Beiträge von cschlosser

Zitat von MJS

für den unwahrscheinlichen Fall, dass mein Rechner auch Outbound aktiv war, er hat nie Antwort erhalten, weil Inbound alles gesperrt ist. Also richtige Übertragungen haben gar nicht stattgefunden und damit auch kein Mining

Stateful firewall die established/related incoming erlaubt. Wie kommst du sonst an apt Pakete und docker images?

Zitat von MJS

Übrigens, ich nutze einen eigenen DNS-Server. p2pool.io wurde von dem deaktivierten Server niemals angefordert. Also, wie kommt Netcup auf diese Domain?

Hardcoded IP im miner und dann reverse dns wäre meine Vermutung.

Zitat von MJS

Nach genau 4h wurde jetzt auch das Rettungssystem abgeschaltet.

Hoffe du konntest einen snapshot ziehen in der Zeit.

Zitat von MJS

Mein Server ist gesperrt worden, weil jemand von dem Port 20749 versucht was aufzurufen?

Unwahrscheinlich. Die abuse Meldung sagt ja auch inbound und outbound.
Das durchsuchen war nur eine Idee ob da irgendwo eine config.json oder ähnliches in einem docker volume persistiert ist.

Zitat von MJS

Naja, rausgehend ist ja nicht unbedingt schlimm, Hauptsache es kommt nix rein.

Ausgehend kann aber auch eine kompromittierte Maschine weniger kaputt machen.

Evtl mal ne primitive string suche nach den segmenten aus seeds-mini.p2pool.io und 20749 machen um zu sehen ob das irgendwo auftaucht wo es nicht sein sollte? Vielleicht gibt das Aufschluss was das Einfallstor ist. Kann natürlich auch gut sein, dass nix rauskommt und das obfuscated ist.

Zitat von MJS

- Nur wirklich benötigte Ports öffnen, den Rest komplett schließen z.b. per nftables
hab ich

Ich glaube er meinte auch ausgehende ports, die meisten Tutorials fokussieren sich nur auf die eingehenden.

Hast du das auch verifiziert? Docker öffnet aus convenience gerne mal ports die eigentlich blockiert sein sollten.

Im aktuellen Umfeld tatsächlich nicht ganz so leicht. Generell sind unattended updates gut, mit den vielen supply chain attacks aktuell aber vielleicht mit etwas mehr Vorsicht zu genießen.

Welche container laufen? Wie werden die geupdatet? Manuell? Watchtower?
Ohne irgendwas über deine services etc. zu wissen würde ich davon ausgehen, dass ein Container kompromittiert wurde aufgrund mangelnder updates, oder dass ein container durch ein update ein npm-install (oä) gemacht hat das dir den miner eingefangen hat.

Oder hast du in letzter Zeit (Wochen) größere updates ala Ubuntu 26.04 gemacht?

Generell würde ich auch versuchen einen snapshot zu ziehen und den dann airgapped starten um eine umfassende Untersuchung durchzuführen.

• ... wie/womit macht ihr Backups?

  borgmatic

• ... wie oft macht ihr Backups?

  Kommt auf die Daten an. Server configs etc. täglich. Private wichtige Dokumente und Fotos auch täglich. Lokale experimente wöchentlich.

• ... wie lange hebt ihr Backups auf?

  Je nach Daten 1-5 Jahre.

• ... wo speichert ihr die Backups?

  Lokal auf externer Festplatte/NAS und 2 cloud storage Anbietern.

• ... testet ihr den restore? Falls ja, wie und wie oft?

  Jährlich.

• ... was sind individuelle Learnings die ihr im laufe der Jahre bzgl. Backup und Restore gesammelt habt?

  Umso Technik versierter der User umso seltener sind Backups notwendig. Friends&Family kommen jährlich mit "kannst du mir helfen die Daten zurück zu holen?".

  Aber auch so unwahrscheinliche Fälle wie 2xWD Red in der NAS sterben am gleichen Tag hatten wir schon, da war das offsite backup Gold wert.

Und die extended:

• wie oft hat euch ein Backup (server) gerettet in wie vielen Jahren?

  In den letzten ~10 Jahren einmal bei wirklich wichtigen Daten. Mehrmals bei persönliche Erinnerungen die nicht lebensnotwendig waren.

Piko Alarm