Beiträge von MJS

Trotz gedrosselter Leitung mit 10MB/s konnte ich ein Archiv runterladen.

Jetzt muss ich wohl bis Freitag Mittag warten, bis Netcup wieder arbeitet.

Toll, danke Netcup: Nach genau 4h wurde jetzt auch das Rettungssystem abgeschaltet. Abschalten und deaktivieren können die

cschlosser: für den unwahrscheinlichen Fall, dass mein Rechner auch Outbound aktiv war, er hat nie Antwort erhalten, weil Inbound alles gesperrt ist. Also richtige Übertragungen haben gar nicht stattgefunden und damit auch kein Mining.

Ich hätte schon ein wenig mehr Input von Netcup erwartet - z.B. seit wann und wie häufig diese Transfers stattgefunden haben sollen. Lieber lassen die mich im Nebel irgendwelche Protokolldateien nach irgendwas durchsuchen anstatt mir den Server komplett zur Verfügung zu stellen, damit ich einfach sehen kann, welcher Prozess den angeblichen Outbound macht. Naja, Servicewüste halt. Können ihn ja nach 4? Stunden wieder sperren, wenn ich das nicht abgestellt habe. Aber nein, wäre ja zu einfach für den Kunden ...

Vielleicht doch keine Autoupdates mehr? Oder gar keine Updates? Vielleicht habe ich mir eines der kompromitierten Pakete bei so einem Update eingefangen? Ich weiß es nicht, ich weiß nur, dass bei meinem Server alle Miner so wie es sich gehört gesperrt werden.

Übrigens, ich nutze einen eigenen DNS-Server. p2pool.io wurde von dem deaktivierten Server niemals angefordert. Also, wie kommt Netcup auf diese Domain? Interessant, beim DNS-Server kann ich sehen, dass die letzte DNS-Abfrage genau 24h nach der Abuse-Email kam. Dann wurde der Rechner brutal abgeschaltet.

Hille: Ich glaube es reicht, wenn ich die bösen sperre, die auf meinen Rechner zugreifen - eigentlich.

Da Netcup anscheinend bei mir jetzt sowas wie eine DDOS-Attacke nicht als solche erkannt hat und meinen Rechner wohl nur deswegen gesperrt hat, weil irgendein Mining-Netzwerk auf meinen Rechner zugreifen will und ich die blocke, muss ich vielleicht doch umdenken

cschlosser: Naja, rausgehend ist ja nicht unbedingt schlimm, Hauptsache es kommt nix rein.

p2pool.io hat er bei mir nur in der hosts gefunden, weil ich dort diese Domain ins Nirvana umleite. 20749 findet er in der fail2ban.sqlite3 und im Nextcloud Flyer.pdf

Aber journalctl zeigt mir das hier:

kernel: [UFW BLOCK] IN=ens3 OUT= MAC=4a:2e:36:66:58:2a:bc:0f:fe:3d:a3:a7:08:00 SRC=98.217.189.211 DST=152.xxx.xxx.xxx LEN=284 TOS=0x00 PREC=0x00 TTL=114 ID=49932 DF PROTO=UDP SPT=20749 DPT=28286 LEN=157

Mein Server ist gesperrt worden, weil jemand von dem Port 20749 versucht was aufzurufen?

cschlosser: Nutze Debian, Docker-Updates i.d.R. wöchentlich manuell, wenn diun mich über Updates informiert. Man kann ja leider nicht alles unbeaufsichtigt einspielen (dawarich, nextcloud, paperless, vaultwarden und ein paar mehr).

@Hilfe: Vielen Dank.

- Nur wirklich benötigte Ports öffnen, den Rest komplett schließen z.b. per nftables
hab ich

- SSH nur über Jumphost oder VPN
SSH nur von bestimmten IPs zugelassen, root darf sich nicht anmelden, SSH-Port geändert etc

- AIDE
beisst sich mit unattached-updates bzw. müsste sofort nach jedem Update sich selbst updaten oder Umstieg auf manuelle Updates. Muss ich überdenken.

- zeitnahe Updates
wie gesagt, unattached-updates und natürlich auch manuelle Kontrolle

- Geobasierendes blocken, wenn möglich
über Fail2ban - so um die 3000 IPs im Schnitt geblockt, nur DE zugelassen

- IP basierende Blocklisten
Wieviele IPs bzw. IP-Bereiche blockst du? Über Fail2ban blocke ich alles, was mehr als 3 Fehler verursacht und mich gefunden hat. Sollte reichen?

