[freebsd] [ОТ]: Борьба с кульхацкерами

[Alexander Bolshakov]

Добрый день сообществу и с прошедшими и наступающими праздниками!

Обратился ко мне хороший товарищ с проблемой: завёлся у него дома в соседях
кульхацкер и развлекается тем, что ломает его домашний wifi-роутер, делая
открытым доступ. :( Роутер из простых - TP-Link, модель не знаю, т.к. дома
у него ещё не был. Советы "сменить пароль" на роутер и wifi не помогли - за
последний месяц этот хацкер уже три раза открывал роутер. WPS отключен, но,
похоже, это только в вебморде, т.к. взломы продолжаются. В голову приходит
только настройка какого-нибудь snmp-монитора с отслеживанием МАС-адреса и
занесением его в бан-лист с возможным последующим вычислением и занесением
в личность.
Может, у кого есть другие конструктивные мысли по этому поводу?

PS: Понятно, что это кто-то из ближайших соседей (10-30 метров); понятно,
что молодняк, только освоивший пару методов взлома; понятно, что надо
учить, по-возможности, законными и культурными методами. Поэтому, прошу о
конструктивной дискуссии по существу поднятого вопроса.
PS2: никогда не задумывался, но вот сейчас пришлось: как можно
(теоретически - можно, а вот практически, на бытовом уровне, бытовыми
ширпотребовскими методами и подручными средствами) вычислить мОлодца, зная
МАС его сетевушки? Он же должен вещаться в эфир постоянно при радиообмене.
Есть софтинки, мониторящие эфир на эту тему?

Спасибо всем, кто откликнется по теме!

Re: [freebsd] [ОТ]: Борьба с кульхацкерами

[Lystopad Aleksandr]

 Hello, Alexander Bolshakov!

On Fri, Jan 08, 2016 at 12:43:35PM +0300
albor...@gmail.com wrote about "[freebsd] [ОТ]: Борьба с кульхацкерами":
> Добрый день сообществу и с прошедшими и наступающими праздниками!

 Спасибо! :)
 
> Обратился ко мне хороший товарищ с проблемой: завёлся у него дома в соседях
> кульхацкер и развлекается тем, что ломает его домашний wifi-роутер, делая
> открытым доступ. :( Роутер из простых - TP-Link, модель не знаю, т.к. дома
> у него ещё не был. Советы "сменить пароль" на роутер и wifi не помогли - за
> последний месяц этот хацкер уже три раза открывал роутер. WPS отключен, но,
> похоже, это только в вебморде, т.к. взломы продолжаются. В голову приходит

А шифрование какое? WPA2/PSK?
И еще, точно роутер не сбрасывается в дефолт по какой-то иной
причине?

Возможно, он не может сохранить конфиги и после очередной перезагрузки
грузится на дефолтных настройках? А ваш товарищ считает что его
взламывают.

> только настройка какого-нибудь snmp-монитора с отслеживанием МАС-адреса и
> занесением его в бан-лист с возможным последующим вычислением и занесением
> в личность.
> Может, у кого есть другие конструктивные мысли по этому поводу?
> 
> PS: Понятно, что это кто-то из ближайших соседей (10-30 метров); понятно,
> что молодняк, только освоивший пару методов взлома; понятно, что надо
> учить, по-возможности, законными и культурными методами. Поэтому, прошу о
> конструктивной дискуссии по существу поднятого вопроса.
> PS2: никогда не задумывался, но вот сейчас пришлось: как можно
> (теоретически - можно, а вот практически, на бытовом уровне, бытовыми
> ширпотребовскими методами и подручными средствами) вычислить мОлодца, зная
> МАС его сетевушки? Он же должен вещаться в эфир постоянно при радиообмене.
> Есть софтинки, мониторящие эфир на эту тему?
> 
> Спасибо всем, кто откликнется по теме!

