Мистический исходящий трафик

[@PeresvetONE]

Что значит рандомного? Мы за тобой давно следим. Мы тебя на землю вернули не чтобы ты просто от нас скрылся.

[@Sibe1ius]

как раз в новостях писали Cloudflare отразила рекордную DDoS-атаку интенсивностью 3,8 Тбит/с - её устроили роутеры Asus и MikroTik

[@sanyaZakon]

😮ого

[@dmaraptor]

Но у него запросы не от, а к роутеру были. Потому в данном случае отношения к атаке его роутер точно не имеет.

[@Partsigah]

Всмысле к роутеру, написано жэ исходящий трафик.

[@vabka-7708]

​@@Partsigahну так dns-запрос на вход, а ответ на выход

[@nikonufrienko2064]

Восстание машин

[@_netten]

DNS amplification ddos attack

[@ИзмерениеМечты]

Это Седой пытается пробиться к Лехиному сердцу: "Давай доснимим пока все играют, я все прощу!"😂😂

[@MrMask-rl8lg]

Хаха😂 Седой все собирается к Ильичу

[@srs45462]

А где сейчас седой?

[@iichization]

​@@MrMask-rl8lgВладимиру или Леониду?

[@MrMask-rl8lg]

@@iichization у него же песня есть

[@rexby]

Это скорее всего для DDOS. В UDP пакете адрес отправителя ставят тот, который хотят заддосить. Резолвят домен с кучей ip. И этот жирный ответ улетает по ip отправителя (фейковому).

[@xfact0ry]

Там вроде не resolve а lookup вообще

[@3BePu]

Мой провайдер за открытый 53ий порт автоматом канал рубит, ибо самая простейшая дыра для DDoS амплификации. Если хочу оставить открытым 53 порт для своих нужд - приходится ставить отдельное правило на сброс соединений из подсети безопасников провайдера :) (чтобы из сканеры не находили)

[@mickdick6867]

Как так сделать?

[@aleksbotler5358]

Такому "заботливому" провайдеру надо пальцы дверью щемить.

[@АлексейВиноградов-ц9ж]

"Заходит Платон в гости к Архимеду и говорит: "Послушай, дорогой друг, ты великий геометр, но мне едва хватило сил открыть твою калитку!" На что Архимед, ухмыляясь, отвечает: "Я калитку соединил с помпой, вот ты зашёл в гости и 5 литров воды мне накачал!"

[@SomeOne-ri7dj]

В одном советском фильме такое было. И узнав а таком подвохе гость начал яростно открывать и закрывать дверь со словами: "затоплю тебя нафиг!" -)

[@win12k]

DNS amplification DDoS attack ))) Твой роутер юзали злодеи.

[@aleksbotler5358]

Откуда вы взяли сразу, что злодеи? Может, доброхоты?

[@win12k]

@aleksbotler5358 :DDD Ага, они же ещё перед уходом и фаервол под крутили, что бы вышеописанные не стучались ну и прошивку обновили, так из добрых побуждений :DDD

[@aleksbotler5358]

@@win12k Уверен, что так всё и было. Ещё и денег автору на телефон закинули.

[@qa337]

Обычный ddos

[@ilya_mzp]

Open DNS resolver загугли. Отправляешь запрос с подмененным ip адресом источника, DNS сервер шлёт ответ, но размер ответа больше, чем запроса. Это позволяет производить DDoS атаку.

[@Snaleks81]

Дай угадаю - роутер Mikrotik, да? :)

[@TheSameDragon]

Это не простые dns запросы, это часть ботнет сети для атак. В микротике нужно защищать как dns, так и ntp сервера от внешнего доступа, т.к. у них есть особенность, которая позволяет подменить scr-addr и твой роутер начинает активно дедосить хост жертвы.

[@dunesega6270]

тоже самое было, когда бездумно скопировал чей то конфиг из инета на свой микротик, а когда сам заметил такой трафи,к прозрел, и начал более пристально проверять свой конфиг )

[@TheSameDragon]

@@dunesega6270 микротик это железка для тех, что четко понимает что делает, как делает и как это работает. Любая неосторожная галочка превращает устройство или в софт. кирпич или в лёгкую добычу для ботов.

