Guten Morgen,
Ich hoffe ich bin hier richtig. Ich nutze einen vServer mit Debian auf dem eigentlich nicht viel los ist (teamspeak, apache, mysql). der durchschnittliche tägliche traffic liegt bei wenigen 100 MB pro Tag manchmal auch darunter. Deshalb hatte ich mir trotz Datenflat eine Warnung eingerichtet falls der traffic mal 10GB überschreitet. Heute nacht um 3 Uhr bekam ich eine Mail, dass der traffic für heute bereits überschritten wurde. Da ich den Datenverkehr nicht mitlogge konnte ich mich nur auf die Angaben auf der Webseite meines Hosters berufen und dort konnte ich im Minutentakt zusehen wie der Transfer immer mehr wurde. Heute morgen gegen 6:30 waren es schon rund 35GB.
Also heute morgen sofort eingeloggt um zu schauen was los ist. Ein netstat -an förderte einige komische Verbindungen zu Tage die von Ports ausgingen wo kein Dienst läuft.
Definitv eine Attacke. Aber die Frage ist, wurde nun schon eingebrochen oder versucht man es noch? Btw. 30GB entspräche ungefähr 3x dem Volumen was überhaupt auf dem vServer drauf liegt.
die IPs führen zu einem chinesischen (59.*.) und japanischen (219.*) Eintrag. Na toll.
mit lsof die prozesse rausgesucht
und dann gekillt
Nun war erstmal Ruhe. Leider konnte ich keine weiteren Untersuchungen mehr am "lebenden Objekt" vornehmen.
Und auch die eine ssh Verbindung war weg ohne das ich sie gekillt habe
Also mal etwas gegoogled. Die Verbindung von perl, std und ssh führte mich zum sshatter offenbar ein Tool welches über Brutforce ssh Passwörter durchprobiert.
Über last und im /var/log/auth.log sind allerdings unerwartet nicht utopisch viele Einträge drin. Auch sonst hab ich bis jetzt noch kein logfile gefunden was mir nähere Auskunft gibt was da nun eigentlich passiert ist.
Das root Passwort hab ich vorsorglich geändert obwohl das zu 100% nicht in einer wordlist stand und auch in den nächsten paar hundert Jahren kein Brutforce rausbekommen hätte. Aber sicher ist sicher.
Sollte ich den Angriff irgendwo melden? Beim Hoster zum Beispiel? Aber wahrscheinlich passiert so etwas sowieso unzählige Male am Tag und mach einer bekommt es gar nicht mit.
Nun bleiben die offenen Fragen. Was ist tatsächlich passiert? Kann Brutforce alleine ein solches Datenvolumen erzeugen? Wurde ein Zugriff erlangt? Wie verhindere ich das beim nächsten Mal?
Ich hoffe ich bin hier richtig. Ich nutze einen vServer mit Debian auf dem eigentlich nicht viel los ist (teamspeak, apache, mysql). der durchschnittliche tägliche traffic liegt bei wenigen 100 MB pro Tag manchmal auch darunter. Deshalb hatte ich mir trotz Datenflat eine Warnung eingerichtet falls der traffic mal 10GB überschreitet. Heute nacht um 3 Uhr bekam ich eine Mail, dass der traffic für heute bereits überschritten wurde. Da ich den Datenverkehr nicht mitlogge konnte ich mich nur auf die Angaben auf der Webseite meines Hosters berufen und dort konnte ich im Minutentakt zusehen wie der Transfer immer mehr wurde. Heute morgen gegen 6:30 waren es schon rund 35GB.
Also heute morgen sofort eingeloggt um zu schauen was los ist. Ein netstat -an förderte einige komische Verbindungen zu Tage die von Ports ausgingen wo kein Dienst läuft.
