal også være opmærksom at ting som din firewall opfatter som forsøg på indtrængen måske ikke er ulovligt. det kunne være portscanning hvor det ikke er sikkert at en isp har en politik for det, og så kan du ikke gøre så meget.
jeg ved at tdc tager sig af det, men der er mange udenlanske som er ligeglade.

du kan prøve proport og visualroute..O)

hvis brugeren har en server el. hjemmeside, kan man få detajlerert oplysninger.

Proport, ser hvem der er på vej ind..ipér..

det er ikke bare en port scanning men en der prøver at kører diverse progarmmer... og har prøvet på det i de sidste 24+ timer.... og det er ikke min firwall der har fanget ham, men mig selv der har set nogle mystiske logfiler.....

prøv proport.. det kan også oversætte ipér.. så har du ham.O)

ja det kan jeg se
http://www.eksperten.dk/spm/501310

det ligner nu bare en orm, især da den kører det samme over og over igen.
så ham du mistænker for at hacke er bare selv inficeret.
tdc informerer ham om det hvis du sender loggen til
csirt@csirt.dk

men kører man en web server må man lære at lave med sådanne angreb.

Jeg vil meget kraftigt fraråde de forslag bartfreak kommer med. Man kan meget nemt ende med selv at stå med en anklage om hackning i hånden. Anmeld vedkommende via cert i stedet, så har du ryggen fri.

hvor kan jeg finde proport ?

P.s Jeg vil gerne sige tak for alt den response :) det er fandme dejligt at der er nogle gode mennsker :)

Så det er ikke en god idé selv at finde ham ?

Nej, overlad dette til cert og tdc.

okay.... så vil jeg kontakte dem :) tusind tak til jer alle....

tdc er ret effektive, jeg sad selv uskyldigt og portscannede lidt engang, og dagen efter fik jeg en opringning fra deres sikkerheds afdeling om at det skulle jeg venligst lade være med, ellers ville de lukke mit internet ;)

men man skal vel lige konstatere at man har haft besøg, ellers er det vel lidt pinligt..
Og ellers ..ro på..O)

og der ligger links i dit andet spm til proport.

@ Bartfreak det kan jeg godt se det rigitge i, men jeg er meget noob indefor det at have en server....

Portskanning anses af mange udbydere som forsøg på ulovlig indtrængen. Det uanset om man gør det for at spore en hacker eller ej.

hvorfor.. man overvåger jo bare sine porte.???????

nej du må godt scanne dig selv, det er andres porte de ikke er så glade for man scanner ;)

hmmm.... det lyder som en spændene diskution må man få en tredje persons point of view ?

Jeg mener:
Hvis man skanner efter åbne porte på en fremmed computer.

eller kan i blive enige ;) *G*

med visualroute, kan man sporer ipén.. dvs.. også udbyder, og derved, skrive til dem , og få dem til at stoppe det..

schulze -> Jeg mener:
Hvis man skanner efter åbne porte på en fremmed computer.

der faldt jeg af .???
det er jo slet ikke på tale..?

@loadet syns ikke rigtigt det virker som en vira da den angriber på normale tider og sover mens jeg sover (altså relativ nørde tider ;) )

@Bartfreak, hvad er og hvor får jeg visualroute ?

>bart
Ah ok, men ip-adressen kender dnx jo. Så det er blot et spørgsmål om at kontakte cert.

dnx : Det kan vel også ske, hvis personen der er inficeret, slukker sin computer om natten? ;)
Loggen ligner noget genereret af den virus jeg mener hedder Code Red.

dnx > jo det virker meget rigtigt, personen som er inficeret lukker sin computer når han sover.

http://www.visualroute.com/

man kan kontakte folk via MSG.exe.. hvis deres messenger service(port) ikke er lukket..O)

hmmmm.... det havde jeg så ikke lige tænkt over *S*.... jeg vil gå vidre med det imorgen via TDC og cert..... Så skal jeg osse nok give point, men jeg vil gerne sige 1000 tak for alt jeres hjælp og hurtige response... det er rart at der er nogle gode mennesker derude :) igen 1000 tak....

