DoS aanval op mijn router sinds dit weekend

[BertXL]

Ik heb een Telenet modem only oplossing met daarachter een NetGear R9000 router

Sinds vrijdag krijg ik constant mails van mijn router dat er een DoS aanval aan de gang is vanaf een aantal verschillende IP adressen. Het zijn natuurlijk niet alleen de mails die storend zijn, maar het genereerd natuurlijk ook extra traffic en verminderd dus de downloadsnelheid.

Kan ik deze IP adressen laten blokkeren bij Telenet?

Wat kan de oorzaak hiervan zijn? De enige twee wijzigingen die ik vrijdag gedaan heb zijn: ik me geregistreerd bij Netflix en heb ik ook de DNS van mijn TV op 8.8.8.8 gezet...

Dit is een stuk van mijn log:

[DoS Attack: ACK Scan] from source: 73.31.96.157, port 3074, Sunday,
December 27, 2020 03:17:51
[DoS Attack: SYN/ACK Scan] from source: 73.31.96.157, port 3074, Sunday,
December 27, 2020 03:17:50
[DoS Attack: WinNuke Attack] from source: 73.31.96.157, port 3074, Sunday,
December 27, 2020 03:17:49
[DoS Attack: ACK Scan] from source: 73.31.96.157, port 3074, Sunday,
December 27, 2020 03:17:49
[DoS Attack: WinNuke Attack] from source: 73.31.96.157, port 3074, Sunday,
December 27, 2020 03:17:49
[DoS Attack: NULL Scan] from source: 45.229.9.26, port 47679, Sunday,
December 27, 2020 03:17:37
[DoS Attack: WinNuke Attack] from source: 73.31.96.157, port 3074, Sunday,
December 27, 2020 03:17:35
[DoS Attack: ACK Scan] from source: 73.31.96.157, port 3074, Sunday,
December 27, 2020 03:17:34
[DoS Attack: SYN/ACK Scan] from source: 45.229.9.26, port 4832, Sunday,
December 27, 2020 03:17:34
[DoS Attack: SYN/ACK Scan] from source: 73.31.96.157, port 3074, Sunday,
December 27, 2020 03:17:34
[DoS Attack: WinNuke Attack] from source: 73.31.96.157, port 3074, Sunday,
December 27, 2020 03:17:33
[DoS Attack: ACK Scan] from source: 73.31.96.157, port 3074, Sunday,
December 27, 2020 03:17:33
[DoS Attack: WinNuke Attack] from source: 73.31.96.157, port 3074, Sunday,
December 27, 2020 03:17:33

[Ex-Netweter]

Het gemakkelijkste om hiervan af te geraken, denk ik, is zorgen voor een nieuw (WAN) IP adres op je router?

[igvfer]

@BertXL  Kan je geen IP adressen blokkeren in je router? Al heeft dat niet veel zin denk ik. Je router van de modem afhalen voor een uur of 2 en dan zal je vermoedelijk een ander publiek IP krijgen want ik vermoed, maar ben het niet zeker, dat Telenet zijn publieke IP's op modem only voor 2 uur least. Of anders je mac adres van je router spoofen.

[BertXL]

@igvfer In zekere zin staan de IP-adressen geblokkeerd op mijn router, aangezien ze niet binnenkunnen, want de ports staan dicht. De NetGear R9000 heeft echter geen expliciete functie om inbound IP adressen te blokkeren. Mrouter kan hun niet belemmeren om van buitenaf te proberen connecteren naar die ports, dat moet op een hoger niveau gebeuren. Ik heb de log geanalyseerd en het zijn er +/- 130. Ik ben ook niet zeker of ze wel allemaal tot de dader behoren, mogelijk gebruikt hij tussenstations. Er lijken eerlijke webservers tussen te zitten...

Ik had idd vannacht beter de externe IP van mijn router gereleased, maar op dit moment kan dat even niet (thuiswerk). Ik ga dat volgende nacht proberen...

[kristofDW]

@BertXL Dit kan te maken hebben met het veranderen van uw DNS. Google gebruikt de services van Comcast IP Services in de USA. Als je kijkt van wie het adres komt, is dit inderdaad van hun services. (73.31.96.157). Ik gebruik nu geen google DNS meer maar cloudflare en sindsdien geen attacks meer op mijn firewall of rare logs 🙂

[BertXL]

Ik heb mijn router gans de nacht afgezet en 's morgens kreeg ik uiteindelijk toch nog terug hetzelfde ip adres... Telenet heeft een lang geheugen 😉