TP-Link TD-8816 взлом из сети

[Невский]

1

Мопед TP-Link TD-8816 система XP sp3 со всеми доступными обновлениями.

После захода в одноглазнеги, модем отваливается. Ранее подменялся DNS в настройках. После замены логина и пароля на нечитаемые (одноразовые) взлом модема прекратился.

Теперь другая проблема. При попытке взлома модем отваливается и не отвечает. Восклицательный знак на значке локального соединения. помогает только перезагрузка.
Проверка сканерами ничего не дала. Удалённый доступ запрещён в настройках и в службах.

Переустановка системы с чистого успехов не дала
Установлен Аваст. Юзер работает с учёткой пользователя. Админская учётка запаролена.
Перезаключение договора и смена IP также без результатов.

Атака происходит после просмотра видео в одноглазнегах.

Поймать процесс зловред не представляется возможным.
Что делать?

 

[lexa9131]

2

Атака происходит после просмотра видео в одноглазнегах.

Что делать?

Уже сколько раз писалось, про дерьмо, что лезет с "одноглазников". Забей на тот ресурс, других полно и есть другие способы пообщаться с друзьями.

А антивирус нормальный хоть стоит?

Добавлено 13-03-2015 23:37

После замены логина и пароля на нечитаемые (одноразовые) взлом модема прекратился.

Теперь другая проблема. При попытке взлома модем отваливается и не отвечает.

Кто то тебя сильно полюбил(невзлюбил).

 

[Невский]

3

А как я клиенту объясню, что одноглазнеки это помойка. других ссылок в истории нет.
Аваст обновляется автоматически, Сканер от доктор веб тоже ничего не находит.

Женщине за 60, единственное окно в мир.

 

[lexa9131]

4

Юзер работает с учёткой пользователя.

А ты пароль поставь, помогает. А админом не лазь по енету.

 

[Невский]

5

Админка запаролена и используется только мной.
Юзер сидит под своей учёткой без админских способностей.


Да. модем настроен в режиме роутера.

 

[lexa9131]

6

А как я клиенту объясню, что одноглазнеки это помойка. других ссылок в истории нет

Женщине за 60, единственное окно в мир.

Занеси ссылку одноглазников в чёрный список и скажи, что сервер их накрылся медным тазом. Открой ей другой мир с кино не такой говянный.

Добавлено 13-03-2015 23:49

Админка запаролена и используется только мной.

Так пароль то хитрая (язык сломаешь) или так себе, выражение?
У неё диски не открыты для просмотра в сети? Закладка "сеть", "безопасность". Проверь список пользователей и их во всех группах, особенно левых.
Особенно убрать доступ группы "Все" на диск и папки.

 

[Невский]

7

Пароля админская хитрая, не только язык, а ещё и пальцы можно сломать.

 

[lexa9131]

8

Админка запаролена и используется только мной.
Юзер сидит под своей учёткой без админских способностей.

Да я про то, что бы юзер заходил с паролью, помогает. Так же отключить всякие дистанционное управление реестром, столом и т.д. В общем просмотри службы и лок. полит. безоп. Правда сам не сможешь настраивать по енету, только ножками.

 

[Невский]

9

Удалёнка запрещена вся. изменения в настройках служб нет.

Так как выпилено всё по удалёнке, то всё делается только ножками.

Добавлено 13-03-2015 20:05

В настройках локального подключения стоит айпи 192.168.1.100
Как запретить доступ к 192.168.1.1?
127.0.0.1 192.168.1.1 в HOSTS проканает? или запрет будет на весь диапазон?

 

[lexa9131]

10

Как запретить доступ к 192.168.1.1?

Я так глубоко не копался. Хватало что нод32 сам блокирует отдельные разделы однокласников или злобно предупреждает. Антивирь купленный, лицензионный, а не липовый с обновлением с левого сайта (ну если ты понял о чём).

Удалёнка запрещена вся. изменения в настройках служб нет.

И где тогда ты запретил, если всё это делать надо в службах? У ХР это делается проще чем в 7-ке и выше.

 

[Невский]

11

В службах весь доступ извне отключен.

 

[lexa9131]

12

Вот, раньше собирал, по безопасности, не обновлял инфу давно, применяю выборочно но в основном почти всё. Вроде сбои остались только аппаратно - редкие. Делаю сразу после установки ОС. В принципе, можно и позже, только зачисткой реестра больше времени будет другими прогами.