[@xiaomiredmi3217]

что? 😂

[@ds1003]

подскажите, это какой-то особенный тип роутера, с расширенными возможностями? владельцам обычных Зюкселей и тп-линков стоит беспокоиться?

[@TheSameDragon]

@@ds1003 не стоит. Микротик для профессионалов

[@Yapianyibil]

Вы стали частью DDOS атаки, поздарвляю.

[@igroykt]

могут использовать ботнеты для амплифицированных атак т.е. сперва отравляют кэш твоего днс сопоставив определенный домен с айпи адресом жертвы и могут добавить еще какой нить мусор чтобы увеличить размер пакетов. далее просто постоянно опрашивают твой днс, а твой днс постоянно будет отвечать жертве большими пакетами данных, что увеличивает эффективность ddos атаки.

[@computergroup1]

Игорь Вихорьков, это вы?

[@lucidfear2347]

Кыш отсюда

[@Masha_Garna]

О, WI-1000X! На громкость микрофона жалоб нет? Как-то он тише стал... Может Firmware обновлять не стоило?

[@GenriEnter]

это тип атаки такой, с поддельным получателем ответа, вас использовали чтобы Ддостать кого-то днс ответами котрые они не заказывали

[@BekirovTimur]

Это же известная атака с использованием публичных незащищенных dns серверов. Идея в том, что DNS не TCP, поэтому можно подменить Source адрес. Таким образом злоумышленник запрашивает резолв dns имени, а в качестве Source адреса указывает сервак, который необходимо атаковать. Незащищенный dns сервер принимает пакет от злоумышленника, но ответ отправляет на адрес жертвы. Вот казалось бы ничего страшного же в этом нет. Но нет, такие незащищенные dns серваки неделями, месяцами собираются в огромный ботнет, ежедневно мониторятся, а в назначенный час тысячи(а порой миллионы) таких устройств разом начинают посылать свои dns ответы на жертву. Жертва пытается обработать хтот трафик и начинает улетать в полку по цпу и памяти, в связи с чем постепенно деградирует. Проще говоря, твой роутер был членом ddos ботнета

[@anotherdjmix]

Чтобы хакнуть. У меня в день на микротике по 20-30 блок на 30 дней попадают. Попытки подобрать пароли и прочая лажа.

[@92Darkmind]

Это DNS спуфинг уязвимость. Почитай. Суть в том что когда твой днс работает, по старому протоколу, он не проверяет никак от кого приходит ответ. Злоумышленник подменяет свой ip на IP возможного днс который ты установил и пытается предугадать какой адрес ты резолвишь ( что весьма не сложно, т.к. к домену гугла часто обращаются ), и закидывает тебе фейковый адрес в днс лист. Когда ему это всё-таки удаётся ты неожиданно попадаешь не на домен гугла например а на фейковый сайт где с тобой уже проворачивают всякие схемы

[@Lait_Croft]

Ну кто прописал вместо гугловких кластеровские днсы)

[@mazellovvv]

dns,cluster,wtf

[@bzz445]

спасибо. сегодня такое же началось и сразу вспомнил про твой видос, так бы долго разбирался в чем дело)

[@VANSSOFT]

Такой хороший был днс сервер, на много лучше клауда и гугла, жаль закрыли...

[@ILRBW]

Не снёс бы заводской конфиг - не имел бы проблем :)) По-умолчанию в Микротике "нормально закрытый" файрволл. А использовать "нормально открытый" файрволл и закрывать отдельные порты - это неправильно.

[@ClusterMeerkat]

Да я все UDP в какой-то момент зачем-то открыл и забыл об этом. У меня там прям явное accept правило было.

[@ILRBW]

@@ClusterMeerkat надо бросать эту плохую привычку )) Если что и открывать - то только под конкретную ситуацию и для доверенного(ых) IP.

[@dmsh5796]

Не вешать нос, гардемарины!

[@АлексейФедоров-ю3л]

Обычным пользователям не просто с настройками, классный контент!

