Raspberry Pi Hack of niet?

[Clifdon]

Gisteravond kreeg een huisgenoot van mij een vreemd fenomeen te zien. Tijdens het kijken van een film via zijn Raspberry Pi met Osmc leek het alsof iemand 'op de achtergrond' bezig was met code uitvoeren.

Beschrijving van wat er gebeurde:
'De film of osmc werd geminimaliseerd en het leek alsof iemand een kladblok programma gebruikte om iets te typen. In te kleine letters en dus niet te lezen vanaf filmkijkafstand. Daarna leek het alsof iemand via een command interface dingen typte en uitvoerde.'

De persoon in kwestie ging er van uit dat ik hem ssh aan het kullen was en heeft mij er dus gisteravond niet bij gehaald.

Mijn verhaal:
Weet iemand of iets dergelijks uberhaupt mogelijk is in OSMC en dus linux of dat deze persoon toch echt slaperig was en misschien wel deels iets gedroomd heeft.

Ik heb zelf via SSH een beetje rond gekeken wat logs bekeken en ik kan eigenlijk alleen maar iets vinden over een update die gister rond die tijd is gestart. Ik heb her en der wel wat kaas gegeten van SSH maar ben al zeker geen ster in wat linux(osmc) nou wel of niet logt.
Naar mijn weten heeft de osmc distro ook geen 'desktop' interface waar je een kladblok en een command interface kunt openen. Of zit ik daar mis?

Stel dat dit inderdaad gebeurd is dan vind ik dit behoorlijk eng. Als iemand controle heeft over een Raspberry pi binnen het netwerk lijkt het mij aannemelijk dat zij verder kunnen kruipen door het netwerk. Zelf heb ik totaal geen verstand van hacken of iets dergelijks dus ik weet ook niet in hoeverre ik daar bang voor moet zijn.

Wat kan ik eventueel doen om de beveiliging te vergroten? Heeft het vervangen van de kpn Experiabox zin? Het zint mij al niet dat ik in die Experiabox helemaal niets terug kan kijken van eventuele verbindingen die zijn gemaakt. Maar als het verder geen voordelen zou hebben vind ik het zonde om daar geld aan uit te geven.

[xleeuwx]

Clifdon schreef op dinsdag 31 mei 2016 @ 21:42:

Ik heb zelf via SSH een beetje rond gekeken wat logs bekeken en ik kan eigenlijk alleen maar iets vinden over een update die gister rond die tijd is gestart.

zou het kunnen dat er een update van een programma gestart is en deze de releasenote openden na het update ?

Clifdon schreef op dinsdag 31 mei 2016 @ 21:42:
Wat kan ik eventueel doen om de beveiliging te vergroten? Heeft het vervangen van de kpn Experiabox zin? Het zint mij al niet dat ik in die Experiabox helemaal niets terug kan kijken van eventuele verbindingen die zijn gemaakt. Maar als het verder geen voordelen zou hebben vind ik het zonde om daar geld aan uit te geven.

Nee dit heeft geen zin, in de logs van de PI zelf moet je kunnen zien wie er met SSH connectie heeft gemaakt hiervoor hoef je niet je Experiabox te vervangen

[ Voor 98% gewijzigd door xleeuwx op 31-05-2016 21:54 . Reden: quote + experiabox ]

[Breezers]

Waarom zou die experiabox dit soort logging moeten hebben ? Het is een consumenten product en geen uitgebreide professionele hardwarematige firewall oid.

Als jezelf handmatig een forwarding rule aanmaakt die SSH van buitenaf mogelijk maakt, dan had je van te voren ook direct de beveiliging en logging moeten inregelen, niet achteraf gaan kijken of er logs zijn en verbaast kijken dat er weinig is te achterhalen.

Bij twijfel een clean install doen op de Pi, geen root als gebruiker, geen SSH van buiten, extra logging aanzetten, fail2ban of SSL aanzetten etc

[Clifdon]

xleeuwx schreef op dinsdag 31 mei 2016 @ 21:50:
[...]


zou het kunnen dat er een update van een programma gestart is en deze de releasenote openden na het update ?

Daar lijkt het mij ook meer op. Natuurlijk is dat ook de hoop die ik had. Hij beweerde alleen iets in dat notepad gezien te hebben in de trant van 'I just hacked you'. Maar durfde dat ook niet met heel veel zekerheid te zeggen.

xleeuwx schreef op dinsdag 31 mei 2016 @ 21:50:
[...]
[...]

Nee dit heeft geen zin, in de logs van de PI zelf moet je kunnen zien wie er met SSH connectie heeft gemaakt hiervoor hoef je niet je Experiabox te vervangen

Ik heb meer tegen die Experiabox dan enkel die logs overigens. Het ging me er vooral om of een andere router bijvoorbeeld een beter firewall zou hebben. Of moet ik het hier gewoon totaal niet in zoeken? Er is namelijk wel te leven met die Experiabox aangezien elke andere router geld kost .

Breezers schreef op dinsdag 31 mei 2016 @ 22:02:
Waarom zou die experiabox dit soort logging moeten hebben ? Het is een consumenten product en geen uitgebreide professionele hardwarematige firewall oid.

Als jezelf handmatig een forwarding rule aanmaakt die SSH van buitenaf mogelijk maakt, dan had je van te voren ook direct de beveiliging en logging moeten inregelen, niet achteraf gaan kijken of er logs zijn en verbaast kijken dat er weinig is te achterhalen.

Bij twijfel een clean install doen op de Pi, geen root als gebruiker, geen SSH van buiten, extra logging aanzetten, fail2ban of SSL aanzetten etc

In principe staat er geen enkele SSH forwarding rule aan. Clean install op die Pi wacht ik nog even mee. Omdat ik misschien nog in een of ander log iets terug wil kunnen zien maar dat ga ik zeker doen.

Ik probeer er meer achter te komen of er uberhaupt iets gebeurd kan zijn. En hoe ik daar eventuele bewijzen van opspoor en hoe ik dat in de toekomst dan dus tegen kan gaan.


EDIT:
Man man man, niets aan de hand. Waarschijnlijk een samenval van omstandigheden geweest. Aan de ene kant die update van osmc en aan de andere kant blijkbaar een stukje dat in de video zelf zat. Iemand is leuk geweest en heeft daar een kladblokje in gemaakt met 'you got hacked'. Scheelt mij weer kopzorgen.

Bedankt voor de hulp!

[ Voor 40% gewijzigd door Clifdon op 31-05-2016 22:48 . Reden: Reden van het euvel toegevoegd. ]