Gecracked via VNC

[Zewatanejo]

Afgelopen week had ik op mijn router de VNC poort (5800-5900) open gezet op mijn HTPC/Server.
Dit om vanuit mijn tijdelijke verblijf toch nog bij mijn PC te kunnen. Ik had stom genoeg geen password authentication aangezet. Schijnbaar ben ik dit vergeten, want dit doe ik uiteraard altijd.

Nu blijkt dat in deze 2 dagen mijn server is gecracked voor SPAM doeleinden.blijkbaar via een poortscan is er een Franse cracker ingelogt op mijn PC.
Ik heb sceenshots gemaakt. Dit zijn er een aantal:






Zo te zien heeft de cracker via ftp een aantal bestanden gedownload.
Een aantal programma's gedownload om Spam mail te verzenden, vanaf mijn PC. Hij heeft zelfs mijn Ip opgezocht en er is een betaling gedaan via Paypal. Ik heb een paypal ID van een betaling in elk geval. Niet die van mij, want ik heb geen Paypal account.

Ik moet zeggen dat ik hier toch behoorlijk nerveus van ben. Wat kunnen de consequenties zijn voor mij?

[ChaserBoZ_]

Jij kan aangesproken worden op alles wat ie gedaan heeft, de spam, verspreiden van kinderporno via je aansluiting op dat moment, bedreigingen op fora etc etc.

[Bob]

ChaserBoZ_ schreef op dinsdag 07 april 2009 @ 22:19:
Jij kan aangesproken worden op alles wat ie gedaan heeft, de spam, verspreiden van kinderporno via je aansluiting op dat moment, bedreigingen op fora etc etc.

Dat zou sterk zijn. Ik denk niet dat alle arme zielen die deel uitmaken van een botnet verantwoordelijk worden gesteld voor de spammails die van bij hen vertrekken.

Alleszins, sluit die bak af van het internet, maak een image van de schijf om alles later nog eens goed te kunnen nagaan en kuis 'm dan goed uit. Verder zou ik er niet te lang van wakker liggen, je les heb je er wslk toch al uit getrokken

[Hadron]

Stomme vraag misschien, maar ik neem aan dat je de poorten al weer dichtgegooid hebt?

Daarnaast weet ik niet of de programma's die je noemt een history of logfile bijhouden. Daarmee kan je in ieder geval ongeveer zien wat er gebeurd is, en dan is je inschatting waarschijnlijk ook wat realistischer.

Edit: Image maken is waarschijnlijk ook wel handig ja, mocht je willen zoeken Schoonmaken/herinstalleren is sowieso verstandig!

[ Voor 18% gewijzigd door Hadron op 07-04-2009 22:26 . Reden: Image.. goed idee! ]

[ChaserBoZ_]

Bob schreef op dinsdag 07 april 2009 @ 22:23:
[...]

Dat zou sterk zijn. Ik denk niet dat alle arme zielen die deel uitmaken van een botnet verantwoordelijk worden gesteld voor de spammails die van bij hen vertrekken.

Alleszins, sluit die bak af van het internet, maak een image van de schijf om alles later nog eens goed te kunnen nagaan en kuis 'm dan goed uit. Verder zou ik er niet te lang van wakker liggen, je les heb je er wslk toch al uit getrokken

In eerste instantie wel, en je mag dan aantonen dat je het niet bewust/niet zelf gedaan hebt.

Alle logging wijst immers naar jou

[Zewatanejo]

ChaserBoZ_ schreef op dinsdag 07 april 2009 @ 22:19:
Jij kan aangesproken worden op alles wat ie gedaan heeft, de spam, verspreiden van kinderporno via je aansluiting op dat moment, bedreigingen op fora etc etc.

Nou je stelt me niet gerust... maar ik denk wel dat je gelijkt hebt.

Bob schreef op dinsdag 07 april 2009 @ 22:23:
[...]

Dat zou sterk zijn. Ik denk niet dat alle arme zielen die deel uitmaken van een botnet verantwoordelijk worden gesteld voor de spammails die van bij hen vertrekken.

Alleszins, sluit die bak af van het internet, maak een image van de schijf om alles later nog eens goed te kunnen nagaan en kuis 'm dan goed uit. Verder zou ik er niet te lang van wakker liggen, je les heb je er wslk toch al uit getrokken

Ja ik heb natuurlijk wel geleerd dat ik dit zo niet moet doen. Ik heb nu de poorten weer dicht gegooid...en in het vervolg zal ik wel een wachtwoord gebruiken en andere poorten gebruiken.

Ik zal inderdaad eens een image maken..thanks vor de tip

[stftweaker]

heel veel mensen zijn lid van een botnet. ik zou ,me er niet druk om maken. al helemaal niet omdat je het zo snel heb ontdekt. en wat aangedaan heb / gaat doen. ,mijn tip is maak een image kopie. en kijk wat er allemaal veranderd/aangepast is.

[Verwijderd]

Wat gaat het dichtgooien van die poorten helpen als er nu een trojan op je systeem staat? Als iemand Administrator toegang had op je systeem kun je bijna nergens meer op vertrouwen.

[Arnout]

Botnet en VNC is natuurlijk niet gelijk aan elkaar, met een VNC mogelijkheid kun je natuurlijk veel meer en ben je overgeleverd aan diegene aan de andere kant. Botnets worden meer voor 'productie' doeleinden gebruikt, zoals spam verzending.

[Zewatanejo]

Ik kan nog op de FTP server inloggen, die is gebruikt.
Heb de neiging om daar alles af te gooien, maar ik zal het maar niet erger maken dan het als is. waarschijnlijk is die FTP ook gehackt.

