Abuse-Vorwurf, Server deaktiviert, Warten auf Support, nur Rettungssystem und Erklärungsforderungen

    Moin,

    am Montag gegen 20 Uhr bekam ich eine Abuse-Mail von Netcup. Mein Server soll angeblich Mining machen, genannt wurde eine Domain die er kontaktiert haben soll und einen Port, der nutzt wurde. Leider habe ich das erst heute morgen gesehen, da war der Server schon deaktiviert. Nach 3h wurde mir angeboten, meinen Server mit Rettungssystem zu starten, aber auch nur für 4h. Soll einen Termin dafür nennen, Netcup braucht aber mindesten 2h Vorlauf. Hatte den schon um 11 Uhr 13 Uhr als Termin genannt, wurde offenbar ignoriert.

    Also habe ich seit heute Morgen mindestens 3+2 = 5h Reaktionszeit verloren. Danke. Strafe für eine vermeintliche Vertragsverletzung - nix bewiesen, nur Behauptungen.

    Darüber hinaus, falls der Server wider Erwarten kompromitiert wurde, wie soll ich das mit dem Rettungssystem herausfinden? Kann mir bitte mal jemand einen Tipp geben, wie einen Service/Dienst auf dem Rechner finden soll, der eine bestimmte Domain kontaktiert und Port nutzt, ohne dass dieser läuft?

    Würde der Server normal starten könnte ich sofort die böse Domain und den bösen Port sperren (Port ist bereits über die Netcup-Firewall gesperrt), aber so?

    Als einzige Möglichkeit sehe ich nur, dass ich ein Emerging-Backup von den Daten auf dem Server nach local mache (in den 4h) und dann irgendwo anders den Server neu aufsetze.

    Ich weiß nicht, wie ich unter diesen Bedingungen etwas erklären kann bzw. überhaupt die Vorwürfe überprüfen.

    Auch finde ich es eine Frechheit, dass ich nur 4h mit dem Rettungssystem bekomme. Schließlich bezahle ich den Rechner und die Rechenleistung. Ok, Netcup unterbindet mit dem Rettungssystemzwang den vermeintlichen Vertragsbruch, den ich aber mit dem Rettungssystem nicht begehen kann. Ich habe so kaum Zeit, meine Daten halbwegs sauber zu sichern. Abgesehen davon, dass ich jetzt wohl einen neuen Server (bei einem anderen Hoster) auf die Schnelle einrichten und zum laufen bringen muss. Netcup will offenbar mir keine 2. Chance geben.

    Oder wie macht ihr das?

    Vielen Dank.

    Michael

    Bitte prüfen Sie insbesondere:

    * Laufende Prozesse (top, htop, ps aux)
    * Aktive Netzwerkverbindungen (netstat, ss)
    * Container und laufende Dienste
    * Geplante Aufgaben (Cronjobs, systemd Timer)
    * Unbekannte oder kürzlich installierte Software

    => wie macht man das mit dem Rettungssystem? Welcher Fachmann kann sowas mit Hilfe des Rettungssystems?

    Zitat von MJS

    Auch finde ich es eine Frechheit, dass ich nur 4h mit dem Rettungssystem bekomme.

    Sei doch froh - andere Hoster kündigen dich sofort, wenn Cryptomining festgestellt wird :)

    Zitat von MJS

    Oder wie macht ihr das?

    Ich war zum Glück bisher nicht in der Situation. Wenn aus irgendwelchen Gründen die automatisierten Backups (die du bestimmt auch eingerichtet hast) nicht zur Verfügung stehen, würde ich vermutlich ein Festplatten-Snapshot ziehen und bei mir lokal in einer VM versuchen zu prüfen, was genau da jetzt los ist. Und wenn ich dann weiß, welche Dateien ich modifizieren muss um das Problem zu beheben, dann kann ich bei Netcup ein Wartungsfenster anfragen und über das Rettungssystem die entsprechenden Dateien bearbeiten/löschen/ersetzen/etc.

    webdesignheld ich weiß nicht, ob das hier gerade der richtige Ort für Eigenwerbung ist

    MJS verstehe. Weißt du zufällig, ob du im Rahmen des 4-stündigen Wartungsfensters auf die Snapshots zugreifen könntest? Sonst kannst du vielleicht dem Support genau diese Lösungsmöglichkeit vorschlagen, sodass sie dir ein Snapshot bereitstellen.

    eine Wiederherstellung eines Snapshot löst nicht dein Problem. Warum hat dein Server überhaupt Mining betrieben, ohne dass du es wusstest? Wie erfolgte der Zugriff auf deinen Server? Ganz ehrlich, dein Server wurde kompromittiert. Wie sieht es denn überhaupt mit deinem Wissen zur Serveradministration aus? Wäre ein managed Server nicht sinnvoller?