-- 
 Lystopad Aleksandr 

[freebsd] Re: [freebsd] [ОТ]: Борьба с кульхацкерами

[Anton Sayetsky]

8 янв. 2016 г. 11:43 пользователь "Alexander Bolshakov" 
написал:
>
> Добрый день сообществу и с прошедшими и наступающими праздниками!
>
> Обратился ко мне хороший товарищ с проблемой: завёлся у него дома в
соседях кульхацкер и развлекается тем, что ломает его домашний wifi-роутер,
делая открытым доступ. :( Роутер из простых - TP-Link, модель не знаю, т.к.
дома у него ещё не был. Советы "сменить пароль" на роутер и wifi не помогли
- за последний месяц этот хацкер уже три раза открывал роутер. WPS
отключен, но, похоже, это только в вебморде, т.к. взломы продолжаются. В
голову приходит только настройка какого-нибудь snmp-монитора с
отслеживанием МАС-адреса и занесением его в бан-лист с возможным
последующим вычислением и занесением в личность.
> Может, у кого есть другие конструктивные мысли по этому поводу?
>
> PS: Понятно, что это кто-то из ближайших соседей (10-30 метров); понятно,
что молодняк, только освоивший пару методов взлома; понятно, что надо
учить, по-возможности, законными и культурными методами. Поэтому, прошу о
конструктивной дискуссии по существу поднятого вопроса.
> PS2: никогда не задумывался, но вот сейчас пришлось: как можно
(теоретически - можно, а вот практически, на бытовом уровне, бытовыми
ширпотребовскими методами и подручными средствами) вычислить мОлодца, зная
МАС его сетевушки? Он же должен вещаться в эфир постоянно при радиообмене.
Есть софтинки, мониторящие эфир на эту тему?
>
> Спасибо всем, кто откликнется по теме!
Казалось бы, при чём здесь FreeBSD...

[freebsd] Re: [freebsd] [ОТ]: Борьба с кульхацкерами

[Vasiliy P. Melnik]

поставить wpa2-aes , ну и убедиться, что таки проблема не с роутером и он
сам не сбрасывается в дефаулт. Так же проверить, возможно на самом роутере
падает демон шифрования, был опыт определнной настройки опенврт на wrt54gl
- там именно демон был отдельный под это дело.

8 января 2016 г., 11:43 пользователь Alexander Bolshakov  написал:

> Добрый день сообществу и с прошедшими и наступающими праздниками!
>
> Обратился ко мне хороший товарищ с проблемой: завёлся у него дома в
> соседях кульхацкер и развлекается тем, что ломает его домашний wifi-роутер,
> делая открытым доступ. :( Роутер из простых - TP-Link, модель не знаю, т.к.
> дома у него ещё не был. Советы "сменить пароль" на роутер и wifi не помогли
> - за последний месяц этот хацкер уже три раза открывал роутер. WPS
> отключен, но, похоже, это только в вебморде, т.к. взломы продолжаются. В
> голову приходит только настройка какого-нибудь snmp-монитора с
> отслеживанием МАС-адреса и занесением его в бан-лист с возможным
> последующим вычислением и занесением в личность.
> Может, у кого есть другие конструктивные мысли по этому поводу?
>
> PS: Понятно, что это кто-то из ближайших соседей (10-30 метров); понятно,
> что молодняк, только освоивший пару методов взлома; понятно, что надо
> учить, по-возможности, законными и культурными методами. Поэтому, прошу о
> конструктивной дискуссии по существу поднятого вопроса.
> PS2: никогда не задумывался, но вот сейчас пришлось: как можно
> (теоретически - можно, а вот практически, на бытовом уровне, бытовыми
> ширпотребовскими методами и подручными средствами) вычислить мОлодца, зная
> МАС его сетевушки? Он же должен вещаться в эфир постоянно при радиообмене.
> Есть софтинки, мониторящие эфир на эту тему?
>
> Спасибо всем, кто откликнется по теме!
>

[freebsd] Re: [freebsd] [ОТ]: Борьба с кульхацкерами

[Alexander Bolshakov]

08 янв. 2016 г. 12:51 пользователь "Lystopad Aleksandr" 
написал:
>
> > Обратился ко мне хороший товарищ с проблемой: завёлся у него дома в
соседях
> > кульхацкер и развлекается тем, что ломает его домашний wifi-роутер,
делая
> > открытым доступ. :( Роутер из простых - TP-Link, модель не знаю, т.к.
дома
> > у него ещё не был. Советы "сменить пароль" на роутер и wifi не помогли
- за
> > последний месяц этот хацкер уже три раза открывал роутер. WPS отключен,
но,
> > похоже, это только в вебморде, т.к. взломы продолжаются. В голову
приходит
>
> А шифрование какое? WPA2/PSK?
Да - я его после первого раза на эту тему по телефону проинструктировал.