[@paveletrich6977]

Я когда торрент-клиент выключаю, до меня всё время пытаются достучаться пиры. И так до смены IP-адреса раз в 24 часа. Вот только интересно. Мне дают новый IP-адрес. Разве этот адрес не принадлежал другому человеку до того, как провайдер поменял всем адреса? А у этого другого человека тоже могли быть торренты! Почему меня не долбят его пиры? Или провайдер рявкнул на них и сказал ЗАТКНИТЕСЬ НАФИГ!

[@phplego]

Хехе, спасибо, я незнал про DNS amplification attack, теперь знаю 😅

[@sylabulus]

DNS amplification, понял это ещё до того, как ты рассказал

[@BlackAmV0]

А попыток аутентификации в веб-консоль и ssh не было, часом?

[@ClusterMeerkat]

@@BlackAmV0 так они закрыты как раз

[@BlackAmV0]

@@ClusterMeerkat а, ну я просто помню, что их на Mikrotiks тоже файерволить надо, так как они по умолчанию снаружи не закрыты. Слышал, что какие-то ботнеты тоже ищут 80 порты и пытаются там брутфорсить пароли.

[@theartofspeed6818]

Вы случаем не Мамикс из будущего ?

[@В-Валериевич]

Это всё DNS Хулиганы.

[@alexandrorodrigez]

Ну вы даёте. Такой наив. Вы участник полезного дела (для кого-то), ну или ужасного для других. Вы DDoSer ^__^ Роутер не бездельничает, а занимается интересными вещами.

[@freemen667]

Да, такая же тема была. Только у меня роутер задудосили так запросами.

[@thevitas1]

Вроде не дурак и вполне адекватный IT спец, но наивный как ребенок.

[@АлександрМельник]

сегодня на хабре была статья "Сетевой тролль по имени яндекс-алиса". Возможно у вас что-то подобное.

[@fauxchanges4723]

Брат, а теперь переведи (и медленно если можно)

[@usver-fd4zp3yr3i]

10 мегабит, это не простые запросы. Несколько лет назад я такое на линуксовом шлюзе поймал.

[@Абува]

Не обращай внимание, ребята сканят диапазон в поисках уязвимостей

[@Jora1x]

Что бы в 100% уложить проц на роуторе. Первым делом закрываем 53 порт из вне

[@kprohorow]

К Микротику такая штука которую без специальных знаний не настроить правильно Не для домашнего использования эта штука

[@КантемирМалиновый]

можт они по твоим инструкциям что то делали?)

[@VitVit312]

Я уже думал видос про неопытных держателей впн серверов на впске, где исходящий и входящий трафик практически равны и если стоит лимит то всегда нужно его делить минимум на 2, а то и на 2.1

[@Pukuotukas]

А может я и забыл? А может я и не знал? Прошу сделайте видос про это. Спасибо💗💖

[@Baroncb]

Ты наверное неслышал про tunnel over dns

[@Дмитрий-п4х]

Я так полагаю микротиком изволитес пользоваться ) ну так у него по умолчанию разрешены все внешние DNS запросы )

[@АлександрИванович-з7ы]

Нет. Сто лет как не разрешены в конфиге по умолчанию. Если только найти устройство пятнадцатилетней давности давности и не обновлять.

[@Дмитрий-п4х]

​@@АлександрИванович-з7ы себе мне тоже пришлось прикручивать правило с 53 портом , а до этого безобразие было

[@АлександрИванович-з7ы]

@@Дмитрий-п4х по умолчанию там нормально закрытый файрволл, если сам не открыл, как автор ролика, то никаких проблем не будет. Особенно без "белого" адреса.

[@rachserg]

Добро пожаловать в бот нет, взламывают на 1,2,3

[@Zombat92]

Не нужно лгать что ты не знаешь зачем 😅

[@VladimirTsekh]

Как же бесит это "рандомное" все в раз, как идиоты позабыли слово "случайное".

[@kote315]

Вы понимаете что говорите это человеку, для которого фаза "юзеры коннектятся к гейтвею через файрвол с трафик шейпером" считается нормальной?)))