Добавлено 14-03-2015 00:28

Знаю что дэлетант, но помогает.

► Применил пункты к Win2K.txt

 

[Невский]

13

Посмотрел, полезно.
Поделюсь и своей полезностью

sc config Alerter start= disabled
sc config ALG start= demand
sc config AppMgmt start= demand
sc config AudioSrv start= auto
sc config BITS start= demand
sc config Browser start= auto
sc config CiSvc start= demand
sc config ClipSrv start= disabled
sc config COMSysApp start= demand
sc config CryptSvc start= auto
sc config DcomLaunch start= auto
sc config Dhcp start= auto
sc config dmadmin start= demand
sc config dmserver start= auto
sc config Dnscache start= auto
sc config Dot3svc start= demand
sc config EapHost start= demand
sc config ERSvc start= auto
sc config Eventlog start= auto
sc config EventSystem start= demand
sc config FastUserSwitchingCompatibility start= demand
sc config helpsvc start= auto
sc config HidServ start= disabled
sc config hkmsvc start= demand
sc config HTTPFilter start= demand
sc config ImapiService start= demand
sc config LanmanServer start= auto
sc config lanmanworkstation start= auto
sc config LmHosts start= auto
sc config Messenger start= disabled
sc config mnmsrvc start= demand
sc config MSDTC start= demand
sc config MSIServer start= demand
sc config napagent start= demand
sc config NetDDE start= disabled
sc config NetDDEdsdm start= disabled
sc config Netlogon start= demand
sc config Netman start= demand
sc config Nla start= demand
sc config NtLmSsp start= demand
sc config NtmsSvc start= demand
sc config PlugPlay start= auto
sc config PolicyAgent start= auto
sc config ProtectedStorage start= auto
sc config RasAuto start= demand
sc config RasMan start= demand
sc config RDSessMgr start= demand
sc config RemoteAccess start= disabled
sc config RemoteRegistry start= auto
sc config RpcLocator start= demand
sc config RpcSs start= auto
sc config RSVP start= demand
sc config SamSs start= auto
sc config SCardSvr start= demand
sc config Schedule start= auto
sc config seclogon start= auto
sc config SENS start= auto
sc config SharedAccess start= auto
sc config ShellHWDetection start= auto
sc config Spooler start= auto
sc config srservice start= auto
sc config SSDPSRV start= demand
sc config stisvc start= demand
sc config SwPrv start= demand
sc config SysmonLog start= demand
sc config TapiSrv start= demand
sc config TermService start= demand
sc config Themes start= auto
sc config TlntSvr start= disabled
sc config TrkWks start= auto
sc config upnphost start= demand
sc config UPS start= demand
sc config VSS start= demand
sc config W32Time start= auto
sc config WebClient start= auto
sc config winmgmt start= auto
sc config WmdmPmSN start= demand
sc config Wmi start= demand
sc config WmiApSrv start= demand
sc config wscsvc start= auto
sc config wuauserv start= auto
sc config WZCSVC start= auto
sc config xmlprov start= demand

Редактируем по своему усмотрению, и обзываем xxx.cmd
Получаем командный сценарий для служб в ХР.
Можно пользоваться как вручную, так и в автозагрузке или по выключению.
Если есть проблемы у пользователя с сетью, то ставлю в автозапуск.
Ещё была заготовка для реестра, но я её потерял.
Тоже батник был, запускал файл реестра на слияние и замену ключей.

Добавлено 13-03-2015 21:38

Да, забыл добавить.
Виндовс о настройках модема не знает ничего. Настройки модема с линукс лайв-сд .

 

[myth]

14

Откуда уверенность, что тебя кто-то ломает?

Как запретить доступ к 192.168.1.1?

Основному шлюзу?

Добавлено 15-03-2015 23:11

После захода в одноглазнеги, модем отваливается.

модем полусдох и не тянет необходимое pps?

 

[lexa9131]

15

модем полусдох и не тянет необходимое pps?

Во и я тоже хотел сказать раньше, что при длительной загрузке (видео), что то перегревается и происходит сбой. Перегрузка даёт время остыть и стартануть нормально. Пробуй открытый корпус продувать непрерывно воздухом. Или на улицу на проводах, пока ещё холодно.
Со взломом не понятка. Сам взламывал удалённо и установил эту причину?