    @Hilfe: Vielen Dank für den unkonstruktiven Beitrag. Ja es könnte sein, dass der Server trotz aktueller Updates kompromitiert wurde. Aber es scheint auch schwere Kernellücken zu geben, die bis dato noch nicht gepatcht sind. Könnte es nicht aber auch sein, dass Netcup da was falsch verstanden hat? Nein, der Kunde ist immer der Fehler?

    Dass ich einen bestimmten Port auf meinem Server nicht nutzen darf, habe ich jetzt erst erfahren. Werde ich nie wieder tun, versprochen. Und das mit der einen Domain, die mein Server nicht Kontakten darf - muss ich mir anschauen. Werde ich umgehend sperren, falls ich jemals Zugriff auf meinen Rechner bekommen sollte.

    Wenn Du so ein Profi bist, wie kann ich die aktiven Prozesse von meinem Server prüfen, wenn dieser gar nicht aktiv ist? Wenn ich mit einem Rettungssystem boote, zeigt mir PS nur die Prozesse des Rettungssystems an, oder? Auch werden mir nur die Netzwerkzugriffe des Rettungssystems angezeigt, nicht die von meinem Server. Also was soll das?

    Man hätte den Rechner auch vom Netz trennen können, dann richtet er auch keinen Schaden mehr an und ich könnte prüfen. Wird ja alles nicht gemacht bzw. verweigert. Man hätte mich den Rechner auch wieder manuell und kontrolliert starten können und mir die 4h zur Unterbindung dieser Verbindungen geben können - wurde leider auch verweigert.

    Also wissen wir nicht was eigentlich los ist.

    Zitat von MJS

    Mein Server soll angeblich Mining machen, genannt wurde eine Domain die er kontaktiert haben soll und einen Port, der nutzt wurde.

    Hast Du die domain, den Port und Cryptomining in einer Suchanfrage recherchiert? (am besten mit Kagi - einer echten Suchmaschine)

    The universe tends toward maximum irony. Don't push it.

    Einmal editiert, zuletzt von webdesignheld (13. Mai 2026 um 16:06)

    Würde gerne mal RKHUNTER laufen lassen. Der hatte bisher nicht angeschlagen. Mal schauen, ob der über chroot funktioniert.

    Rettungssystem ist jetzt gestartet. Nach den Serverstatistiken der letzten 31 Tage gab es keine erhöhte CPU-, Platten- oder Netzwerklast. Das spricht schonmal gegen einen neuen Miner oder was auch immer da gewesen sein soll.

    Zitat von MJS

    Mein Server soll angeblich Mining machen, genannt wurde eine Domain die er kontaktiert haben soll und einen Port, der nutzt wurde.

    Was genau steht in der Abusemeldung? Welche IP-Adresse und welcher Port wurden über welches Protokoll kontaktiert?

    "Wer nur noch Enten sieht, hat die Kontrolle über seine Server verloren." (Netzentenfund)

    Zitat von MJS

    @Hilfe: Vielen Dank für den unkonstruktiven Beitrag.

    Ich weiß jetzt nicht, warum du dich auf den Schlips getreten fühlst. Ist leider einfach die Wahrheit. Ein aktualisierten der Pakete ist gut, reicht aber nicht aus.

    Was genau hast denn überhaupt auf dem Server zu laufen gehabt? Ich würde als erstes im Rettungssystem die einzelnen Partitionen mounten und mir log bzw Systemdateien anschauen. Eventuell kannst du hier Änderungen bzw. Probleme erkennen

    KB19: in der deutschen Variante stand nix, hinter der englischen (Unwichtiges gehört ja auch ans Ende):

    MINING POOLS:

    inbound seeds-mini.p2pool.io:20749
    outbound seeds-mini.p2pool.io:20749

    RKHUNTER lief nach CHROOT durch und hat nur den geänderten Hostnahmen (wg. Rettungssystem) angemeckert. Also kein Rootkit.

    @Hilfe: Was könnte ich denn zukünftig verbessern?