> И еще, точно роутер не сбрасывается в дефолт по какой-то иной
> причине?
>
> Возможно, он не может сохранить конфиги и после очередной перезагрузки
> грузится на дефолтных настройках? А ваш товарищ считает что его
> взламывают.
Нет, настройки не сбрасываются в дефолт - каждый раз sid сети разный. В
последний раз - вообще матерным словом обозвал... Я сомневаюсь, что
товарищу выпал тот самый случай псевдоразума rnd-шного... Подозреваю, что
есть какая-то определённая дыра в прошивка типа неотключаемого WPS и хацкер
вычисляет роутер по МАС-у.

>  Lystopad Aleksandr

> Казалось бы - при чём здесь FreeBSD?
Да не при чём, но "живу" давно я здесь и создалось у меня впечатление, что
здесь много разумных и адекватных людей, связанных с администрированием и
безопасностью сетей. А про оффтопик я сразу в теме указал: кто является
строгим апологетом системы может не читать и в дискуссии не участвовать,
приношу свои извинения.
Мне нужно методическое решение, а реализацию уже будем а месте пилить...

[freebsd] Re: [freebsd] [ОТ]: Борьба с кульхацкерами

[Alexander Bolshakov]

08 янв. 2016 г. 17:55 пользователь "Anton Sayetsky" 
написал:
>

> > > Казалось бы - при чём здесь FreeBSD?
> > Да не при чём, но "живу" давно я здесь и создалось у меня впечатление,
что здесь много разумных и адекватных людей, связанных с администрированием
и безопасностью сетей. А про оффтопик я сразу в теме указал: кто является
строгим апологетом системы может не читать и в дискуссии не участвовать,
приношу свои извинения.
> > Мне нужно методическое решение, а реализацию уже будем а месте пилить...
> По топику - в таком случае лучше писать в -beer же.
Увы, возможно я не прав, ещё раз приношу извинения, но однажды на пробу
подписавшись, вынужден был отписаться от пива - уж очень много "воды"... :

> По делу - MAC можно тем же airodump найти, например (хотя я бы предпочёл
wireless sniffer/snooper в MikroTik).
Я думаю, что и сам роутер укажет МАС, если вовремя на него заглянуть или
мониторилку какую-то прикрутить. Вопрос (вторичный) в том, как (чем) с
ноута или планшета (так как роутер  с собой не потаскаешь) потом засечь его
вещание и попытаться запеленговать? Я, навскидку не помню утилиток,
"высвечивающих" клиентов. :(

> Только вот что мешает кульхацкеру генерить маки хоть каждую секунду?
Это - да, слабое место. Просто будем надеяться, что товарищ не столь
параноидален и будет уверен, что никто его не найдёт (все мы знаем, что без
спецоборудования это сделать сложно). В общем, дальнейшие его действия
покажут, как нам дальше действовать.

> Ну и почему бы не рассмотреть вариант обращения в соответствующие органы?
Органы ленивы и требуют доказательной базы от потерпевшего. А здесь
материального ущерба нет, материальной доказательной базы - тоже,
технического обеспечения у наряда нет, если даже уговорить их пройтись по
соседним квартирам (считай - два подъезда), то хацкер может тупо сказать
"ничего не знаю" и радостно потрошить роутер дальше: доказательство того,
что его заметили есть, а наказать не могут. Уж это на пионерских сайтах
объясняют чуть ли не в первую очередь. :(

Вопрос первичный - чем мониторить? Варианты: а) snmp, б) а ля syslogd, в)
есть ещё варианты? Кто-нибудь уже делал такое? Реализация syslogd или snmp
от дешёвых роутеров сообщает параметры (IP, MAC) цепляющихся клиентов?
Спасибо!

[freebsd] Re: [freebsd] [ОТ]: Борьба с кульхацкерами

[rippya]

On 08.01.2016 12:43, Alexander Bolshakov wrote:


Добрый день сообществу и с прошедшими и наступающими праздниками!