Det virker meget besværligt at anmelde folk for hacking, men at det er så besværligt er en meget fornuftig ting. Jeg er ret dygtig til netværkssikkerhed når jeg skal sige det selv, og folk kommer ofte til mig med den der "JEG ER BLEVET HACKET!"  panik.
I minimum 9 ud af 10 tilfælde holder folks panik og mistanker bare ikke vand. Det seneste jeg var ude for var en fyr der havde brugt et eller andet tweak program til at "tune" sin windows maskine. Han benyttede nogle uger senere netstat kommandoen og så at et NSA (statslig amerikansk sikkerhedsorganisation) domænenavn havde en åben forbindelse til hans computer. Jeg ved ikke hvad fyren havde til at ligge på sin computer af gustne ting, men han blev i hvert fald meget skræmt over at selveste NSA havde "tiltvunget" sig adgang til hans computer. Det viste sig så bare efter at jeg havde udspurgt ham lidt at det tweak program han havde benyttet også startede Windows tidsservice og lod den synkronisere op imod en af NSA's offentlige tidsservere, hvorefter han har været uheldig at køre netstat imens den var igang med at synkronisere hans ur.
Jeg har andre eksempler på bekendte der er gået i panik over at en internetudbyders DHCP server venligt har banket på for at forespørge om DHCP lease.
Det værste er dog uerfarne firewall brugere som sidder og går i selvsving over deres firewall logs. Disse brugere har ingen anelse om hvordan trusselsbilledet er i dag. De tror stadig at en hacker sidder på et loftskammer et sted og individuelt målretter sit angreb mod et bestemt ip. De når desværre ikke at tænke så langt at det blandt millioner af ip numre på internet nok er ret usandsynligt at en virkelig teknisk velfunderet person (og dem er der ikke mange af) skulle sidde og koncentrere sig om lige netop deres ip i netop det øjeblik hvor de har fået en firewall installeret. Jeg har set folk der er blevet direkte dødfornærmede over at en "hacker" (eller en tidsserver/DHCP server/whatever) sidder og prøver underlige ting på deres ip, og vil straks have denne slige person i tale og "afstraffe" ham ved anmeldelse eller ved at "finde ud af hvem han er!".

Men kære cyberriddere derude, hackernes tid er forbi. =) Vi er langt inde i virus- og ormeskribenternes æra. 99.99% af al "hacking" i dag foregår automatiseret ved hjælp af orme, autorooting og lignende. Hackede nodes der bruges til at hacke andre nodes, og oftest uden at ophavet til gerningen har været i nærheden af ip'et overhovedet.

Derfor er det så besværligt at anmelde en hacker. Mindst 9 ud af 10 tilfælde er falsk alarm, og resten er for svære at fange. Lad være med at anmelde noget til CERT med mindre det er _virkeligt_ generende for dig og du er 100% sikker på at du har en reel sag. Deres resourcer bruges bedre til at tage fat i de filfælde hvor der virkeligt er rav i gaden.

dnx-> Dette indlæg er ikke specielt møntet på dig. Følte bare kaldet til at skrive det, hvis du forstår. Jeg synes at en log der viser mange gentagne forsøg på port 80 fra det samme ip er en god grund til at anmelde, med mistanke om en IIS orm. Om ikke andet så for at spare båndbredde for os allesammen på TDC nettet.

Strych9-> 1000 tak for det du har skrevet, det virker temmeligt fornuftigt og er da noget der bør tages til eftertanke :) jeg er glad for at en som har noget forstand på det, gider at skrive det. fordi jeg er selv meget ny til det her og du har nok ret da du siget mange går i panik (specielt overboen da jeg sagde der var noget mystisk med serveren) men andre (underboen) går ikke i panik.... Nu er jeg så heldig at jeg har en IT ekspert til at bo nedenunder mig som hjælper når jeg ser ham, men hvis man ikke havde ham som stor hjælp ville det da klart være nemt at gå i panik....