Code:
tcp 875 0 <meineIP>:49709 219.94.152.213:6667 CLOSE_WAIT
tcp 0 0<meineIP>:57116 219.94.152.213:6667 ESTABLISHED
tcp 12288 0 <meineIP>:44238 59.42.210.210:8080 CLOSE_WAIT
tcp 0 0 <meineIP>:46699 59.42.210.210:8080 ESTABLISHED
tcp 0 0 <meineIP>:46849 59.42.210.210:8080 ESTABLISHED
tcp 0 36 <meineIP>:21522 80.150.206.162:49351 ESTABLISHED
tcp 0 0 <meineIP>:57117 59.42.210.210:8080 ESTABLISHED
udp 0 316 <meineIP>:36450 74.63.233.26:22 ESTABLISHEDDefinitv eine Attacke. Aber die Frage ist, wurde nun schon eingebrochen oder versucht man es noch? Btw. 30GB entspräche ungefähr 3x dem Volumen was überhaupt auf dem vServer drauf liegt.
die IPs führen zu einem chinesischen (59.*.) und japanischen (219.*) Eintrag. Na toll.
mit lsof die prozesse rausgesucht
Code:
<meineIP>:~# lsof | grep 59.42.210.210
perl 5576 www-data 21u IPv4 338535163 TCP <meineIP>:44238->59.42.210.210:webcache (CLOSE_WAIT)
perl 5585 www-data 20u IPv4 340835400 TCP <meineIP>:57117->59.42.210.210:webcache (ESTABLISHED)
perl 5585 www-data 21u IPv4 338535163 TCP <meineIP>:44238->59.42.210.210:webcache (CLOSE_WAIT)
perl 13760 www-data 21u IPv4 338535163 TCP <meineIP>:44238->59.42.210.210:webcache (CLOSE_WAIT)
perl 13775 www-data 20u IPv4 339968063 TCP <meineIP>:46849->59.42.210.210:webcache (ESTABLISHED)
perl 13775 www-data 21u IPv4 338535163 TCP <meineIP>:44238->59.42.210.210:webcache (CLOSE_WAIT)
std 15824 www-data 21u IPv4 338535163 TCP <meineIP>:44238->59.42.210.210:webcache (CLOSE_WAIT)
std 23616 www-data 21u IPv4 338535163 TCP <meineIP>:44238->59.42.210.210:webcache (CLOSE_WAIT)
std 23617 www-data 21u IPv4 338535163 TCP <meineIP>:44238->59.42.210.210:webcache (CLOSE_WAIT)
apache2 32326 www-data 21u IPv4 338535163 TCP <meineIP>:44238->59.42.210.210:webcache (CLOSE_WAIT)
sshd 32534 www-data 21u IPv4 338535163 TCP <meineIP>:44238->59.42.210.210:webcache (CLOSE_WAIT)und dann gekillt
Code:
for i in `lsof | grep 219.94.152.213 | awk '{print $2}'`; do kill -9 $i;done;
for i in `lsof | grep 59.42.210.210 | awk '{print $2}'`; do kill -9 $i;done;
#Anmerkung der Redaktion kill ohne -9 hatte nicht funktioniertNun war erstmal Ruhe. Leider konnte ich keine weiteren Untersuchungen mehr am "lebenden Objekt" vornehmen.
Und auch die eine ssh Verbindung war weg ohne das ich sie gekillt habe
Code:
udp 0 316 <meineIP>:36450 74.63.233.26:22 ESTABLISHEDAlso mal etwas gegoogled. Die Verbindung von perl, std und ssh führte mich zum sshatter offenbar ein Tool welches über Brutforce ssh Passwörter durchprobiert.
Über last und im /var/log/auth.log sind allerdings unerwartet nicht utopisch viele Einträge drin. Auch sonst hab ich bis jetzt noch kein logfile gefunden was mir nähere Auskunft gibt was da nun eigentlich passiert ist.
Das root Passwort hab ich vorsorglich geändert obwohl das zu 100% nicht in einer wordlist stand und auch in den nächsten paar hundert Jahren kein Brutforce rausbekommen hätte. Aber sicher ist sicher.
Sollte ich den Angriff irgendwo melden? Beim Hoster zum Beispiel? Aber wahrscheinlich passiert so etwas sowieso unzählige Male am Tag und mach einer bekommt es gar nicht mit.
Nun bleiben die offenen Fragen. Was ist tatsächlich passiert? Kann Brutforce alleine ein solches Datenvolumen erzeugen? Wurde ein Zugriff erlangt? Wie verhindere ich das beim nächsten Mal?
Zuletzt bearbeitet:
(um dann halt indirekt mittels ssh key und sudo root zu werden... Beispiel: ssh -t <adresse> sudo bash