Обратился ко мне хороший товарищ с проблемой: завёлся у него дома в 
соседях кульхацкер и развлекается тем, что ломает его домашний 
wifi-роутер, делая открытым доступ. :( Роутер из простых - TP-Link, 
модель не знаю, т.к. дома у него ещё не был. Советы "сменить пароль" 
на роутер и wifi не помогли - за последний месяц этот хацкер уже три 
раза открывал роутер. WPS отключен, но, похоже, это только в вебморде, 
т.к. взломы продолжаются. В голову приходит только настройка 
какого-нибудь snmp-монитора с отслеживанием МАС-адреса и занесением 
его в бан-лист с возможным последующим вычислением и занесением в 
личность.

Может, у кого есть другие конструктивные мысли по этому поводу?

PS: Понятно, что это кто-то из ближайших соседей (10-30 метров); 
понятно, что молодняк, только освоивший пару методов взлома; понятно, 
что надо учить, по-возможности, законными и культурными методами. 
Поэтому, прошу о конструктивной дискуссии по существу поднятого вопроса.
PS2: никогда не задумывался, но вот сейчас пришлось: как можно 
(теоретически - можно, а вот практически, на бытовом уровне, бытовыми 
ширпотребовскими методами и подручными средствами) вычислить мОлодца, 
зная МАС его сетевушки? Он же должен вещаться в эфир постоянно при 
радиообмене. Есть софтинки, мониторящие эфир на эту тему?


Спасибо всем, кто откликнется по теме!

простое гугление выдает, например, вот: 
http://weblance.com.ua/blog/160-kriticheskaya-uyazvimost-v-routerah-i-tochkah-dostupa-tp-link.html


--
Евгений

Re: [freebsd] Re: [freebsd] [ОТ]: Борьба с кульхацкерами

[Mstyslav Dubchak]

мне кажется, что можно логи сего девайса сливать на удаленную машину (syslog), 
т.о. все,  что делается ДО сброса настроек попадет вам в руки. там будет и MAC 
хулигана, скорее всего. можно еще повесить в лифте/ в парадном бумажную объяву 
с предупреждением о последствиях в случае отлова говнюка )) 


--- Исходное сообщение --- 
От кого: "Alexander Bolshakov"  
Дата: 8 января 2016, 13:50:51 


Мне нужно методическое решение, а реализацию уже будем а месте пилить... 

[freebsd] Re: [freebsd] [freebsd] [ОТ]: Борьба с кульхацкерами

[Andrey Marshalenko]

Ну если есть таки FreeBSD/Linux, то можно и arpwatch для начала задействовать.
With best regards,Andrey Marshalenko.System & Network AdministratorAM1000-UANICmailto: marsh...@marshall.kiev.uatel (mob) +380676574197Skype: marshalenkoJabberID: marsh...@marshall.kiev.ua

8 янв. 2016 г., в 11:52, Anton Sayetsky  написал(а):8 янв. 2016 г. 11:43 пользователь "Alexander Bolshakov"  написал:
>
> Добрый день сообществу и с прошедшими и наступающими праздниками!
>
> Обратился ко мне хороший товарищ с проблемой: завёлся у него дома в соседях кульхацкер и развлекается тем, что ломает его домашний wifi-роутер, делая открытым доступ. :( Роутер из простых - TP-Link, модель не знаю, т.к. дома у него ещё не был. Советы "сменить пароль" на роутер и wifi не помогли - за последний месяц этот хацкер уже три раза открывал роутер. WPS отключен, но, похоже, это только в вебморде, т.к. взломы продолжаются. В голову приходит только настройка какого-нибудь snmp-монитора с отслеживанием МАС-адреса и занесением его в бан-лист с возможным последующим вычислением и занесением в личность.
> Может, у кого есть другие конструктивные мысли по этому поводу?
>
> PS: Понятно, что это кто-то из ближайших соседей (10-30 метров); понятно, что молодняк, только освоивший пару методов взлома; понятно, что надо учить, по-возможности, законными и культурными методами. Поэтому, прошу о конструктивной дискуссии по существу поднятого вопроса.
> PS2: никогда не задумывался, но вот сейчас пришлось: как можно (теоретически - можно, а вот практически, на бытовом уровне, бытовыми ширпотребовскими методами и подручными средствами) вычислить мОлодца, зная МАС его сетевушки? Он же должен вещаться в эфир постоянно при радиообмене. Есть софтинки, мониторящие эфир на эту тему?
>
> Спасибо всем, кто откликнется по теме!
Казалось бы, при чём здесь FreeBSD...

