<div dir="ltr"><div class="gmail_default" style="font-family:tahoma,sans-serif">While I agree that reporting something not observed just creates a lot of unnecessary work for the recipient in processing all of the unsubstantiated reports (that don't match traffic logs, etc), that isn't the point of my message. I would point out that most people would call such reports spam at the least. Another term for the same thing, brigading, rarely works out satisfactorily for anyone either. <br></div><div class="gmail_default" style="font-family:tahoma,sans-serif"><br></div><div class="gmail_default" style="font-family:tahoma,sans-serif">
Success with asking a service provider to take action is always going to be a crapshoot, but it will almost never be fast in any case. <br></div><div class="gmail_default" style="font-family:tahoma,sans-serif"><br></div><div class="gmail_default" style="font-family:tahoma,sans-serif">If there is a C2 server known to be contacting a host you manage, the bigger problem to me would seem to be the compromised host, rather than the C2. It could be exfiltrating sensitive data to the attacker right now. An established attacker will have dozens or hundreds of C2s. Do you intend to pursue all of them individually?<br></div><div class="gmail_default" style="font-family:tahoma,sans-serif"><br></div><div class="gmail_default" style="font-family:tahoma,sans-serif">If the organization isn't prepared to start an appropriate incident response on a compromised host in a timely manner, perhaps they will learn from and correct that security posture weakness in the future. <br></div><div class="gmail_default" style="font-family:tahoma,sans-serif"><br></div><div class="gmail_default" style="font-family:tahoma,sans-serif"> Regards</div><div class="gmail_default" style="font-family:tahoma,sans-serif">Dave<br></div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Thu, Feb 4, 2021 at 7:17 PM JoeSox <<a href="mailto:joesox@gmail.com">joesox@gmail.com</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div dir="ltr">Ryan,<div>Thanks but like I said these devices are in moving vehicles ok?</div><div>I stated we have a plan but it is ways out.  </div><div>FACT: we have a known malicious C&C</div><div>FACT: We know what networks it is hitting and the cellular network is the most vulnerable, imo.</div><div>FACT: this IP is against Verizon terms of service so the way to address it is to report it to them as they request.</div><div><br></div><div>I honestly got what I needed from this thread, thanks. And I thank the nonbullies that helped me off list.<br><div><div><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr">--</div><div><div style="font-size:12.8px">Thank You,</div></div><div style="font-size:12.8px">Joe </div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div><br></div></div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Thu, Feb 4, 2021 at 5:11 PM Ryan Hamel <<a href="mailto:administrator@rkhtech.org" target="_blank">administrator@rkhtech.org</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div lang="EN-US"><div><p class="MsoNormal"><span style="font-size:12pt">Joe,<u></u><u></u></span></p><p class="MsoNormal"><span style="font-size:12pt"><u></u> <u></u></span></p><p class="MsoNormal"><span style="font-size:12pt">It isn’t on Verizon to setup a firewall, especially if you have a direct public IP service. The device being attached directly to the Internet (no matter the transmission medium), must be able to protect itself. ISPs provide routers which function as a NAT/Firewall appliance, to provide a means of safety and convenience for them, but also charge you a rental fee.