Apocalypsis

Outpost Firewall PRO Log 02/06/2007 22:19:07 Analyse du port 80.247.230.220 TCP (1106, 4651)

Voilà le log que m'a sorti mon firewall il y a deux ou trois jours.
Copiez/collez l'adresse IP dans votre barre d'adresse et allez voir ce que c'est...
Vous remarquerez sans doutes qu'il s'agit d'un site bien connu de par chez nous...

Qu'est-ce que c'est que ce bordel ?

Après quelques renseignements, j'ai retrouvé ces ports bien souvent dans des descriptions de Keyloggers...

Je vous conseille à tous de vous équiper en firewalls et de changer vos mots de passe, si un petit malin a envie de s'amuser à attaquer Apo, on va avoir du soucis à se faire...

Attendez, déjà quel est donc ce site dont vous parlez et ensuite, où joue ce joueur? Peut-il attaquer la G0, la G1 et la G2 en un coup? Que ce passe-t-il? Faut-il changer son mot de passe en sachant qu'il peut attaquer à tout moment ou bien faut-il le changer si on est aller sur le site? Que dit le site? Répondez à mes questions s'il vous plaît.

Il se trouve que le site en question, c'est APO lui-même !
C'est justement ce qui m'étonne et qui fait que j'ai trouvé ça très bizarre...

Enfin, attendez quand même une réaction de Macolu.
Je ne veux pas lancer une panique pour rien si c'est en fait normal et sous contrôle...

Que-ou-ah

Pour ma part ,j'ai un bug qui affiche une page blanche avec le numéro d'ip que tu as donnés

Je croyais que c'était une pub qui déconner mais vu qu'apo fait pas de pub...

Mais Quel est la page qui s'ouvre aucune idée ,j'ai remis mon firewall je l'ai plus .
Je désactive ,elle revient.

Bon, j'ai une information de quelqu'un qui s'y connait un peu ( Revan G2 ). Il m'a dit qu'il ne faut pas changer son mot de passe car s'il a mit un traceur dans le code du jeu, il suffit que vous changiez votre mot de passe pour qu'il le connaisse. Alors je le répète, ne changez pas votre mot de passe.

Du calme, à mon avis c'est simplement l'IP du serveur apocalypsis.org que vous avez là...

Je préviens macolu il expliquera si c'est ça ou pas, mais pas de panique, Apo est safe ^^.

Du calme du calme

L'adresse IP en question correspond bien à apocalypsis, aucun doute là-dessus.

Grabeuh, si j'ai bien compris, tu crois que le message de ton firewall signifie que le serveur apocalypsis aurait scanné des ports sur ton PC. Donc tu comprends la phrase ainsi : "Le serveur 80.247.230.220 a scanné nos ports."

Je crois que tu interprêtes le message à l'envers. Moi j'interprète ça de la façon suivante : "Les ports de l'IP 80.247.230.220 ont été scannés".

Autrement dit, un truc se trouvant sur ton ordinateur aurait scanné les ports du serveur apocalypsis.

Les raisons que j'ai de penser ça sont les suivantes :

- d'un point de vue purement linguistique, hors technique, j'interprète ça comme ça. Les autres peuvent donner leur avis sur ce point.

- après une recherche sur ton firewall, il semblerait qu'en cas de scan des ports depuis l'extérieur, il affiche plutôt ça : "22:19:07 Intrus bloqué Une analyse de ports a été détectée depuis 80.247.230.220 (ports analysés : TCP (1217)" (exemple fictif)

- tu m'as dit par MP que tu étais derrière une box configurée en mode routeur, donc un scan des ports sur ton pc "échoue" sur ta box, et pas sur le pc derrière (sauf si la box relaye tout par défaut sur ton pc, mais bon on s'égare, c'est pas le problème).

Bref, le serveur d'apo est clean, à jour au niveau des mises à jour de sécurité, et on s'amuse pas à faire ce genre de choses. Si quelqu'un en avait pris le contrôle (rootkit ou autre), je pense qu'il s'en servirait pour envoyer du spam, pas pour scanner 2 ports. Et j'ai moi aussi trouvé des infos sur des virus qui scannent ces ports, ce sont des virus windows, et le serveur est sous linux.

Si tu veux je veux bien essayer de scanner tes ports, pour vérifier que tu obtiens le type de message que je cite plus haut.

Je rajoute qu'au passage, que le scan des ports d'un ordi est en soi inoffensif. Par contre, l'opération peut permettre de récolter des informations qui, elles, peuvent être utilisées pour faire des choses moins inoffensives...

Donc pour conclure, tout le monde se calme, respire un grand coup, et tout va bien

La redirection de ports a été activée sur la box, étant donné que je me sers de ce PC comme serveur (je suis en DUT de maintenance réseau, alors je m'entraine un minimum ^^).


Je te sors le log complet, pour que tu puisses mieux juger de la chose :

Date : 02/06/2007
Adresse IP : 80.247.230.220
Nom DNS de l'agresseur : http://apocalypsis.org
Type d'attaque : Analyse de port
Heure de l'attaque : 22:19:07
Analyser les détails de port : TCP(1106, 4651)

J'ai aussi une version du log comme tu dis l'avoir trouvée.

02/06/2007 22:19:07 Intrus bloqué Une analyse de ports a été détectée depuis apocalypsis.org (ports analysés : TCP (1106, 4651))

voici même un screenshot pour mieux voir :



J'ai fait tous les tests d'analyse de port possible, heureusement mon firewall les bloque à la perfection (c'est pas un des meilleurs du marché pour rien, au moins je suis content de mon achat ^^)

Mais toutes les recherches que j'ai pu effectuer concernant ces deux ports m'ont pratiquement toutes mené sur des sites de Warez proposant les scripts utilisés par les hackers pratiquant le phishing à rajouter en injection de code PHP... Voilà ce qui m'a un peu alarmé.

Après, je pense que tu sais mieux programmer en PHP que moi (je débute seulement dans ce domaine, mon terrain de jeu, c'est plutôt le C-ANSI, moins casse-pied niveau sécurité ^^) et que tu as prévu une protection contre le PHP-injection et le SQL-injection (mes bêtes noires lorsque je code)...
Mais dans ce cas là, le mystère reste entier...

Je sais pas si c'est lié, mais j'ai des problèmes de connexion sur apocalypsis.org. Les pages prennent parfois un certain temps à charger, quand ce n'est pas un message d'erreur.

C'est apparu hier soir. Ça n'est probablement pas de mon côté, puisque seul apo est concerné...

enfin bref, j'informe, vous disposez.