Странная сетевая активность на mikrotik, у меня одного?

Question

[daiv06140840]

На всех(более 10) девайсах mikrotik, с разной архитектурой, в торче вижу странную сетевую активность(даже при отключении всех, кроме ISP, физических сетевых интерфейсов):
185.156.73.125:40230
и еще несколько, но это соеденение точно есть на всех.
Как проверить у себя:
winbox - tools - torch, выбрать interface(ваш ISP интерфейс) - entry timeout 10+ минут - убрать галки с src/dst v6, поставить галку port, соурс и дст адреса 0.0.0.0/0. Запускаем, ждём.

Что это за коннеты микрот инициирует?

Comments

[Довольный Айтишникъ]

Так может скриншот покажете? Или в угадайку играем?

Answer 1

[Дмитрий Александров]

Бот сканит

Comments

[daiv06140840]

Не похоже.

[Дмитрий Александров]

daiv06140840, не то что похоже, а оно и есть.

[daiv06140840]

Дмитрий Александров, С одного порта 40230 своего все микроты в стране одновременно сканит? На разные дурацкие порты? 40000-50000? Какой смысл?

[Дмитрий Александров]

daiv06140840, снифером ткните и посмотрите что за трафик внутри. Скорее всего ломанули ваши тики и зашили шэлл, а теперь бот ферма из ваших тиков стучится к хозяину и ждем команды.

[daiv06140840]

Дмитрий Александров, Больше на бэкдур похоже, это не мои тики, а вообще любые. Надо было глянуть на своих, везде одно и то же.

[Дмитрий Александров]

daiv06140840, могу точно сказать что на паре десятков моих нигде нет этого. Версии ОС разные, 6\7 и далеко не самые свежайшие по части 6.

Answer 2

[fitbikeco]

в spamrats этот ip в черном списке.
https:// bgp. he. net/ip/185.156.73.125#_rbl

RBL (remote block list or realtime blackhole list)

Answer 3

[Никадим Цацкин]

У меня ещё 7 марта этот адрес в блэк лист попал на 15 дней

Comments

[osada]

А у вас настроено как-то автоматически в Микротике стягивать список забаненых IP с какого-то ресурса?

Как это можно реализовать?

[Никадим Цацкин]

Я использую правила:
/ip firewall filter
add action=add-src-to-address-list address-list=port-scanners address-list-timeout=2w chain=input comment="Port-scanners to list " protocol=tcp psd=21,3s,3,1
add action=add-src-to-address-list address-list=port-scanners address-list-timeout=2w chain=input comment="NMAP FIN Stealth scan" protocol=tcp tcp-flags=fin,!syn,!rst,!psh,!ack,!urg
add action=add-src-to-address-list address-list=port-scanners address-list-timeout=2w chain=input comment="SYN/FIN scan" protocol=tcp tcp-flags=fin,syn
add action=add-src-to-address-list address-list=port-scanners address-list-timeout=2w chain=input comment="SYN/RST scan" protocol=tcp tcp-flags=syn,rst
add action=add-src-to-address-list address-list=port-scanners address-list-timeout=2w chain=input comment="FIN/PSH/URG scan" protocol=tcp tcp-flags=fin,psh,urg,!syn,!rst,!ack
add action=add-src-to-address-list address-list=port-scanners address-list-timeout=2w chain=input comment="ALL/ALL scan" protocol=tcp tcp-flags=fin,syn,rst,psh,ack,urg
add action=add-src-to-address-list address-list=port-scanners address-list-timeout=2w chain=input comment="NMAP NULL scan" protocol=tcp tcp-flags=!fin,!syn,!rst,!psh,!ack,!urg
add action=drop chain=input comment=DNS-DENY dst-port=53 in-interface-list=WAN protocol=tcp
add action=drop chain=input comment=DNS-DENY dst-port=53 in-interface-list=WAN protocol=udp
add action=add-src-to-address-list address-list=!_dns-flood address-list-timeout=none-dynamic chain=forward comment=DNS_Flood connection-limit=100,32 dst-port=53 in-interface-list=WAN protocol=udp
add action=add-src-to-address-list address-list=!_smb-flood address-list-timeout=none-dynamic chain=forward comment=SMB_Flood connection-limit=100,32 dst-port=445 in-interface-list=WAN protocol=tcp
add action=add-src-to-address-list address-list=!_telnet-flood address-list-timeout=none-dynamic chain=forward comment=Telnet_Flood connection-limit=20,32 dst-port=23 in-interface-list=WAN protocol=tcp
add action=add-src-to-address-list address-list=!_ssh-flood address-list-timeout=none-dynamic chain=forward comment=SSH_Flood connection-limit=20,32 dst-port=22 in-interface-list=WAN protocol=tcp
add action=add-src-to-address-list address-list=!_snpp-flood address-list-timeout=none-dynamic chain=forward comment=SNPP_Flood connection-limit=20,32 dst-port=444 in-interface-list=WAN protocol=tcp
add action=add-src-to-address-list address-list=!_msf-indication address-list-timeout=none-dynamic chain=forward comment=Metasploit_Indication connection-limit=20,32 dst-port=4444 in-interface-list=WAN protocol=tcp
add action=log chain=forward comment=Abnormal_Traffic connection-bytes=80000000 in-interface-list=WAN log=yes log-prefix=!_Abnormal-Traffic

После этого все запихиваем в RAW:

/ip firewall raw
add action=drop chain=prerouting in-interface-list=WAN src-address-list=port-scanners

Правила файрвола надо поднять на самый верх.

[osada]

Никадим Цацкин, Спасибо!