 

[alex411]

16

Невский,

невдержался, вставлю пять рублей

информативней посмотреть логи которые протоколирует модем. (в настр.модема! если есть в этой модели)
И разбираться в записях.
Только там и будет виден адрес(а) с которого происходит "атака".
Признак, пакеты приведшие к отказу обслуживания. ()

Может это и не атаки ?
У тебя ротом соединялово, а значит включен встроенный межсетевой экран, который защищает от атак из Интернета.
По сути с учётом конфига со строны ISP-а получается двойной..тройной NAT.

Если есть такая возможность, по-выключай доп.сервисы на модеме, по которым можно попинговать железку из внешней сети. (Access Control Services или типа того)
Telnet, ICMP, SNMP, HTTP - для WAN отключить. Для LAN - оставить как есть.

Дальше актуально для Win7, но бог его знает что могло появиться в ХР c SP3...4.

Существуют широкополосные рассылки пакетов обслуживаемые протоколом (LLMNR) Link Local Multicast Name Resolution.

Это касательно в частности передачи мультимедиа данных и может вызвать мультикаст на 224.0.0.252. на локальной системе.
Тем самым создаёт иногда мусор в сети, чем в.ч. нагружает и забивает провайдерское оборудование.
При пике такой нагрузки "триггер" блокирует пользовательский порт, на время.
При повторении ситуации время блокировки увеличивается.
В конце концов порт может быть заблокирован "навсегда" и только инжеНегр компании может снять блокировку.

1. Если в ХР c SP3 есть этот путь (посмотри) и отключи LLMNR !
Пуск -> выполнить -> gpedit.msc -> Конфигурация компьютера -> Административные шаблоны -> Сеть -> DNS-клиент -> Отключить многоадресное разрешение имён -> Включить

Доп. нужно "погасить" NetBIOS через TCP/IP
выключить её в свойствах сетевого соединения.

2. Для отключения NetBIOS достаточно зайти:
cвойства сетевого подключения > свойства TCP/IPv4 > Дополнительно > вкладка WINS > Отключить NetBIOS через TCP/IP. И это проделать для каждого сетевого подключения, на котором нужно отключить NetBIOS.
И в XP было точно так же, службы останавливать нет необходимости.

 

[Captain]

17

потом кондюки в БП поменять можно, если все выше указаное не поможет.

 

[Scorpio2007]

18

потом кондюки в БП поменять можно, если все выше указаное не поможет.

Когда у меня был ADSL-модем (Huawei MT880), я за 7 лет (круглосуточной работы) на его плате 2 комплекта кондёров поменял - вздувались, и модем начинал всё чаще "вешаться".

 

[Невский]

19

Модем подключен постоянно, перезагружают компьютер.

Модем отваливается, на значке локального соединения в системном трее возникает восклицательный знак. Ком в модем пакеты отправляет, а из модема не приходят.

В качестве теста выкачал два образа по 4.5 гб. с торрента. чистенько и без сбоев. Скорость плавала, но у нас это обычное явление.
Все фишки начинаются после захода в одноглазнеги, и просмотра в них видео

Откуда уверенность, что тебя кто-то ломает?

Было по первому вызову это  ссылка скрыта от публикации 
Сменил пароль, что нашёл поотключал.
В свойствах локального соединения 192.168.1.1 на другие не изменяется.
А было.

Сначала, что это было, я не понял. Кнопкой модем сбросил и настроил по новой.
Через два дня повтор.

По последнему разу пришлось снести гуглхром, вместо него поставил SRWare Iron. В принципе, та же хрень только сильно урезана.
Двое суток тишина.

ПС. Рекомендации выше собрал в файл, по вызову посмотрю на месте.

Добавлено 17-03-2015 00:16

Основному шлюзу?

Нет. Именно в доступ к настройкам модема.
Если доступ к настройкам роутера доступен только через адрес 192.168.1.1, то почему бы именно его не запретить?
В свойствах локального соединения стоит адрес 192.168.1.100.

 

[alex411]

20

Если доступ к настройкам роутера доступен только через адрес 192.168.1.1, - вот он и прикрыт персональным, твоим паролем.
Может бабушка хакает его ! в твоё отсутствие и запускает на модем нечистую силу... так ты ей уХи оборви