[freebsd] Re: [freebsd] Re: [freebsd] [ОТ]: Борьба с кульхацкерами

[Nike]

> Подозреваю, что есть какая-то определённая дыра в прошивка типа 
неотключаемого WPS и хацкер вычисляет роутер по МАС-у.


Обновите прошивку.

[freebsd] Re: [freebsd] Re: [freebsd] [ОТ]: Борьба с кульхацкерами

[Paul Tatarenko]

Здравствуйте, Mstyslav Dubchak!

Friday, January 8, 2016, 2:28:32 PM, you wrote:


мне кажется, что можно логи сего девайса сливать на удаленную машину (syslog), 
т.о. все,  что делается ДО сброса настроек попадет вам в руки. там будет и MAC 
хулигана, скорее всего.
можно еще повесить в лифте/ в парадном бумажную объяву с предупреждением о 
последствиях в случае отлова говнюка ))


--- Исходное сообщение ---
От кого: "Alexander Bolshakov" 
Дата: 8 января 2016, 13:50:51


Мне нужно методическое решение, а реализацию уже будем а месте пилить...



Вот только перспектива вычисления МАС-а в реальной жизни выглядит крайне 
туманной...

-- 
Best regards,  Paul Tatarenkohttp://tatarenko.kiev.ua

| Что за сволочная жизнь! Столько красивых женщин - и так мало времени...

[listening to coolest sound - silence][Silence is sexy - Einsturzende Neubauten]

[freebsd] Re: [freebsd] Re: [freebsd] [ОТ]: Борьба с кульхацкерами

[Anton Sayetsky]

8 янв. 2016 г. 13:50 пользователь "Alexander Bolshakov" 
написал:
> > Казалось бы - при чём здесь FreeBSD?
> Да не при чём, но "живу" давно я здесь и создалось у меня впечатление,
что здесь много разумных и адекватных людей, связанных с администрированием
и безопасностью сетей. А про оффтопик я сразу в теме указал: кто является
строгим апологетом системы может не читать и в дискуссии не участвовать,
приношу свои извинения.
> Мне нужно методическое решение, а реализацию уже будем а месте пилить...
По топику - в таком случае лучше писать в -beer же.
По делу - MAC можно тем же airodump найти, например (хотя я бы предпочёл
wireless sniffer/snooper в MikroTik). Только вот что мешает кульхацкеру
генерить маки хоть каждую секунду? Запеленговать тоже можно - только либо
спецоборудование брать, либо искать в Сети схемы пеленгаторов для самосбора.
Ну и почему бы не рассмотреть вариант обращения в соответствующие органы?

[freebsd] Re: [freebsd] Re: [freebsd] [ОТ]: Борьба с кульхацкерами

[Paul Tatarenko]

Sorry All for OffTopic.

Здравствуйте, Alexander Bolshakov!

Saturday, January 9, 2016, 2:03:38 AM, you wrote:

[...покусано голодными мышами...]

>> По топику - в таком случае лучше писать в -beer же.
AB> Увы, возможно я не прав, ещё раз приношу извинения, но однажды на пробу
AB> подписавшись, вынужден был отписаться от пива - уж очень много "воды"... :

Там само название как бы намекает на наличие *заметного* количества
жидкости. :) А учитывая объём тамошнего траффика эта тема туда и
просилась. Хоть какая-нибудь вода была бы...

[...покусано голодными мышами...]

AB> мониторилку какую-то прикрутить. Вопрос (вторичный) в том, как (чем) с
AB> ноута или планшета (так как роутер  с собой не потаскаешь) потом засечь его
AB> вещание и попытаться запеленговать? Я, навскидку не помню утилиток,
AB> "высвечивающих" клиентов. :(

>> Только вот что мешает кульхацкеру генерить маки хоть каждую секунду?
AB> Это - да, слабое место. Просто будем надеяться, что товарищ не столь
AB> параноидален и будет уверен, что никто его не найдёт (все мы знаем, что без
AB> спецоборудования это сделать сложно).

Собственно, вот и ответ на предыдущий вопрос. Хотя я и не профи в
данной теме. Сорри, могу ошибаться.

