Intentos ddos muy molestos

[marranz]

Buenas tardes,

desde hace varios días estoy registrando ataques e intentos de acceso desautorizado a mi router. Aclaro que uso un router dedicado neutro.

El caso es que destacan dos ip de origen que son de telefónica. Supongo que pueden ser maquinas infectadas y que los clientes no tienen ni idea. Curiosamente detrás de una de las ip hay un ruter OS de Mikrotik.

¿hay alguna forma de avisar de ese trafico no deseado? Yo he bloqueado el acceso a las ip, pero los intentos no cesan. Pego parte de los logs del firewall:

Gracias de antemano

Jul/09/2019 12:20:55 firewall,info black_list_winbox input: in:pppoe-out1 out:(unknown 0), proto TCP (SYN), 88.26.210.251:22010->xx.xx.xxx.xx:8291, len 44
Jul/09/2019 12:26:55 firewall,info black_list_winbox input: in:pppoe-out1 out:(unknown 0), proto TCP (SYN), 88.26.210.251:9786->xx.xx.xxx.xx:8291, len 44
Jul/09/2019 12:38:58 firewall,info black_list_winbox input: in:pppoe-out1 out:(unknown 0), proto TCP (SYN), 88.26.209.181:48735->xx.xx.xxx.xx:8291, len 44
Jul/09/2019 14:02:27 firewall,info black_list_winbox input: in:pppoe-out1 out:(unknown 0), proto TCP (SYN), 88.26.209.181:48291->xx.xx.xxx.xx:8291, len 44
Jul/09/2019 14:13:18 firewall,info black_list_winbox input: in:pppoe-out1 out:(unknown 0), proto TCP (SYN), 88.26.209.181:60462->xx.xx.xxx.xx:8291, len 44
Jul/09/2019 14:18:36 firewall,info black_list_winbox input: in:pppoe-out1 out:(unknown 0), proto TCP (SYN), 88.26.210.251:56026->xx.xx.xxx.xx:8291, len 44
Jul/09/2019 14:50:29 firewall,info black_list_winbox input: in:pppoe-out1 out:(unknown 0), proto TCP (SYN), 88.26.209.181:26735->xx.xx.xxx.xx:8291, len 44
Jul/09/2019 15:32:45 firewall,info black_list_winbox input: in:pppoe-out1 out:(unknown 0), proto TCP (SYN), 88.26.209.181:62794->xx.xx.xxx.xx:8291, len 44

Jul/09/2019 12:26:55 firewall,info ddos: black_list_winbox input: in:pppoe-out1 out:(unknown 0), proto TCP (SYN), 88.26.210.251:9786->xx.xx.xxx.xx:8291, len 44
Jul/09/2019 12:38:58 firewall,info ddos: black_list_winbox input: in:pppoe-out1 out:(unknown 0), proto TCP (SYN), 88.26.209.181:48735->xx.xx.xxx.xx:8291, len 44
Jul/09/2019 14:02:27 firewall,info ddos: black_list_winbox input: in:pppoe-out1 out:(unknown 0), proto TCP (SYN), 88.26.209.181:48291->xx.xx.xxx.xx:8291, len 44
Jul/09/2019 14:13:18 firewall,info ddos: black_list_winbox input: in:pppoe-out1 out:(unknown 0), proto TCP (SYN), 88.26.209.181:60462->xx.xx.xxx.xx:8291, len 44
Jul/09/2019 14:18:36 firewall,info ddos: black_list_winbox input: in:pppoe-out1 out:(unknown 0), proto TCP (SYN), 88.26.210.251:56026->xx.xx.xxx.xx:8291, len 44
Jul/09/2019 14:50:29 firewall,info ddos: black_list_winbox input: in:pppoe-out1 out:(unknown 0), proto TCP (SYN), 88.26.209.181:26735->xx.xx.xxx.xx:8291, len 44
Jul/09/2019 15:32:45 firewall,info ddos: black_list_winbox input: in:pppoe-out1 out:(unknown 0), proto TCP (SYN), 88.26.209.181:62794->xx.xx.xxx.xx:8291, len 44
Jul/09/2019 15:56:05 firewall,info ddos: black_list_winbox input: in:pppoe-out1 out:(unknown 0), proto TCP (SYN), 88.26.210.251:15346->xx.xx.xxx.xx:8291, len 44

[Técnico-Movistar]

Hola  marranz bienvenid@ a la Comunidad Movistar:

Sentimos indicarte que desde la Comunidad no damos soporte a equipos que no suministra Movistar.

De todos modos dejamos el hilo abierto por si algún usuario puede ayudarte.

Saludos. M. Carmen.

[marranz]

Si, lo sé.

No tengo problema con el ruter neutro de la empresa. el problema es con los atacantes que operan con direcciones estáticas de movistar.

Mi duda concreta es si desde telefónica se puede avisar a los clientes que tienen esas ip para que verifiquen que no están infectados o en su defecto, si es intencionado, que cesen en su actitud. En plan por las buenas. Que todos sabemos que otros métodos hay.

Gracias

[Técnico-Movistar]

Hola  marranz:

Realiza un cambio de router por el de Movistar y comprueba si con este también te sucede, por favor realiza también un test de velocidad por cable conectado al router en el siguiente enlace.

Saludos. M. Carmen. 

[marranz]

Buenas noches,

El ruter de movistar está ahí. Solo que en modo bridge y funciona perfectamente. La velocidad es la correcta y no hay problemas en el servicio, porque nuestro firewall hasta el momento ha podido con todos los ataques, pero en los registros sigue apareciendo los intentos desde estas ip, que logicamente están bloqueadas y no pasa de ser un simple registro. El problema lo tienen los usuarios de esas dos IP. Al ser direcciones estáticas de telefónica, de las que se pagan, imaginaba que desde la compañía podían avisar a estos dos usuarios, pues es muy posible que sean victimas de algún tipo de boot o de infección más grave en sus equipos. Yo de momento, salvo un montón de lineas en los logs, no tengo otro problema.

[Técnico-Movistar · Accepted solution]

Hola  marranz:

Indicarte que continúes realizando seguimiento, y si persistieran los ataques y pudieras pensar que ha habido un acceso a tu router de manera no autorizado te aconsejamos lo denunciaras a las autoridades.

Confirmanos si te podemos ayudar en alguna otra consulta o gestión.

Saludos. M. Carmen.

[marranz]

En nada más de momento. Gracias

[Técnico-Movistar]

Hola  marranz:

Comprobamos que has marcado como solución aceptada.

Procedemos a cerrar el hilo, quedando a tu disposición para cualquier consulta o gestión que te surja en el futuro.

Gracias por utilizar la Comunidad Movistar.

Saludos. M. Carmen.