Og det er da rart at vide der kun er 0,01 procent rigtige hackerer tilbage *G*.... men det er jo det du nok har ret i at der er, men jeg vil da åp en måde mene at det næsten er bedre at have rigtige hackerer end at have orme og andet vira....

Til det sidste du skriver om CERT og at det er svært at andmelde hackerer vil jeg da give dig 100% ret.... man skal ikke spilde deres tid...

igen tak for indlægget

Jeg er såmænd taknemlig når folk gider at høre på mine anekdoter ;)

Kunne fortælle mange flere, idet jeg i flere år har bevæget mig hos og omkring "rigtige" hackere, såvel som script kiddies, whitehats (som ofte kalder sig sikkerhedseksperter) såvel som blackhats (som er virus skribenter, og folk med "ond" hensigt), og har dermed temmelig god indsigt i hvordan de arbejder og hvad deres motivation er.

Men måske jeg bare skulle lade være med at spamme løs her og oprette en blog i stedet, eller skrive en artikel eller whatever. =)

Dog, hvis du vil vide et eller andet så spørg løs. Jeg er på en A-kasse sponsoreret "ferie" og har masser af tid. =)

har læst med på tråden her, og har nogle gange undret mig over at ganske almindelige PCer (som er på TDCs bredbånd uden router) op til 10-15 gange i timen får en scanning af portene 137, 139 eller 445 fra ipadresser i samme gruppe (dvs at de 9 første cifre i IP-adressen er ens, så det må være adreser der har samme gateway hos TDC). der er selvfølgelig en masse andet støj i loggen, men er det også den omtalte overreaktion at reagere på scanning af de porte??

De porte der er netbios og er tit udsat for angreb fra orme, f.eks ms blaster og varianter af den som stadig er meget i omløb... det er ganske harmløst hvis du husker at hente sikkerheds opdateringer. Og så er det selvfølgelig en god ide at have en firewall.
Om TDC er interreserede i at vide hvem der gør det skal jeg ikke kunne sige.

Jeg er nu uenig i at man ikke skal anmelde portscan.
Hvorfor tror I cert har et punkt i deres anmeldeformular der hedder "portscan"?
Cert vil hellere end gerne modtage disse informationer.
https://www.cert.dk/anmeldelsesblanket/
Et rigtig godt incitament for at anmelde disse hændelser findes i dette lille citat fra Cert's hjemmeside:
"Når du rapporterer til os, får vi større mulighed for at indsamle og videregive viden om sikkerhedsrelaterede hændelser. Herved øges den samlede viden om, hvordan vi sikrer kommunikation på Internettet".
https://www.cert.dk/vejled/derforanmeld.shtml

citat fra siden >> Så simple forholdsregler som blot at holde et vågent øje med IP-adressen på systemets brugere vil kunne stoppe et hackerangreb, inden det eskalerer.

og det gør proport.!

Ja, men man bør stadig anmelde hændelsen. Cert tager så kontakt til den pågældende udbyder, hvor portscanningen udføres fra og får det stoppet.

Her er lige en lille update... jeg har nu haft ringet flere gange til Tdc og sendt en mail som blev slette (fordi de kun vil have .log eller .txt filer (bemærk min fil var .log) ) nu her den sidste gang har hun bedt mig ringe til et nyt nummer som tilhøre Rigspolitiet.... lyder lidt vildt men....

Det var derfor jeg anbefalede dig at benytte Cert og ikke gå direkte til udbyderen. Det er langt nemmere og effektivt.

så jeg skal ikke ringe til rigspolitiet ?

det koster kun 3500,- for et år...???

Lad nu Cert kigge på det først og få en fornuftig afklaring. De kan så vejlede dig om hvorvidt det er noget du skal gå videre med.

bartfreak>??