AB> В общем, дальнейшие его действия
AB> покажут, как нам дальше действовать.

>> Ну и почему бы не рассмотреть вариант обращения в соответствующие органы?
AB> Органы ленивы и требуют доказательной базы от потерпевшего. А здесь
AB> материального ущерба нет, материальной доказательной базы - тоже,
AB> технического обеспечения у наряда нет, если даже уговорить их пройтись по
AB> соседним квартирам (считай - два подъезда), то хацкер может тупо сказать
AB> "ничего не знаю" и радостно потрошить роутер дальше: доказательство того,
AB> что его заметили есть, а наказать не могут. Уж это на пионерских сайтах
AB> объясняют чуть ли не в первую очередь. :(

Факт вмешательства в работу "компьютерной системы" есть. И это
"статья" УК. Надо только правильно и вовремя собрать доказательства.
Вот для этого можно даже поконтактировать предварительно с
соответствующими органами. Не с теми, что ездят на "примусах", а с
теми, что сидят за клавами. Их координаты где-то даже в СМИ
проскакивали неоднократно.
Конечно, это стоит делать если есть желание "вставить клизму". А иначе
проще, как уже советовали, просто обновить прошивку до последней
официальной или что-то типа OpenWRT и, с некоторой вероятностью :),
забыть о проблеме.

-- 
Best regards,  Paul Tatarenkohttp://tatarenko.kiev.ua

| Иногда за получение пощёчины просят ещё и расписатьсяю

[listening to coolest sound - silence][Silence is sexy - Einsturzende Neubauten]

[freebsd] Re: [freebsd] Re: [freebsd] [ОТ]: Борьба с кульхацкерами

[Андрей Любимец]

09.01.2016 6:03, Alexander Bolshakov пишет:
> 
>> По делу - MAC можно тем же airodump найти, например (хотя я бы предпочёл
> wireless sniffer/snooper в MikroTik).
> Я думаю, что и сам роутер укажет МАС, если вовремя на него заглянуть или
> мониторилку какую-то прикрутить. Вопрос (вторичный) в том, как (чем) с ноута
> или планшета (так как роутер  с собой не потаскаешь) потом засечь его вещание
> и попытаться запеленговать? Я, навскидку не помню утилиток, "высвечивающих"
> клиентов. :(
> 
>> Только вот что мешает кульхацкеру генерить маки хоть каждую секунду?
> Это - да, слабое место. Просто будем надеяться, что товарищ не столь
> параноидален и будет уверен, что никто его не найдёт (все мы знаем, что без
> спецоборудования это сделать сложно). В общем, дальнейшие его действия
> покажут, как нам дальше действовать.
> 
>> Ну и почему бы не рассмотреть вариант обращения в соответствующие органы?
> Органы ленивы и требуют доказательной базы от потерпевшего. А здесь
> материального ущерба нет, материальной доказательной базы - тоже,
> технического обеспечения у наряда нет, если даже уговорить их пройтись по
> соседним квартирам (считай - два подъезда), то хацкер может тупо сказать
> "ничего не знаю" и радостно потрошить роутер дальше: доказательство того, что
> его заметили есть, а наказать не могут. Уж это на пионерских сайтах объясняют
> чуть ли не в первую очередь. :(
Почему Вы уверены, что роутер ломают по wi-fi, а не по проводам?
Я бы зазеркалировал wan-трафик роутера и в tcpdump его.
Полезно ещё просканировать его снаружи, может он телнетом наружу светит -
"подбирай пароль -- нехочу!"
> 
> Вопрос первичный - чем мониторить? Варианты: а) snmp, б) а ля syslogd, в)
> есть ещё варианты? Кто-нибудь уже делал такое? Реализация syslogd или snmp от
> дешёвых роутеров сообщает параметры (IP, MAC) цепляющихся клиентов? Спасибо!
> 

Re: [freebsd] Re: [freebsd] Re: [freebsd] [ОТ]: Борьба с кульхацкерами

[Владимир Друзенко]

08.01.2016 15:27, Nike пишет:
> > Подозреваю, что есть какая-то определённая дыра в прошивка типа
> неотключаемого WPS и хацкер вычисляет роутер по МАС-у.
>
> Обновите прошивку.
На OpenWRT. :-D