Poging tot hacken, wat nu?

[Redhead1986]

He Iedereen,

Ik heb op mijn thuisservertje een aantal services draaien, waaronder een FTP servertje. Nu zat ik vanmiddag mn logs een beetje door te kijken en daar kwam ik een aantal rare entries tegen in de vsftpd.log.

Sat Dec 19 01:42:07 2009 [pid 2] CONNECT: Client "80.92.84.***"
Sat Dec 19 01:42:09 2009 [pid 1] [mysql] FAIL LOGIN: Client "80.92.84.***"
Sat Dec 19 01:42:12 2009 [pid 1] [mysql] FAIL LOGIN: Client "80.92.84.***"
Sat Dec 19 01:42:15 2009 [pid 1] [mysql] FAIL LOGIN: Client "80.92.84.***"


Sat Dec 26 05:53:05 2009 [pid 2] CONNECT: Client "80.92.84.***"
Sat Dec 26 05:53:05 2009 [pid 1] [ftp] OK LOGIN: Client "80.92.84.***", anon pas$

Het lijkt er op dat er vanaf het genoemde IP gepoogd is in te loggen met verschillende 'standaard' accounts; zowel de mysql user als de anonymous user.

Nu vroeg ik me af of je hier nu nog iets mee kan doen, zoals aangifte bij de politie of bij de internet provider van de aanvaller.

Overigens, ondanks dat de anonymous account niet uit staat, heeft de account verder geen rechten. In andere logfiles kwam dit ip adres niet voor.

[osmosis]

is bij iemand aan de deur kloppen verboden ?

ma uhm,. block gwoon de hele 80.92.84 ip range?

[LuckY]

LoL, als jij voor iedere foute aanlog poging een aangifte wilt doen... dan klaagt de politie jou aan voor lastig vallen.

Je moet zorgen dat je logging op orde is, en dat het goed beveilgd is. Er zijn veel botjes en wormen actief die SQL/ssh/rdp/vnc/ftp proberen te bruteforcen. Hier kan je weinig tegen doen behalve goede deny policy's ... updates... en security.

Kijk eens naar denyhost of fail2ban en neem eens een kijkje in [SEC] Hoe beveilig jij jouw server?

Wat je wel kan doen is de ip registar opzoeken en een mailtje sturen de eigenaar van het blok.
Deze staat op naam van Datacenter Luxembourg S.A. zie: http://whois.domaintools.com/80.92.84.1

[ Voor 16% gewijzigd door LuckY op 26-12-2009 19:16 ]

[moto-moi]

Ik zou er niet zo wakker van liggen, als ik ga greppen in de logfiles van een van onze servers, kom ik tot 18597 failed logins op ssh vanaf 20 december. Als ik daar allemaal ipbans op zou loslaten, wat uiteraard automatisch kan via fail2ban, ben ik volgens mij alleen maar m'n iptables aan het vullen, echt nut heeft het niet aangezien wij toch wat slimmer zijn dan het root account uit te rusten met een simpel wachtwoord.

Aangezien het voornamelijk om automatische aanvallen gaat, schiet je er ook niets mee op om dit aan de instanties te rapporteren, in 99% van de gevallen zal het om een ip gaan uit verweggistan, in handen van een botnet.

[gambieter]

Redhead1986 schreef op zaterdag 26 december 2009 @ 19:02:
Het lijkt er op dat er vanaf het genoemde IP gepoogd is in te loggen met verschillende 'standaard' accounts; zowel de mysql user als de anonymous user.

Nu vroeg ik me af of je hier nu nog iets mee kan doen, zoals aangifte bij de politie of bij de internet provider van de aanvaller.

Negeren, eventueel het IP automagisch op een zwarte lijst zetten. Verder niets.

[asing]

Ik zie ze ook zovaak voorbijkomen.... Om het op te lossen zou je poort 22 (SSH) dicht kunnen zetten voor al het verkeer vanaf internet, dan komen ze niet eens in de buurt.

Aan de andere kant zou ik dan root SSH access verbieden. Dat houdt in dat je met een standaard user account moet inloggen en vervolgens met SU naar root rechten gaat.

[Redhead1986]

@asing: het gaat niet om ssh logins maar ftp, mijn ssh draait niet op poort 22.

@rest: dank voor de reacties, ip blacklisten verder niets mee doen. Het was overigens een ip dat uit Luxemburg kwam. Ik denk ook niet dat het brute force was gezien het aantal pogingen laag en de tijd er tussen te groot is voor een geautomatiseerde aanval. Over het 'bij iemand aan de deur kloppen', theoretisch is ie ook binnen geweest, al was het een lege kamer waar hij binnen kwam.

[DrClaw]

wees niet al te blij;

ten eerste doen die botnets tegenwoordig distributed attacks, 2 of 3 attempts van computer #1, dan 2 vna computer #2, enzovoort. zo omzeilen ze tools zoals fail2ban.

ten tweede is het dus gelukt om in je 'lege kamer' te komen. dit is voor een bot het signaal om aan de controller aan te geven, dat ze in je ftp kunnen komen met het anon account. kweenie wat ze hier allemaal kunnen, maar google maar eens op vsftpd exploit ..

enne .. ook ftp servers kun je op een andere port dan 21 gooien.

[Verwijderd]

Ik zou me er vooral niet te druk om maken. Het enige dat ik zou doen is het aantal connecties van buitenaf enigzins limiteren zodat het vrijwel onmogelijk is dat je server er last van heeft.

[frickY]

Verstuur een mail aan de beheerder van het IP met je logfiles.
De meeste providers hebben hier prima procedures voor, alleen gebruikt vrijwel niemand ze (ook omdat het dweilen met de kraan open is).

Het lijkt vanuit een datacenter te komen. Waarschijnlijk een compromised server van een ander die nu als proxy wordt misbruikt. Wel zo prettig als de eigenaar hiervan op de hoogte kan worden gebracht.

[ Voor 53% gewijzigd door frickY op 26-12-2009 21:11 ]

[Verwijderd]

Waarom IP's blokken. Geef alleen toegang aan zei die dat verdienen en standaard geen toegang.