[Abuse]Scans von meinem Server entdeckt

Hount · February 15, 2011 at 10:39 AM

Hi@all,

ich bekam heute ne Mail, dass mein Server gesperrt wurde, weil angeblich von diesem aus Scans ausgeführt wurden. Da ich nichts in dieser Art und Weise gemacht habe, wollte ich mal fragen, wie ihr am besten vorgehen würdet. Mein Verdacht ist, das der Server gehackt wurde? Hier der Scanlog:

Code

#               Netscan detected from host  "IP-Adresse"               #
##########################################################################




time                protocol src_ip src_port          dest_ip dest_port
---------------------------------------------------------------------------
Tue Feb 15 09:09:29 2011 TCP  meine IP-Adresse 34620 =>     192.168.1.1 10050




bis




Tue Feb 15 09:26:49 2011 TCP  meine IP-Adresse 42937 =>   192.168.1.105 10050

Display More

Wie ist in so einem Fall die beste Vorgehensweise um die Ursache zu finden?

Gruß
Hount

Darks · February 15, 2011 at 11:25 AM

Huhu

Plat machen und neu installieren.

nur so kannst dir sicher sein das alles clean ist.

Gruss

Hount · February 15, 2011 at 11:55 AM

Hi Darks,

die Kiste platt machen ist mir schon klar. Nur würde ich vorher schon ganz gerne wissen, was da los ist. Nicht das ich dann wieder in die gleiche Falle laufe.

[netcup] Alex W. · February 15, 2011 at 12:15 PM

Wie Sie der Meldung per E-Mail entnehmen können, können Sie sich das Rettungssystem aktivieren lassen und darüber auf die Daten Ihres vServer zugreifen um z.B. etwaige Logs zu analysieren.

Hount · February 15, 2011 at 12:18 PM

Richtig. Das kann ich entnehmen.

Trotzdem würde mich die (richtige) Vorgehensweise der Profis interessieren.

koweto · February 15, 2011 at 12:27 PM

Quote from Hount;31579

Trotzdem würde mich die (richtige) Vorgehensweise der Profis interessieren.

Der erste Schritt wurde dir doch indirekt schon beantwortet:

Quote from [netcup] Alex;31577

[…]etwaige Logs zu analysieren.

Proyx · February 15, 2011 at 12:28 PM

Rettungsystem aktivieren/analysieren/Retten was nicht infiziert ist/neuaufsetzen/root sperren/nicht den root mysql zugang benutzen/.........:p

ubuntu · February 15, 2011 at 12:50 PM

cat /var/log/syslog
cat /var/log/auth.log

würd ich als erstes anschauen

Hount · February 15, 2011 at 1:01 PM

Danke für die Info.
Dann werde ich mal beginnen.

Impact · February 15, 2011 at 1:24 PM

Lies dir das mal durch

http://wiki.hetzner.de/index.php/Leit…_untersuchen.3F

MfG
Impact

Darks · February 15, 2011 at 2:24 PM

Das mit Logs zu analysieren habe ich vergessen.

Ich würde Password anmeldung per SSH verbieten und nur Key zulassen ausserdem würde ich auch noch den SSH port ändern.

Gruss

Hount · February 15, 2011 at 6:46 PM

So hab dann mal angefangen in den Logs zu wühlen. Bin mal gespannt ob ich da was finde. So "Forensik" ist für mich Neuland.

Aber mal ne Frage: Ich habe auf meinem Wordpress ein Plugin installiert, dass das Wordpress nach Sicherheitslücken scannt. Kann das Plugin zufällig diese ominösen scanns verursacht haben?

Edit:
Es wären folgende zwei Plugins:
wp-security-scan
exploit-scanner

Darks · February 15, 2011 at 8:05 PM

Quote

Tue Feb 15 09:09:29 2011 TCP meine IP-Adresse 34620 => 192.168.1.1 10050

bis

Tue Feb 15 09:26:49 2011 TCP meine IP-Adresse 42937 => 192.168.1.105 10050

Wurden die geändert ? weil die IP Adressen kommen doch eigenlich nur im Homenetz vor

Gruss

Proyx · February 15, 2011 at 8:09 PM

Das habe ich grade auch gedacht

Hount · February 15, 2011 at 8:15 PM

Nein die wurden nicht geändert. Das einzigste was geändert wurde ist "meine IP-Adresse".

Was ich bis jetzt schon in der auth.log herausgefunden habe, dass von 3-4 versch. IP immer wieder versucht wurde mit versch. usern Zugriff per SSH zu bekommen. Schätze mal, dass das auch irgendwie gelungen ist.

Aber was die Scans betrifft, fische ich noch ziemlich im trüben....

Proyx · February 15, 2011 at 8:19 PM

Kann es sein das dein Server versucht hat interne Scans vorzunehmen

Hount · February 15, 2011 at 8:28 PM

Den Gedanken hatte ich ja auch schon. Deswegen meine Frage mit den Wordpress Plugins.

Wie könnte ich so einen internen Scan feststellen?

Installiert ist Xabbix und versuchsweise Icinga. Die könnten doch theoretisch solche scans doch auch ausführen oder?

ubuntu · February 15, 2011 at 9:10 PM

Um die Frage der Sicherheit zu klären muss man einiges abklären:
- War Root Login erlaubt?
- Wie lang war das PW?
- War der Server auf dem neuesten Stand?
- Irgendwelche verdächtigen Prozesse?
- Chroote in Dein System. Was sagt RKHUNTER / CHROOTKIT?

Sofern scannende IP's bekannt sind:
- ripe.net => WHOIS => IP eingeben
- Abusemail zu der dort angegebenen IP schreiben, sofern es eine Deutsche IP ist Strafanzeige

Viele Grüsse
ubuntu

Hount · February 15, 2011 at 9:14 PM

Vielen Dank.

- War Root Login erlaubt? --> Nein
- Wie lang war das PW? --> 14 Zeichen
- War der Server auf dem neuesten Stand? --> Yupp ein immer "upgedatetes" Ubuntu
- Irgendwelche verdächtigen Prozesse? --> Keine Ahnung
- Chroote in Dein System. Was sagt RKHUNTER / CHROOTKIT? --> Könntest Du mir das bitte genauer erklären? :o

Das mit ripe.net habe ich vor. Will aber vorher wissen was Sache ist.

ubuntu · February 15, 2011 at 9:17 PM

Naja mit ubuntu hatte ich das Problem dass nie Updates kamen. Seitdem ich Debian hab ist das weg.

chroot: Du wechselst mit dem Rettungssystem nach /vserver und machst dann chroot ./ /bin/bash

Dann installierst du rkhunter

apt-get install rkhunter.

Mit dem Teil kannst Du auf rootkits scannen.