Ik zie nou trouwens uit mijn router log dat het op dezelfde dag gebeurd is als dat ik het heb ontdekt.

Ik heb de server maar even van het internet afgehaald..dan hebben we voorlopig geen problemen.

[ Voor 20% gewijzigd door Zewatanejo op 07-04-2009 22:36 ]

[Emmeau]

effe side tip, VNC (vnc heeft al eens een exploit gehad, en omdat niemand zijn vnc upgrade zijn er aardig wat mensen in de knoei gekomen toen) run ik alleen maar over VPN, en zal nooit rechtstreeks van buiten benaderbaar zijn.

Voor quick en dirty gebruik ik logmein.com, wat precies hetzelfde doet als VNC eigenlijk, maar dan webbased.

[jan99999]

Bij windows is het een probleem dat niet alles geupdate wordt.
Laatst heb ik zo een programma getest, die dus alles update op xp, dus ook andere software.
Werkte goed, of het veilig is weet ik niet, was uit een test van een site(zoeken op windows en update).

Maar je had natuurlijk ook:
1 een wachtwoord kunnen instellen.
2 En natuurlijk ook een ip waar je naar toe gaat met vnc, dit bij hacken en fout in software, toch alleen de ip nummer op vnc kan komen. Dit instellen in je firewall.

Zelf gebruik ik ubuntu voor zoiets stel ik ook een firewall in.

Op hoofd site van gathering.tweakers vind je een gedeelte over software, indien je deze als homepage insteld, dan zie veel update komen(en nieuwe software). (Bij linux gebeurd dit automatisch).


Pc zou ik leeg maken.

[ Voor 14% gewijzigd door jan99999 op 08-04-2009 12:00 ]

[DiedX]

ik zou de eigenaar van de ftp-server waarschuwen, evenals paypal. En inderdaad, je lessen heb je nu geleerd

[Verwijderd]

Eigenaren idd waarschuwen..

Voor de rest moet je je HELE systeem opnieuw installeren. Dit soort spammers willen graag vaker gebruik maken van jou systeem en hebben hierdoor meerdere backdoors ingebouwd. Dit kan zijn door sommige software te downgraden (open te stellen voor exploits), rootkits installeren etc etc.. Het systeem is NIET meer betrouwbaar.

[Graviton12]

Emmeau schreef op dinsdag 07 april 2009 @ 22:57:
effe side tip, VNC (vnc heeft al eens een exploit gehad, en omdat niemand zijn vnc upgrade zijn er aardig wat mensen in de knoei gekomen toen) run ik alleen maar over VPN, en zal nooit rechtstreeks van buiten benaderbaar zijn.

Voor quick en dirty gebruik ik logmein.com, wat precies hetzelfde doet als VNC eigenlijk, maar dan webbased.

Yep, ook al veel gehoord dat VNC niet echt secure is, sommige raden dan UltraVNC of zoiets aan.
Maar terug ontopic, TS issue was gemakkelijk te voorkomen natuurlijk zoals hij zelf al aangaf.

[-Elmer-]

Wat gek om dit te horen. Heb laatste een klant gehad die exact hetzelfde is overkomen. Echter, hij had wél een wachtwoord ingesteld. Het leek er ook toen op dat de hacker/cracker van Frans was (kan natuurlijk ook heel goed een Frans sprekend Afrikaans land zijn). Hij deed zich voor onder de naam Anime.
Is er bij jou ook een nieuwe gebruik op de computer aangemaakt? En je admin wachtwoord? Is die nog hetzelfde?

Ene... zoals jonjen ook al zei: je zult echt je hele systeem opnieuw moeten installeren. Het is echt niet meer betrouwbaar. Bij de klant van mij waren direct alle virusscanners en anti-spyware modules verwijderd en was de rest van het netwerk ook geïnfecteerd (lees: ineens overal VNC geïnstalleerd)
Eigenlijk maar één oplossing: geen VNC meer gebruiken zonder VPN

[Verwijderd]

-Elmer- schreef op woensdag 08 april 2009 @ 15:23:
Wat gek om dit te horen. Heb laatste een klant gehad die exact hetzelfde is overkomen. Echter, hij had wél een wachtwoord ingesteld. Het leek er ook toen op dat de hacker/cracker van Frans was (kan natuurlijk ook heel goed een Frans sprekend Afrikaans land zijn). Hij deed zich voor onder de naam Anime.
Is er bij jou ook een nieuwe gebruik op de computer aangemaakt? En je admin wachtwoord? Is die nog hetzelfde?

Ene... zoals jonjen ook al zei: je zult echt je hele systeem opnieuw moeten installeren. Het is echt niet meer betrouwbaar. Bij de klant van mij waren direct alle virusscanners en anti-spyware modules verwijderd en was de rest van het netwerk ook geïnfecteerd (lees: ineens overal VNC geïnstalleerd)
Eigenlijk maar één oplossing: geen VNC meer gebruiken zonder VPN

VNC is sowieso een onveilig product. Mensen vergeten dit zo vaak up te daten. Exploits hiervoor zijn makkelijk te vinden en met een simpele portscan over het inet vind je wel pcs die deze poort open hebben staan. De enige oplossing is idd VPN. Helaas zijn er nog altijd veel te veel particuleren en bedrijven die denken dat ze met een prog als VNC en daarvoor een wachtwoord veilig zijn.. Je hoeft hier niet eens een slimme hacker voor te zijn, elke scriptkiddie kan gebruik maken van dingen als het metasploit framework