<u></u><u></u></span></p><p class="MsoNormal"><span style="font-size:12pt"><u></u> <u></u></span></p><p class="MsoNormal"><span style="font-size:12pt">Stick a Cradlepoint router or something in front of your device, if you want an external means of protection. Otherwise you’ll need to enable the Windows Firewall if it’s a Windows system, or setup iptables on Linux, ipfw/pf on *BSD, etc.<u></u><u></u></span></p><p class="MsoNormal"><span style="font-size:12pt"><u></u> <u></u></span></p><p class="MsoNormal"><span style="font-size:12pt">Ryan<u></u><u></u></span></p><p class="MsoNormal"><span style="font-family:"Open Sans",sans-serif"><u></u> <u></u></span></p><div style="border-color:rgb(225,225,225) currentcolor currentcolor;border-style:solid none none;border-width:1pt medium medium;padding:3pt 0in 0in"><p class="MsoNormal"><b>From:</b> JoeSox <<a href="mailto:joesox@gmail.com" target="_blank">joesox@gmail.com</a>> <br><b>Sent:</b> Thursday, February 4, 2021 5:04 PM<br><b>To:</b> <a href="mailto:ryan@rkhtech.org" target="_blank">ryan@rkhtech.org</a><br><b>Cc:</b> TJ Trout <<a href="mailto:tj@pcguys.us" target="_blank">tj@pcguys.us</a>>; NANOG <<a href="mailto:nanog@nanog.org" target="_blank">nanog@nanog.org</a>><br><b>Subject:</b> Re: Suspicious IP reporting<u></u><u></u></p></div><p class="MsoNormal"><u></u> <u></u></p><div><p class="MsoNormal">How do I setup a firewall when I am not a Verizon engineer?<u></u><u></u></p><div><p class="MsoNormal">There is a firewall via the antivirus and operating system but that's it.<u></u><u></u></p></div><div><p class="MsoNormal">Do you not understand my issue? I thought that is the real problem with the online bullies in this thread.<br clear="all"><u></u><u></u></p><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><p class="MsoNormal">--<u></u><u></u></p></div><div><div><p class="MsoNormal"><span style="font-size:9.5pt">Thank You,<u></u><u></u></span></p></div></div><div><p class="MsoNormal"><span style="font-size:9.5pt">Joe<u></u><u></u></span></p></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div><p class="MsoNormal"><u></u> <u></u></p></div></div><p class="MsoNormal"><u></u> <u></u></p><div><div><p class="MsoNormal">On Thu, Feb 4, 2021 at 5:01 PM Ryan Hamel <<a href="mailto:administrator@rkhtech.org" target="_blank">administrator@rkhtech.org</a>> wrote:<u></u><u></u></p></div><blockquote style="border-color:currentcolor currentcolor currentcolor rgb(204,204,204);border-style:none none none solid;border-width:medium medium medium 1pt;padding:0in 0in 0in 6pt;margin-left:4.8pt;margin-right:0in"><div><div><p class="MsoNormal"><span style="font-size:12pt">Joe,</span><u></u><u></u></p><p class="MsoNormal"><span style="font-size:12pt"> </span><u></u><u></u></p><p class="MsoNormal"><span style="font-size:12pt">The underlying premise here is, “pick your battles”. If you don’t want an IP address to access your device in anyway, setup a firewall and properly configure it to accept whitelisted traffic only, or just expose a VPN endpoint. The Internet is full of both good and bad actors that probe and scan anything and everything.</span><u></u><u></u></p><p class="MsoNormal"><span style="font-size:12pt"> </span><u></u><u></u></p><p class="MsoNormal"><span style="font-size:12pt">While some appreciate the notification here, others will find it annoying. We cannot report anything malicious about an IP address on the Internet, unless it does harm to us specifically, otherwise it is false reporting and does create more noise at the ISP, and waste more time getting to the underlying issue.