    RKHUNTER, UNATTACHED-UPDATES, FAIL2BAN, UFW (mit Docker-Anpassungen) sind doch schonmal eine gute Basis, oder? Dann noch die Netcup-Firewall, wo 20749 nicht zu den erlaubten Ports gehört.

    Ansonsten versuche ich jede Anwendung in einem Docker-Container laufen zu lassen, hinter einen NPM natürlich.

    Was könnte ich verbessern? Was fehlt?

    - Nur wirklich benötigte Ports öffnen, den Rest komplett schließen z.b. per nftables

    - SSH nur über Jumphost oder VPN

    - AIDE

    - zeitnahe Updates

    - Geobasierendes blocken, wenn möglich

    - IP basierende Blocklisten

    - sinnvolle Konfiguration deiner Dienste


    Alle diese Beispiele sind aber immer abhängig von deiner Umgebung. Da ich nicht weiß, was auf deinem Server für Dienste/Anwendungen laufen, sind das nur ein paar Möglichkeiten.

    Ich kann jedem nur raten, alle Netcup-Abuse-Mails als Push und Alert aufs Handy zu schicken:

    Absender: donotreply@netcup.de
    Betreff: Abuse Hinweis zu v2202xxxxxxxxxxxxxx - RS 4000 G12 Pro NUE JAN26

    um schnell reagieren zu können, bevor die den Server deaktivieren und dank Feierabend und dem morgigen Feiertag ich wohl frühestens am Freitag den Server freigeschaltet bekomme, wenn ich denen das Richtige schreibe - nur was ist das "Richtige"?

    Im aktuellen Umfeld tatsächlich nicht ganz so leicht. Generell sind unattended updates gut, mit den vielen supply chain attacks aktuell aber vielleicht mit etwas mehr Vorsicht zu genießen.

    Welche container laufen? Wie werden die geupdatet? Manuell? Watchtower?
    Ohne irgendwas über deine services etc. zu wissen würde ich davon ausgehen, dass ein Container kompromittiert wurde aufgrund mangelnder updates, oder dass ein container durch ein update ein npm-install (oä) gemacht hat das dir den miner eingefangen hat.

    Oder hast du in letzter Zeit (Wochen) größere updates ala Ubuntu 26.04 gemacht?


    Generell würde ich auch versuchen einen snapshot zu ziehen und den dann airgapped starten um eine umfassende Untersuchung durchzuführen.

    @Hilfe: Vielen Dank.

    - Nur wirklich benötigte Ports öffnen, den Rest komplett schließen z.b. per nftables
    hab ich

    - SSH nur über Jumphost oder VPN
    SSH nur von bestimmten IPs zugelassen, root darf sich nicht anmelden, SSH-Port geändert etc

    - AIDE
    beisst sich mit unattached-updates bzw. müsste sofort nach jedem Update sich selbst updaten oder Umstieg auf manuelle Updates. Muss ich überdenken.

    - zeitnahe Updates
    wie gesagt, unattached-updates und natürlich auch manuelle Kontrolle

    - Geobasierendes blocken, wenn möglich
    über Fail2ban - so um die 3000 IPs im Schnitt geblockt, nur DE zugelassen

    - IP basierende Blocklisten
    Wieviele IPs bzw. IP-Bereiche blockst du? Über Fail2ban blocke ich alles, was mehr als 3 Fehler verursacht und mich gefunden hat. Sollte reichen?

    - sinnvolle Konfiguration deiner Dienste
    sollte so sein

    Jeder Dienst hat natürlich auch sein spezifisches, langes und kryptisches Kennwort, ist nur über NPM von außen erreichbar

    Evtl mal ne primitive string suche nach den segmenten aus seeds-mini.p2pool.io und 20749 machen um zu sehen ob das irgendwo auftaucht wo es nicht sein sollte? Vielleicht gibt das Aufschluss was das Einfallstor ist. Kann natürlich auch gut sein, dass nix rauskommt und das obfuscated ist.

    Zitat von MJS

    - Nur wirklich benötigte Ports öffnen, den Rest komplett schließen z.b. per nftables
    hab ich

    Ich glaube er meinte auch ausgehende ports, die meisten Tutorials fokussieren sich nur auf die eingehenden.

    Hast du das auch verifiziert? Docker öffnet aus convenience gerne mal ports die eigentlich blockiert sein sollten.