[@inethak]

звучит как кривая настройка сети провайдера. ну или роутер используют в цепочке флуд атаки dns трафиком

[@serzhivanov]

Все проще это Goodbye dpi посыпался😂

[@zakrytikzuk]

Ничего не понятно но очень интересно

[@GenriEnter]

у вас микротик же, закрывайте 53 порт снаружи)

[@ne_muzyka]

У меня тоже такое бывает, называется паранойя....

[@MMC_Repair]

Какой роутер то у тебя хоть?

[@BlackAmV0]

Ну из известных маршрутизаторов, которые не закрывают DNS-запросы наружу, когда ты убираешь полную блокировку запросов извне, самый известный - это Mikrotiks.

[@Cmpe1ok]

Для этого тебе неплохо для начала изучить сетевую модель, а потом не хайпить на проблеме, которая и выеденного яйца не стоит, хотя бы потому, что ты не Пентагон чтобы тебя ломать, ну а если по сути: ты получаешь динамический адрес из пула и так уж вышло, что у провайдера или инженера наступили и в своем dhcp прописали твой адрес в качестве dns ну или конда то твой ip был чьим то dns сервером… адрес после аренды сменился и вуаля и не тупите: белые айпишники провайдер тоже может раздавать по dhcp

[@vadim_f-ov]

Это автоматом наверное. У меня былоттакое. Только положение было худе 50+ мб😂 закрыл порты нахрен. 7100+ поллбчений. Странные дела. Кста там ьыли в все ip пула моего ip

[@DeathSugar]

а ты небось ютуб резолвишь хорошо вот и попал в роуты

[@dnbdeepsnow]

DDoS - DNS амплификация

[@vasiljnecjkiy4090]

Рут, все решает

[@passqdinka9356]

Магистраль дудосят хейтеры😂

[@timfactory]

Для DDoS атак

[@СерчеШме]

У тебя есть Яндекс Станция, да? Это из-за неё

[@aleksandr_k]

умеет снифать трафик и не знает что нельзя держать открытый днс

[@ZeroNonesense]

Товаришь майор 👮‍♂️

[@0JDQvdC00YDQtdC5]

фанаты тебе кэш заливали чтоб днс лучше работал

[@endo_backup]

Впн?

[@Алексей-ч4у3з]

а почему исходящий то?

[@Krakozyabrych]

Через тебя гнали трафик боты. Через уязвимости сервера DNS

[@zaxisbug]

Отец знакомого работает в ФСБ. Сегодня срочно вызвали на совещание. Вернулся поздно и ничего не объяснил. Сказал лишь собирать вещи и бежать в магазин за продуктами на две недели. Сейчас едем куда-то далеко за город. Не знаю что происходит, но мне кажется началось...

[@mimikyurotten9140]

жутковато

[@Vital12682]

Ддосили через тебя.

[@МаксимОкипний]

У меня Асус жрал сам 2 метра.

[@АлексейЕгоров-б2э]

да, бывает

[@Nidvoraich]

Не знаю

[@DenisPress]

Я думал ты умнее...

[@sashasashovic91]

Вы посмотрите трафик от windows, и подумайте о GNU/Linux.

[@HateNickReg]

Провайдер с кривыми руками.

[@jcdenton2819]

Сколько же гемора с белыми айпи.

[@infinity_eror]

просто mikrotik - полуподвальный производитель роутеров. Все говорят что он для профессионалов - только вот я не видел не одного профессионала с подобным роутером. mikrotik это роутер для экспериментаторов энтузиастов которые постигают азы и не знают что им нужно.

[@dmitrydmr9979]

С белыми ип 0 гемороя, просто первое правило файрвола для входящего и исходящего траффика - блокировать всё.

[@rush1729]

У меня через ДНС запросы интернет работал, когда иные пакеты не ходили до закрытой сети.

[@dmaraptor]

Ахаха. Это какой такой "интернет" у вас через DNS работал?

[@rush1729]

@@dmaraptor Домашний из закрытой сети предприятия, во внешнюю сеть только днс запросы уходили, ими и был создан модем.

[@dmaraptor]

​@@rush1729 то есть вы просто использовали 53 порт для пробрасывания трафика. А причем тут тогда DNS? Это обычный прокси на нестандартном порту.

[@srv26]

Ответ - запросы извне это вообще-то входящий трафик )