- sinnvolle Konfiguration deiner Dienste
sollte so sein

Jeder Dienst hat natürlich auch sein spezifisches, langes und kryptisches Kennwort, ist nur über NPM von außen erreichbar

Ich kann jedem nur raten, alle Netcup-Abuse-Mails als Push und Alert aufs Handy zu schicken:

Absender: donotreply@netcup.de
Betreff: Abuse Hinweis zu v2202xxxxxxxxxxxxxx - RS 4000 G12 Pro NUE JAN26

um schnell reagieren zu können, bevor die den Server deaktivieren und dank Feierabend und dem morgigen Feiertag ich wohl frühestens am Freitag den Server freigeschaltet bekomme, wenn ich denen das Richtige schreibe - nur was ist das "Richtige"?

KB19: in der deutschen Variante stand nix, hinter der englischen (Unwichtiges gehört ja auch ans Ende):

MINING POOLS:

inbound seeds-mini.p2pool.io:20749
outbound seeds-mini.p2pool.io:20749

RKHUNTER lief nach CHROOT durch und hat nur den geänderten Hostnahmen (wg. Rettungssystem) angemeckert. Also kein Rootkit.

@Hilfe: Was könnte ich denn zukünftig verbessern?

RKHUNTER, UNATTACHED-UPDATES, FAIL2BAN, UFW (mit Docker-Anpassungen) sind doch schonmal eine gute Basis, oder? Dann noch die Netcup-Firewall, wo 20749 nicht zu den erlaubten Ports gehört.

Ansonsten versuche ich jede Anwendung in einem Docker-Container laufen zu lassen, hinter einen NPM natürlich.

Was könnte ich verbessern? Was fehlt?

Würde gerne mal RKHUNTER laufen lassen. Der hatte bisher nicht angeschlagen. Mal schauen, ob der über chroot funktioniert.

Rettungssystem ist jetzt gestartet. Nach den Serverstatistiken der letzten 31 Tage gab es keine erhöhte CPU-, Platten- oder Netzwerklast. Das spricht schonmal gegen einen neuen Miner oder was auch immer da gewesen sein soll.

@Hilfe: Vielen Dank für den unkonstruktiven Beitrag. Ja es könnte sein, dass der Server trotz aktueller Updates kompromitiert wurde. Aber es scheint auch schwere Kernellücken zu geben, die bis dato noch nicht gepatcht sind. Könnte es nicht aber auch sein, dass Netcup da was falsch verstanden hat? Nein, der Kunde ist immer der Fehler?

Dass ich einen bestimmten Port auf meinem Server nicht nutzen darf, habe ich jetzt erst erfahren. Werde ich nie wieder tun, versprochen. Und das mit der einen Domain, die mein Server nicht Kontakten darf - muss ich mir anschauen. Werde ich umgehend sperren, falls ich jemals Zugriff auf meinen Rechner bekommen sollte.

Wenn Du so ein Profi bist, wie kann ich die aktiven Prozesse von meinem Server prüfen, wenn dieser gar nicht aktiv ist? Wenn ich mit einem Rettungssystem boote, zeigt mir PS nur die Prozesse des Rettungssystems an, oder? Auch werden mir nur die Netzwerkzugriffe des Rettungssystems angezeigt, nicht die von meinem Server. Also was soll das?

Man hätte den Rechner auch vom Netz trennen können, dann richtet er auch keinen Schaden mehr an und ich könnte prüfen. Wird ja alles nicht gemacht bzw. verweigert. Man hätte mich den Rechner auch wieder manuell und kontrolliert starten können und mir die 4h zur Unterbindung dieser Verbindungen geben können - wurde leider auch verweigert.

Gute Idee, aber Snapshot ziehen geht nicht, da Server deaktiviert ist. Ich kann nix mit dem Server machen.

Bitte prüfen Sie insbesondere:

* Laufende Prozesse (top, htop, ps aux)
* Aktive Netzwerkverbindungen (netstat, ss)
* Container und laufende Dienste
* Geplante Aufgaben (Cronjobs, systemd Timer)
* Unbekannte oder kürzlich installierte Software

=> wie macht man das mit dem Rettungssystem? Welcher Fachmann kann sowas mit Hilfe des Rettungssystems?

Moin,

am Montag gegen 20 Uhr bekam ich eine Abuse-Mail von Netcup. Mein Server soll angeblich Mining machen, genannt wurde eine Domain die er kontaktiert haben soll und einen Port, der nutzt wurde. Leider habe ich das erst heute morgen gesehen, da war der Server schon deaktiviert. Nach 3h wurde mir angeboten, meinen Server mit Rettungssystem zu starten, aber auch nur für 4h. Soll einen Termin dafür nennen, Netcup braucht aber mindesten 2h Vorlauf. Hatte den schon um 11 Uhr 13 Uhr als Termin genannt, wurde offenbar ignoriert.

