Beiträge von KB19

Zitat von akapuma

Mal dumm gefragt - hätte netcup kein Wildcard-Zertifikat *.a2f1b.netcup.net installieren können?

Wozu?

Verbinde doch einfach mit a2f1b.netcup.net, ohne hostingXXXXXX oder gar ftps am Anfang.

Zitat von KrisAusEU

Na sowas.. Der hat was gefunden in /var/spool/system.d/system.d

Da war eine Datei von ca. 10 MB. Gelöscht, reboot, wieder alles normal !?

Aufheben zur weiteren Analyse wäre wahrscheinlich wesentlich sinnvoller gewesen…

Prinzipiell schließe ich mich meinen Vorrednern an: Da hat wohl jemand die Kontrolle als root übernommen, das System ist als kompromittiert zu betrachten und nicht mehr zu gebrauchen. Das was Du gefunden hast, war wahrscheinlich nur ein winziges Fragment von allen Änderungen.

Falls Du noch nicht neu installiert hast, würde ich Dir dringend folgende Sache empfehlen: Sicher Dir trotzdem (außerhalb des laufenden Systems) den aktuellen Zustand der Festplatte und hebe ihn zur späteren Analyse oder als mögliches Beweismittel auf! Also entweder im Rettungssystem mit dd ein Image speichern bzw. herunterladen oder gleich im SCP einen (Offline) Snapshot erstellen, exportieren und danach herunterladen.

TBT Wenn es die gleiche Farbe wie der Text links daneben ist, dann sollte es Cyan sein. Außer der Terminalemulator bzw. SSH-Client ist ganz komisch konfiguriert.

Bildschirmfoto_2022-04-20_17-19-17.png

Ist aber auch egal, laut den anderen Ausgaben sind es ge-nice-te Threads. Und die tauchen ebenso nirgends auf, was es nicht besser macht.

Zitat von askania

Die würde doch perfekt zu deinem Profilbild passen

Nope, da passt nur eine Domain!

$ whois fahrradrennente.de
Domain: fahrradrennente.de
Status: free

© 2022 ThomasChr (Quelle)

Das ist mir jetzt aber auch nicht € 3,75 wert

$ whois ente-gut-alles-gut.de
Domain: ente-gut-alles-gut.de
Status: free

Hmmm

Zitat von KrisAusEU

Ich kümmere mich erstmal nicht weiter drum und beobachte weiter.

Meiner Meinung nach eine ganz schlechte Idee. Am Ende hast Du da vielleicht irgendeinen Rootkit, der fleißig Cryptowährung schürft. So eine extreme Auslastung muss ja eine Ursache haben. Besonders dann, wenn man sie nicht zuordnen bzw. komplett sehen kann.

Nachdem die Ursache wohl nicht bei netcup liegen dürfte, sollte man es sicherheitshalber nochmals eingrenzen: Deakiviere mal den Autostart von Docker (siehe hier) und starte die Kiste neu. Ist die mysteriöse Auslastung dann noch immer vorhanden?

Zitat von KrisAusEU

Ist aber alles von eben und ohne dass ich zwischendurch was verändert habe.

So war es auch nicht gemeint! Sorry für die missverständliche Formulierung

Eher so: Das passt nicht zusammen, da schrillen die Alarmglocken. Muss nicht sein, aber das sieht definitiv komisch aus.

Zitat von KrisAusEU

Ich habe mal ein Ticket aufgemacht.

Ohne einmal ins Rettungssystem gebootet zu haben? Mutig…

Snapshots werden am Hostsystem auf den gleichen Speichermedien erstellt, auf denen auch Deine virtuelle HDD/SSD des Servers liegt. Sie ersetzen somit keinesfalls ein vollständiges (externes) Backup!

Standardmäßig ist nur 1 kostenloser Snapshot Export je Server enthalten. Weitere Snapshot Exports können im CCP erworben werden: Produkte » Lupensymbol » Backups

Zitat von CCP

Für Produkte mit denen Sie Snapshots anfertigen können, können Sie optional Backups erwerben. Ein Backup kann aus einem angelegten offline Snapshot exportiert werden und wird automatisch extern gesichert. Hierzu wird das Backup nach seiner Erstellung als Image-File für 48 Stunden auf einem geschützten FTP-Server zum Download abgelegt. Wollen Sie ein Backup wieder einspielen, können Sie es per FTP wieder hoch laden und als Image in Ihren vServer einspielen

Sie können die Image-Files auch in Ihrem Büro, Zuhause oder auf einem anderen vServer einspielen, sofern der Import von Images hier unterstützt wird. KVM basierte vServer von netcup können solche Image-Files importieren.

