dedicated server met abuse meldingen (ftp brute-force)

[Verwijderd]

Ik heb een eigen kleine dedicated server waarbij ik enige tijd Abuse meldingen krijg van verschillende partijen dat mijn server Brute-force ftp attacks uitvoert. Ik heb met processen, nethogs, netstat enz geprobeerd te kijken of ik er achter kan komen welke scripts er draaien.

Weet iemand hoe je hier het beste achter komt?

[Verwijderd]

Verwijderd schreef op maandag 24 maart 2014 @ 09:14:
Ik heb een eigen kleine dedicated server waarbij ik enige tijd Abuse meldingen krijg van verschillende partijen dat mijn server Brute-force ftp attacks uitvoert. Ik heb met processen, nethogs, netstat enz geprobeerd te kijken of ik er achter kan komen welke scripts er draaien.

Weet iemand hoe je hier het beste achter komt?

Welke scripts er draaien?
Wanneer iemand een brute-force FTP aanval uitvoert, zal diegene je root login proberen brute-forcen.
Is je root wachtwoord complex genoeg?

Ik ga er vanuit dat de aanval niet gelukt is?
Kijk in de logs of je kan achterhalen vanaf welk IP de "aanval" verstuurd wordt.

Als dit IP steeds hetzelfde is kan je dit gemakkelijk blokkeren in je firewall.
Alsook, welke partijen melden precies de aanval?

[Xatom]

Welk OS gebruik je op je server? Met Linux kan je netstat -anp gebruiken om alle poorten die in gebruik zijn te weergeven met daarbij een PID/naam van het proces.

[Verwijderd]

Verwijderd schreef op maandag 24 maart 2014 @ 09:22:
[...]


Welke scripts er draaien?
Wanneer iemand een brute-force FTP aanval uitvoert, zal diegene je root login proberen brute-forcen.
Is je root wachtwoord complex genoeg?

Ik ga er vanuit dat de aanval niet gelukt is?
Kijk in de logs of je kan achterhalen vanaf welk IP de "aanval" verstuurd wordt.

Als dit IP steeds hetzelfde is kan je dit gemakkelijk blokkeren in je firewall.
Alsook, welke partijen melden precies de aanval?

Ja password is erg complex en is pas nog gewijzigd.
Het is een script die gewoon ip reeksen scant.
Zodra die ergens een fail2ban krijgt ontvang ik een abuse melding.
steeds nieuwe ips dus.
Server is zit ook steeds tussen een 1.2 en 3.8 load. kortom hij is continue bezig.

[heuveltje]

Verwijderd schreef op maandag 24 maart 2014 @ 09:22:
[...]


Welke scripts er draaien?
Wanneer iemand een brute-force FTP aanval uitvoert, zal diegene je root login proberen brute-forcen.
Is je root wachtwoord complex genoeg?

Ik ga er vanuit dat de aanval niet gelukt is?
Kijk in de logs of je kan achterhalen vanaf welk IP de "aanval" verstuurd wordt.

Als dit IP steeds hetzelfde is kan je dit gemakkelijk blokkeren in je firewall.
Alsook, welke partijen melden precies de aanval?

jij of ik leest verkeerd. Zoals ik het lees is zijn server andere servers aan het brute forcen (en zelf is hij waarschijnlijk dus al gehacked) Tenzij je ip gespoofed word, dat kan ook nog.

Welk OS is dan wel weer heel handig om te weten. Maar het mantra is eigenlijk hetzelfde : als je gehacked bent, is een complete re-install het veiligst, je weet nooit welke backdoor ze geinstalleerd hebben.

[ Voor 3% gewijzigd door heuveltje op 24-03-2014 09:47 ]

[Orion84]

Dan zou ik zeggen: zo snel mogelijk die bak offline en opnieuw installeren.

[Verwijderd]

heuveltje schreef op maandag 24 maart 2014 @ 09:28:
[...]

Je leest verkeerd
Zijn server is andere aan het brute forcen (en waarschijnlijk dus al gehacked)
Tenzij je ip gespoofed word, dat kan ook nog.

Welk OS is dan wel weer heel handig om te weten. Maar het mantra is eigenlijk als je gehacked bent, is een complete re-install hetzelfde, je weet nooit welke backdoor ze geinstalleerd hebben/

Jep indeed!
Ik heb al 1 script weggehaald die ik vond in de root van een wordpress installatie

is Centos btw.

[Icekiller2k6]

Ah... een wordpress die gehackt is.. zijn het Webhosting pakketten die je verkoopt of?

[Verwijderd]

Nee. dit gaat om een eigen Prive test omgeving..

[Equator]

Dan zo snel mogelijk al je gaten patchen (updates van alles) of idealiter je systeem opnieuw inrichten. Dat laatste is het beste omdat je dan zeker weet dat alles weg is.

Maar het up2date houden van een WordPress omgeving is ook belangrijk dus

[Verwijderd]

Ja dat sowieso inderdaad. maar vermoed dat gezien het "Test" karakter verkeerde rechten het probleem zijn geweest.

Maar dan nog is er een ssh commando die precies laat zien welke php script er draaien, veel load hebben enz?

[ Voor 32% gewijzigd door Verwijderd op 24-03-2014 11:41 ]

[Orion84]

"ps aux" zou je een aardig beeld moeten geven van wat er draait.

[thunder7]

Het probleem is dat backdoors vaak trucs uithalen om zichzelf te verbergen. Alle hier genoemde commando's kunnen prima werken, maar kunnen ook aangepast zijn om de rootkit te verbergen. Die server is gewoon niet meer betrouwbaar, tenzij je er heel veel verstand van hebt. Herinstalleren is de enige optie, lijkt mij.

[Verwijderd]

ik zie overigens als ik ps aux doe 1000x dit

code:

32509 pts/0    S      0:00 /usr/sbin/sshdf
32523 pts/0    S      0:00 /usr/sbin/sshdf
32586 pts/0    S      0:00 /usr/sbin/sshdf
32632 pts/0    S      0:00 /usr/sbin/sshdf
32660 pts/0    S      0:00 /usr/sbin/sshdf
32764 pts/0    S      0:00 /usr/sbin/sshdf

Maar als ik zoek naar die file bestaat die niet?

[Rolfie]

Verwijderd schreef op maandag 24 maart 2014 @ 09:29:
[...]

Jep indeed!
Ik heb al 1 script weggehaald die ik vond in de root van een wordpress installatie

is Centos btw.

Server is dus gehacked. Offline halen en traceren waar het precies de hack mee gedaan is, en opnieuw installeren......