Also habe ich seit heute Morgen mindestens 3+2 = 5h Reaktionszeit verloren. Danke. Strafe für eine vermeintliche Vertragsverletzung - nix bewiesen, nur Behauptungen.

Darüber hinaus, falls der Server wider Erwarten kompromitiert wurde, wie soll ich das mit dem Rettungssystem herausfinden? Kann mir bitte mal jemand einen Tipp geben, wie einen Service/Dienst auf dem Rechner finden soll, der eine bestimmte Domain kontaktiert und Port nutzt, ohne dass dieser läuft?

Würde der Server normal starten könnte ich sofort die böse Domain und den bösen Port sperren (Port ist bereits über die Netcup-Firewall gesperrt), aber so?

Als einzige Möglichkeit sehe ich nur, dass ich ein Emerging-Backup von den Daten auf dem Server nach local mache (in den 4h) und dann irgendwo anders den Server neu aufsetze.

Ich weiß nicht, wie ich unter diesen Bedingungen etwas erklären kann bzw. überhaupt die Vorwürfe überprüfen.

Auch finde ich es eine Frechheit, dass ich nur 4h mit dem Rettungssystem bekomme. Schließlich bezahle ich den Rechner und die Rechenleistung. Ok, Netcup unterbindet mit dem Rettungssystemzwang den vermeintlichen Vertragsbruch, den ich aber mit dem Rettungssystem nicht begehen kann. Ich habe so kaum Zeit, meine Daten halbwegs sauber zu sichern. Abgesehen davon, dass ich jetzt wohl einen neuen Server (bei einem anderen Hoster) auf die Schnelle einrichten und zum laufen bringen muss. Netcup will offenbar mir keine 2. Chance geben.

Oder wie macht ihr das?

Vielen Dank.

Michael

Zitat von [netcup] Alexander W.

RAM & NVME Preise zahlt man einmalig und bleiben dann für ein paar Jahre in den Büchern. Die GEN12 wird sich mit ziemlicher Sicherheit nicht mehr nach unten korrigieren

Ähm das verstehe ich jetzt nicht: Entweder es ist alles ein großer Topf und es muss alles auch mal ausgetauscht werden oder man kauft einmal und dann bleibt es halt viele Jahre fix. Die Preise für zumindest die aktuell vorhandenen Server sind also einmalig und fix und werden trotzdem nachträglich erhöht?

Die Altkundenpreise wurden erhöht, weil "einmalig zu bezahlende und dann bleibende" RAM & NVME teurer geworden sind? Oder weil sie "wertvoller" geworden sind? Mir ist klar, dass es die eine oder andere Ersatzinvestition geben muss, aber da würde ich maximal 10% des Altbestandes ansetzen und entsprechend niedrig müsste die Preiserhöhung für Altkunden aussehen. Sprich: Die Differenz zwischen Erhöhung Altkunden zu Neukunde ist viel zu klein.

Preissenkungen gibt es bestenfalls vielleicht bei der nächsten GEN13 - aber nicht für Altkunden, da die neuen günstigen RAM & NVME ja auch nur von den Neukunden genutzt werden? Preissenkungen also nur für Neukunden oder Altkunden, die gerade am Ende der Kündigungsfrist sind und "Lust" auf eine Servermigration haben? Doch kein großer Topf und MIschkalkulation?

Treue Altkunden werden also wie bei Strom- und Gas bestraft: Gemeinsam wird erhöht und nur für Neukunden gesenkt. So ist das halt in Deutschland

Jedes Jahr nicht nur Strom und Gas wechseln, sondern auch die Server - ups, bei Strom und Gas geht das ganz einfach, so ein Server-Umzug ist schon mal mit ein wenig Arbeit verbunden ... Arbeitszeit kostet ja auch - deshalb wird die Preissenkung wohl auch nur an Neukunden vergeben weil sich Altkunden den Wechsel leider zweimal überlegen müssen.

Hoffe demnächst auf Glasfaser und dann werde ich mein eigener Hoster.

Moin,

ich hatte hier schonmal eine Preiserhöhung wegen der gestiegenen Energiekosten mitgemacht - ohne zu meckern. Leider wurde der Preis nicht gesenkt, als die Energiepreise wieder runtergegangen sind ...

Neukunden belegen / benötigen 100% neue Hardware,
Bestandskunden (wegen Ersatzteilen) benötigen (regelmäßig?) sicherlich nur max. 10% neue Hardware und keine 76%
(analog zur Preiserhöhung +18% zu +24%) ...

Ergo: Bestandskunden subventioniieren Neukunden erheblich

Und wenn in 2? Jahren Speicher wieder billig wird, werden dann die Bestandspreise gesenkt? Sicherlich nicht

Zitat

• Bestandsverträge: +18,51%
• Neuverträge: +24,33%