Beiträge von kameltreiber84

  • Hacker führt bind9 Script aus

    Auf den neuen Image haben die Nutzer keinen Zugriff. ich glaube auch mittlerweile weniger, dass der Hacker ssh Zugriff hatte. Die Zugriffe heute waren nur alle 10-20 min einamlig. Gehe ich mit dem Server Online gehen die Mails jedoch sofort (!) in scharen raus.


    Zitat von kastenkola

    Ist es möglich das jemand eine Mailbox anlegen konnte und darüber sendet, oder noch schlimmer der Spam über eine Adresse gesendet wird die in Froxlor etc angelegt worden ist und einfach die Zugangsdaten bekannt geworden sind?


    So etwas ist wahrscheinlich. Ich frage mich jedoch warum dann meine cleaner Backup vom 5. Januar auch sofort Spam versendet. Der Hacker muss also irgendwelche Zugangsdaten haben. Merkwürdig ist, dass er einfach weitersendet wenn ich die Mail / SQL / root-Passwörter ändere. Ich habe mal in SsyCP reingeschaut: Dort sind keine verdächtigenm Konten oder MailAdressen sichtbar. Beim Blick in die Spam Mails wird eine bereits bestehender Mail-Adresse von mir verwendet, oder eine solche, wo der erste Buchstabe fehlt. Zumindest ist das die Angabe zum Absender der Mail. In /var/customers/mail ist sonst leider nichts auffällig.

  • Hacker führt bind9 Script aus

    Hallo,


    ich führe hier einfach mal meinen Jagd-Fortschritt fort ;)


    Ich habe den Server heute mal als neues Debian Image im Rettungsmodus gestartet. Ind er Log ist dort zu sehen, dass der Hacker den ganzen Tag versucht hat eine SSH-Verbindung aufzubauen:


    Code
    Jan 23 14:22:16 haccp-system sshd[22454]: Address 61.174.49.103 maps to 103.49.174.61.dial.wz.zj.dynamic.163data.com.cn, but this does not map back to the address - POSSIBLE BREAK-IN ATTEMPT!
Jan 23 14:22:18 haccp-system sshd[22454]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=61.174.49.103  user=root
Jan 23 14:22:19 haccp-system sshd[22454]: Failed password for root from 61.174.49.103 port 41959 ssh2
Jan 23 14:22:22 haccp-system sshd[22454]: Failed password for root from 61.174.49.103 port 41959 ssh2
Jan 23 14:22:24 haccp-system sshd[22454]: Failed password for root from 61.174.49.103 port 41959 ssh2
Jan 23 14:22:24 haccp-system sshd[22454]: PAM 2 more authentication failures; logname= uid=0 euid=0 tty=ssh ruser= rhost=61.174.49.103  user=root


    Das ist defintiv der Angriffsversuch der sichd en ganzen Tag wiederholte!

  • Hacker führt bind9 Script aus

    Zitat von Dragon


    Das unsichere Joomla ist gesichert oder gesperrt worden? Der gesamte Webspace wurde auf Schadcode untersuch?


    Ja, inklusive Virenscanner und finds. Interessant ist aber insbesondere, dass der Angreifer sofort (wirklich sofort!) auch dort connecten kann. Dort scheint etwas automatisiert abzulaufen, was sofort immer einbricht. Ich klemme jetzt nach und nach Funktionen ab. Mit postfix start/stop sehe ich sofort ob er wieder spamt. Den backup kann ich immer zurückrollen.


    Zitat von Dragon

    (das müsste in den Mail-Logs ersichtlich sein)


    Leider nicht :( Ich habe sogar find auf die Zeit des Eindringends ausgeführt und veränderte Dateien gesucht.


    EDIT: Das abklemmen der Webeiten im Rettungsodus hat nicht geholfen, mit fehlt momentan leider eine Idee.

  • Hacker führt bind9 Script aus

    Hallo! Danke für den Hinweis.