Så vidt jeg kan se er Cert ikke en gratis service.. i deres tilbud, skriver de 3500,- for et år.

https://www.cert.dk/abonnement/

øhhh prøv lige at læse hele siden.

dnx> Det er gratis at anmelde sikkerhedshændelser. Ved ikke lige hvordan bartfreak fik dette galt i halsen.

citat fra TDC >>
Hvad gør man ved spam-mails?
Der er to muligheder, når du modtager en spam-mail. Enten kan du slette den med det samme, eller du kan forsøge at klage over den. Hvis du vil klage over den, kan du videresende mailen til postmaster@post.tele.dk, som er en postkasse, hvor TDC samler alle henvendelser omkring spam-mails og anden mail misbrug.
http://sikkerhed.tdconline.dk/artikel.php?id=48446

men jeg kan ikke se noget sted på siden, om cert.. at det er gratis, eller til privatbrugere..??

Måske jeg ska´ ha´briller..*G*

Kort og godt det er gratis! At du så ikke lige kender Cert, er en helt anden sag. Den pris du henviser til er en pris på et abonnoment man som virksomhed kan tegne hos Cert hvis man ønsker at de skal overvåge firmaets netværk.
Du kan læse mere om Cert her: http://www.cert.org/

okay sorry..>>
DK•CERT modtager anmeldelser fra alle. Anmeldelserne prioriteres af ressourcehensyn efter sagens omfang og betydning for den generelle Internetsikkerhed. Alle henvendelser besvares.

så er det spændende at se hvor højt de prioritere en anmeldse fra en privatperson.??

Den er høj. Jeg får næsten altid respons samme dag (inden for 24 timer), hvis jeg anmelder en hændelse. Jeg synes godt nok at du har en noget negativ indstilling til ting du slet ikke kender til bartfreak. Hvordan kan det være?

Her er f.eks. en mail jeg modtog fra cert i forbindelse med anmeldelse af spam:

Til Per,
Det lyder som en sag for forbrugerombudsmanden.

Du kan videresende de modtagne mails (inkl mailheader) til spam@fs.dk

Du kan læse mere på:
http://www.net-tjek.dk/

Du kan oprette et mail filter, hvor du sorterer mail fra ******.dk domænet fra indtil de ophører med at sende mails.

Endnu en update.... Jeg har efter at have snakket med min IT ekspert haft ringet til rigspolitiet, de var flike og sagde blot at jeg skulle sende dem en mail med mine log filer og en kort forklaring, det må man sige.... jeg må dog sige at tdc ikke var nær så flinke... til andre så er politiets E-mail it-kriminalitet@politi.dk (de vil have log filer og en kort beskrivelse af hvad der er sket, fra dit eget synspunkt)

ja, sorry.. men har svært ved at fatte, at noget er gratis, især fra et firma..
Men lad det nu ligge.

Ha´en god dag alle..O)

Endnu en update..... Jeg har hørt intet fra rigspolitiet, men kan da rappotere at personen er begyndt at prøve igen.... :(

Du kommer heller ikke til at høre noget fra rigspolitiet. Jeg hørte et interview med chefen derinde og han sagde at de bare noterede ned indtil en persons synderegister var langt nok hvorefter de slog til. Han sagde også at de ikke meldte tilbage på hændelser, men at de ofte blev kontaktet af folk "som lige ville høre hvordan det gik" med deres anmeldelser, men det er altså ikke noget de melder tilbage på.

og som vi allerede har sagt, der sidder sansynligvis ikke nogen og prøver at hacke dig.. det tyder meget på at det er en orm. Den har ingen effekt på dig så længe din server er opdateret.

jeg har selv ca 20 - 30 forskellige adresser om dagen der forsøger et IIS exploit på min apache server.. sådan er det når man kører en webserver.

hmmmm jeg fik ellers klar besked at jeg ville få en tilbage melding.... men okay... er det ikke lidt mærkeligt atr tdc ikke gør mere ved det end de gør ? for som loadet selv sagde "tdc er ret effektive, jeg sad selv uskyldigt og portscannede lidt engang, og dagen efter fik jeg en opringning fra deres sikkerheds afdeling om at det skulle jeg venligst lade være med, ellers ville de lukke mit internet ;)"....

og du skrev til csirt@csirt.dk ?

nej ? ringede til dem og fik at vide at der var ikke noget de kunne gøre....