Für jedes erstellbares Backup verlangen wir eine Gebühr. Mit dieser Gebühr wird besonders der Traffic finanziert, der beim Download des Image-Files entsteht

Zitat von ThomasChr

Das sieht tatsächlich recht komisch aus...

Dem schließe ich mich an. Die Ausgaben der gezeigten Screenshots passen nämlich irgendwie nicht zusammen

Zitat von KrisAusEU

Das Rettungssystem funktioniert nicht, vielleicht weil ich nicht den Standardport für SSH nutze..

Das Rettungssystem (nicht der Recovery-Modus Deines eigenen Systems!) ist ein eigenständiges OS, das übers Netzwerk gebootet wird. Das muss funktionieren, sofern Netzwerk als erste Boot-Option ausgewählt und es im SCP aktiviert wird.

Laut der Farbe in htop ist das von steal/guest. Wenn das im Rettungssystem genauso aussehen sollte, läuft da irgendwas am Hostsystem schief. Falls nicht, muss man weiter nach der Ursache suchen.

VPS oder RS? Sorry, steht eh da…

Da ich die Ausgabe von bashtop nicht kenne: Weißt Du noch, was an der CPU-Auslastung anteilsmäßig angeblich am Höchsten war? (Kernel, IRQ, Steal, IO, …)

Boote das System doch mal übers SCP ins Rettungssystem und wirf dort einen Blick auf htop.

Zitat von Miyakura

Mir war aber bis vorhin nicht klar, dass man die auch theoretisch als Email oder etc. verwenden könnte. Habe ich ehrlicherweise nicht überprüft oder wenn man da überhaupt eindeutig nachschauen kann.

Man kann maximal schauen, ob ein MX-Record im DNS hinterlegt ist. Da das aber wahrscheinlich bei 99% der Domains sowieso der Fall ist, bringt das leider auch keine neuen Erkenntnisse, ob eine Domain wirklich aktiv verwendet wird.

(Und gemeinerweise würde E-Mail ja sogar nur mit einem A-Record funktionieren. Das Fehlen eines MX-Records sagt also auch noch nichts aus.)

michaeleifel

Zwar mit ein paar Unterbrechungen (musste was erledigen), also nur ca. 80% gehört, aber auch von diesem Gast: Danke für den Stream!

Zitat von Miyakura

Seit gefühlt 5 Jahren beobachte ich, dass mit der Domain nichts gemacht wird.

Vielleicht eine reine Maildomain?

Läuft das bei euch im Firefox? NoScript alles zugelassen und AdBlock Plus deaktiviert: Keine Änderung

Chromium (neues temporäres Profil) funktioniert hingegen.

Eieieieieiei, gerade noch rechtzeitig nicht auf kostenpflichtig bestellen geklickt.

Da sind eindeutig noch zu viele Eier im Umlauf

Zitat von RAD750

Hab auch noch leibniz-butterkeks.de als Domain. Hab Bahlsen schon mehrmals kontaktiert, wollen die aber anscheinend nicht kaufen

Wenn die die wirklichen haben wollen würden, würden sie den Wunsch einfach der Rechtsabteilung vermitteln.

Ich finde jedenfalls 4 Marken beim DPMA, die durchaus Chancen haben könnten. (Die Details was genau eingetragen ist, habe ich mir nicht angesehen. Außerdem kenne ich mich mit dem [deutschen] Markenrecht sowieso nicht aus.)

Valkyrie Um wie viele User und wie große Dateien geht es? Zwei alternative Ideen, mit eigenen Uploadordnern je User:

• Ein Script, das im öffentlich erreichbaren Ordner Symlinks oder Hardlinks erstellt und auch wieder löscht.
• Die HTTP-Auslieferung mit einem Script (z.B. PHP) realisieren, das alle Uploadordner durchsucht.

Beides nicht ganz konfliktfrei und eventuell problematisch. Da würde ich eher schauen, ob man die SFTP-Auflistung nicht irgendwie filtern kann, sodass jeder User nur seine eigenen Dateien sieht.