</span><u></u><u></u></p><p class="MsoNormal"><span style="font-size:12pt"> </span><u></u><u></u></p><p class="MsoNormal"><span style="font-size:12pt">Ryan</span><u></u><u></u></p><p class="MsoNormal"><span style="font-family:"Open Sans",sans-serif"> </span><u></u><u></u></p><div style="border-color:rgb(225,225,225) currentcolor currentcolor;border-style:solid none none;border-width:1pt medium medium;padding:3pt 0in 0in"><p class="MsoNormal"><b>From:</b> NANOG <nanog-bounces+ryan=<a href="mailto:rkhtech.org@nanog.org" target="_blank">rkhtech.org@nanog.org</a>> <b>On Behalf Of </b>JoeSox<br><b>Sent:</b> Thursday, February 4, 2021 4:41 PM<br><b>To:</b> TJ Trout <<a href="mailto:tj@pcguys.us" target="_blank">tj@pcguys.us</a>><br><b>Cc:</b> NANOG <<a href="mailto:nanog@nanog.org" target="_blank">nanog@nanog.org</a>><br><b>Subject:</b> Re: Suspicious IP reporting<u></u><u></u></p></div><p class="MsoNormal"> <u></u><u></u></p><div><p class="MsoNormal">Do others see this online bully started by Tom? The leader has spoken so the minions follow :)<u></u><u></u></p><div><p class="MsoNormal">This list  sometimes LOL<u></u><u></u></p></div><div><p class="MsoNormal">I think if everyone gets off their high horse, the list communication would be less noisy for the list veterans.<br clear="all"><u></u><u></u></p><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><p class="MsoNormal">--<u></u><u></u></p></div><div><div><p class="MsoNormal"><span style="font-size:9.5pt">Thank You,</span><u></u><u></u></p></div></div><div><p class="MsoNormal"><span style="font-size:9.5pt">Joe</span><u></u><u></u></p></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div><p class="MsoNormal"> <u></u><u></u></p></div></div><p class="MsoNormal"> <u></u><u></u></p><div><div><p class="MsoNormal">On Thu, Feb 4, 2021 at 4:36 PM TJ Trout <<a href="mailto:tj@pcguys.us" target="_blank">tj@pcguys.us</a>> wrote:<u></u><u></u></p></div><blockquote style="border-color:currentcolor currentcolor currentcolor rgb(204,204,204);border-style:none none none solid;border-width:medium medium medium 1pt;padding:0in 0in 0in 6pt;margin:5pt 0in 5pt 4.8pt"><div><p class="MsoNormal">This seems like a highly suspect request coming from a North American network operator...? <u></u><u></u></p><div><p class="MsoNormal"> <u></u><u></u></p></div></div><p class="MsoNormal"> <u></u><u></u></p><div><div><p class="MsoNormal">On Thu, Feb 4, 2021 at 10:23 AM JoeSox <<a href="mailto:joesox@gmail.com" target="_blank">joesox@gmail.com</a>> wrote:<u></u><u></u></p></div><blockquote style="border-color:currentcolor currentcolor currentcolor rgb(204,204,204);border-style:none none none solid;border-width:medium medium medium 1pt;padding:0in 0in 0in 6pt;margin:5pt 0in 5pt 4.8pt"><div><div><p class="MsoNormal"> <u></u><u></u></p></div><div><p class="MsoNormal">This IP is hitting devices on cellular networks for the past day or so.<u></u><u></u></p></div><div><p class="MsoNormal">  <a href="https://www.abuseipdb.com/whois/79.124.62.86" target="_blank">https://www.abuseipdb.com/whois/79.124.62.86</a>  <u></u><u></u></p></div><div><p class="MsoNormal">I think this is the info to report it to the ISP.  Any help or if everyone can report it, I would be a happy camper.<u></u><u></u></p></div><div><p class="MsoNormal"> <u></u><u></u></p></div><div><p class="MsoNormal"><a href="mailto:abuse@4cloud.mobi" target="_blank">abuse@4cloud.mobi</a>; <a href="mailto:abuse@fiberinternet.bg" target="_blank">abuse@fiberinternet.bg</a><u></u><u></u></p></div><div><p class="MsoNormal"> <u></u><u></u></p></div><div><p class="MsoNormal"><a href="https://en.asytech.cn/check-ip/79.124.62.25#gsc.tab=0" target="_blank">https://en.asytech.cn/check-ip/79.124.62.25#gsc.tab=0</a><u></u><u></u></p></div><div><p class="MsoNormal"> <u></u><u></u></p></div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><div><p class="MsoNormal">--<u></u><u></u></p></div><div><div><p class="MsoNormal"><span style="font-size:9.5pt">Thank You,</span><u></u><u></u></p></div></div><div><p class="MsoNormal"><span style="font-size:9.5pt">Joe</span><u></u><u></u></p></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div></blockquote></div></blockquote></div></div></div></blockquote></div></div></div></blockquote></div>
</blockquote></div>