Undertegnede har prøvet at lægge et par børneporno anmeldelser ind til dem, og vil gøre det igen når muligheden er der. Men det eneste man får er altså bare en mail om at de har modtaget anmeldelsen. Man får ikke at vide om ens anmeldelse rent faktisk førte til noget. Rigspolitiet gider ikke at have selvbestaltede agenter og cyberriddere til at fare rundt.
Når man har et ip på nettet skal man regne med et angreb ca hvert 5. minut. For 3 år siden var det måske et angreb hver halve time. Tendensen er klart stigende.
Som du kan se er der mange orme derude, og alene på TDC's net er der flere tusinde nodes der er kompromiteret med et eller andet. TDC kan vel ikke gøre så meget ved at gennemsnitsbrugeren ikke er tilstrækkeligt oplyst og uddannet med hensyn til sikkerhed.
Angående loadets portscan: Personligt vil jeg ikke gøre så meget ved en orm der banker på min firewall. Under CodeRed sad jeg dog og morede mig med "net send <ip> du har virus etc" og de ip'er holdt da også temmelig hurtigt op med at figurere i min firewall log. =)  Men et portscan er jo ikke en orm. Det er en person som sidder og fedter med noget han ikke burde fedte med og jeg ville skam anmelde sådan en ting på under 2 minutter. TDC ved også at et portscan nødvendigvis er et angreb i een bestemt retning og at der må ligge vilje og intensioner bag. Derfor reagerer de prompte på det. En orm derimod, på en god forbindelse, kan scanne flere millioner nodes i timen, men her ved de at der formentlig ikke ligger vilje og intensioner bag hos kunden.
En ting at overveje er at TDC betaler for traffik, javist. Men der er forskel på prisen på traffik der går på deres eget net og traffik der går udlands, for her skal prisen forhandles med andre udbydere. TDC har jo også en Internet udbyder. =) Chancen er at de er ligeglade med orme hos kunder som søger efter sårbare nodes hos andre kunder. Ormeangreb kan de rimeligt nemt stoppe i deres routere så det er isoleret på deres eget net hvis det bliver nødvendigt.
Har du nogensinde tænkt over hvorfor det kun er smtp.mail.dk som kan sende mail ud fra TDC's net? Det er på grund af orme. Bagle, MyDoom osv var orme som var designet, lavet og udnyttet af professionelle folk som lever af at sende spam mail ud. Når en node har feks MyDoom så kan de bruges som spam relay. Men det har TDC effektivt stoppet idet mail skal igennem smtp.mail.dk relay, for ellers kommer det ikke ud fra deres net. Er simpelthen lukket i routerne.

vil gerne have et svar fra Kenp & bartfreak så lukker jeg :).... hvis der er nogen der syns de bliver snydt så skrvi endelig

okay..O)

.

Tark :) I får 25 point hver håber det er nok :/.... der kommer en sidste update på et eller andet tidspunkt ;)

okay hvorfor kan jeg ikke give 25 point til hver ? :S

summen af point sat på højkant er 60.

jeg kan heller ikke give 4* 15

jeg har også fået en masse spam, men slap af med dem på denne måde.->
jeg fandt ud af de alle kom fra @exite.com, som yder gratis mail, ala hotmail.
Jeg skrev til dem, om de ville være søde og rare at stoppe disse spam/virus mails. Og vedlagde meddelsekilder 2-3 stk´s´.
Siden da har jeg ikke modtage nogle af de mails.
Det virker sikkert kun med nogle udbydere, der gider gøre noget ved det men på den andens side, vinder de jo også bandwith/trafik ved at stoppe det..
Så det er da værd at prøve.

prøv igen..?

Jeg kan stadig ikke give point : ( jeg giver 15 til hver men det gider den ikke

du skal markere brugere og så acceptere

endelig fik jeg lukket det :P tark dannyboyd ;)