    Ich habe momentan einige Passwörter geändert und der Spam lässt sich nicht stoppen: rootpw, sqlrootpw, mail-postfächer pws.
    Ich nehme nun mal sql in den Fokus. Es ist schon merkwürdig, dass das Remote Script einfach connecten kann, obwohl ich die Passörter alle ändere.


    /etc/mysql/main.cf scheint zu viele Rechte zu haben! Wenn ich diese auf chmod 640 setzen ist folgende Auffälligkeit in der Syslog zu erkennen:
    nJan 22 18:33:22 my-hostname postfix/postfix-script[9431]: starting the Postfix - Pastebin.com



    Sieht aus als hätte hier jemand Zugriff diese Datei wieder zu ändern?

  • Hacker führt bind9 Script aus

    Hallo,


    auf meinen upgedateten Debian-Wheezy Server ist ein Hacker eingedrungen, der Spam per SMTP verschickt. Mein alter Backup ist zwar noch clean, aber sobald ich mit diesem Online gehe, connected der Remote Server sofort und fürt ein bind9 Script aus.


    Diesyslog zeigt folgende Auffäligkeit, siehe pastbin:
    Jan 21 19:23:19 my-hostname rsyslogd: [origin software="rsyslogd" swVersion="5.8 - Pastebin.com


    Die auth.log sieht sauber aus. In der mail.log erkenne ich den massenhaften Versand. Ich gehe davon aus, dass einen veraltete Joomla Version schuld ist. Es wurde sichtlich ein bind9 Scriipt ausgeführt. Hat einer eine Idee, wie ich die Ursache genau finden kann? Danke!

  • Schadscript ausgeführt

    Vielen Dank.


    Fakt ist:

    • Es wird wiederum ein Script heruntergeladen. Dieses Script ist exakt das gleiche welches hier ausgeführt wird. Es ist generell möglich das in der Vergangenheit so ein anderes Script geladen und ausgeführt wurde.
    • Das Script hat neue udn vermeintlich infizierte Versionen von clamav und sh heruntergeladen und integriert.
    • Das Sctipt hat Crontabs modifiziert (z.B. /etc/cron.hourly/update)


    Ich kann das System leider ohne weiteres nicht neu installieren. Die meisten Schaddateien habe ich zumindest manuell entfernt. Clamav habe ich deinstalliert und wieder insrtalliert. SH bleibnt eventuell infiziert. Wenn der Angreifer das Script der HTTP in der Vergangenheit ausgewechselt hat, ist "alles" weitere möglich.


    Sehr interessant ist in diesem Zusammenhang, dass genau dies wirklich ein Bitcoining Wurm zu sein scheint:
    Bitcoin Mining Wurm



    Demnach löst ein Dist-upgrade von Debian 6 auf Debian 7 das Problem vollständig, Ich werde danach nochmals mit rkhunter und dem neuen clamscan scannen. Ein Restrisiko ist nicht auszuschließen :(

  • Schadscript ausgeführt

    Ich habe folgendes Script auf meinem Server entdeckt:


    Meine Crontabs waren folgendermaßen verändert:

    Code
    * * * * * /tmp/mc-root/update >/dev/null 2>&1


    Wer kann sehen welchen Schaden dies nun ausgelöst hat und wie ich das bestmöglich beheben kann? Danke!


    PS: Alle Vorkomnisse der falschen Cron-Kommandos, der update Datrein und der Ordner mech.dir habe ich nun gelöscht.

  • Syscp kann keine neuen Datenbanken mehr anlegen: root Access denied

    Hallo,


    ich wollte nach einiger Zeit mal wieder auf meinem vserver eine Datenbank anlegen, aber leider fuktioniert das nicht mehr. Ich erhalte im SYSCP folgenden Fehler-Output:


    Auch in phpmyadmin wird per rotem Ausrufezeichen beim Anlegen "Kein Rechte" angezeigt.


    Logge ich mich als root per mysql-console ein, erhalte ich ebensolche 1044-Fehlernachricht. Lediglich eine Datenbank namens test lässt sich per Console anlegen.


    Was kann hier falsch sein?


    Hier noch ein Auszug nach mysql> SHOW GRANTS;

    Zitat

    GRANT USAGE ON *.* TO 'root'@'%' IDENTIFIED BY PASSWORD '*B70643...{irgeneinhashcode}'

    Vielen Dank, viele Grüße

  • Debian Etch Mailserver empfängt keine eMails (Confixx + Sasl + Postfix)

    Die neue Fehler Log hier:

    Der Server kennt irgendwie die EmailAddy nicht. Hier mal ein Screen aus meinem confixx.


    [Blockierte Grafik: http://picfront.de/d/7Ets][Blockierte Grafik: http://www9.picfront.org/token/WJJC/2010/06/04/1823882.png]


    Irgendwie kriegt er die Nicks Postfächer und alles andere nicht zueinander gemappt. Eine funktioniere config von wem würde wahrscheinlich schon sehr viel helfen ;) (DANKE!)


    Hiernochmal die aktuellen confixx:


    /etc/postfix/confixx_localDomains (dort nicht mehr filyra, da es in mydestination ja steht...

    Code
    v220100351282828.yourvserver.net confixx

    /etc/postfix/confixx_virtualUsers

    Code
    lindner@filyra.de web0p6

    und schließlich die /etc/postfix/main.cf

    Wo liegt der verflixte Fehler, ich überschütte euch mit Danke wenn das endlich mal hinhaut ;)

  • Debian Etch Mailserver empfängt keine eMails (Confixx + Sasl + Postfix)

    So langsam verzweifel ich hier noch:


    Neuste Fehledermeldung in aus der mail.log:


    Die confixx_localDomains habe ich angepasst:

    Code
    meinedomain.de confixx


    und die confixx_virtualUser hat nun (wobei web0p6 das zugeordnete Postfach ist:

    Code
    inconfixxregistrierteemail@meinedomain.de web0p6


    Was ist da los?


    Danke, Gruß

  • Debian Etch Mailserver empfängt keine eMails (Confixx + Sasl + Postfix)

    Hallo,
    leider kann mein mailserver keine Mails empfangen. Ich bin soweit nach http://forum.webhostlist.de/fo…onfixx-postfix-sasl2.htmlvorgegangen, bekomme aber einen Mail delivery failure, wenn ich an eine eMail meiner Domian senden will. Laut log ist der Fehleder der folgende:


    Code
    Jun  3 08:37:48 v220100351282828 postfix/smtpd[20625]: connect from mail-in-08.arcor-online.net[151.189.21.48]
Jun  3 08:37:48 v220100351282828 postfix/smtpd[20625]: NOQUEUE: reject: RCPT from mail-in-08.arcor-online.net[151.189.21.48]: 554 5.7.1 <emailname@meinedomainhier.de>: [B][COLOR=Red]Relay access denied[/COLOR][/B]; from=<adressedioegesendethat@arcor.de> to=<emailname@meinedomainhier.de> proto=ESMTP helo=<mail-in-08.arcor-online.net>
Jun  3 08:37:48 v220100351282828 postfix/smtpd[20625]: disconnect from mail-in-08.arcor-online.net[151.189.21.48]

    Jetzt weiß ich nicht, was hier misskonfiguriert,deshalb schicke ich euch mal den Auszug aus einigen meiner configs:


    /etc/postfix/confixx_virtualUsers und /etc/postfix/confixx_localDomains sind leere Dateien.


    /etc/postfix/sasl/smtpd.conf:

    Code
    pwcheck_method: saslauthd
mech_list: PLAIN LOGIN
saslauthd_path: /var/run/saslauthd/mux
autotransition:true

    /etc/postfix/main.cfg:

    Was ich bisher gemacht habe:


    • Das etch Image mit confixx neu-installiert
    • in confixx ein pop3-postfach angelegt
    • in confixx eine email-adresse angelegt
    • Installieren: apt-get install postfix-tls sasl2-bin libsasl2 libsasl2-modules



    Das ganze führt aber leider immernoch zum Fehleder der obigen Log. Was läuft hier schief?


    Danke und Gruß