Hacked - Proxysrv - Hoe?

[Chris-1992]

Goedemiddag Tweakers,

Ik ben thuis wat aan het prullen geweest met een webserver.
Zal kort de opstelling schetsen:

Proximus routerke:
Port 443, 80 & 21 open naar een proxy/webserver. (IP: 192.168.1.100)
poort 10000+ open voor RDP naar remote computer (IP: 192.168.1.101)
Voor de rest staat er niks open naar binnen toe.

FTP/proxy: 192.168.1.100
Remote: 192.168.1.101
Website 1: 192.168.1.102
Website 2: 192.168.1.103


Rechtstreeks RDP naar de websrv kan niet
proxy (192.168.1.100) stuurt de 2 http/https aanvragen door naar 2 andere srv's (102 & 103) en verwerkt zelf de FTP op p21.

Dit is zeker niet best practice, hier ben ik van op de hoogte.
staat ook geen data op dat niet verspreid of verloren mocht gaan.

Nu vanmiddag werkte plots niets meer en kon ik niet meer inloggen op de websrv.
in safemode en local admin kon ik binnen geraken en zag het typische beeld "ENCRYPTED, BITCOIN,...'
Alles was encrypted, niet enkel data van de FTP ofzo maar tot randje toe dat ik nog net kon inloggen om de hack te zien.

Nu is mijn vraag, hoe hebben ze de volledige srv kunnen hacken?
Waar enkel port 21, 80 & 443 openstond.
En remote (intern)
(de remote PC is niks mee gebeurd of de andere websrv's)

Groetjes,

-edit-

dank aan @johnkeates

code:

+-------------------------------------------+
| +-----------+        +-------------+      |
| | web proxy +-------->   webserver1|      |
| | & ftp     +-----+  |             |      |
| +-----------+     |  +-------------+      |
| +-----------+     |   +------------+      |
| | rdp       |     +--->webserver2  |      |
| |           |         |            |      |
| +-----------+         +------------+      |
|                                           |
|  +---------------------------------+      |
|  |                                 |      |
|  |     andere vms                  |      |
|  |                                 |      |
|  |                                 |      |
|  |                                 |      |
|  |                                 |      |
|  +---------------------------------+      |
|    hypervisor                             |
+-------------------------------------------+

Web proxy & ftp: windows 2008R2
RDp: Windows 10
WEB 1 Ubuntu 18.04
WEB 2 Windows 2008R2

[ Voor 30% gewijzigd door Chris-1992 op 03-01-2019 19:17 ]

[RGAT]

Via FTP scripts uploaden en die dan aanroepen op HTTP(s) om zo binnen te komen lijkt me...
Sowieso maar gelijk RDP dicht zetten, dat hoor je nooit over het internet open te gooien.
Je kan iig kijken of je nog wat logjes kan verzamelen om uit te zoeken of je daarin kan vinden dat iemand mogelijk zooi via FTP naar je stuurt of rare URLs op de webserver aanvraagt...

[Chris-1992]

RGAT schreef op donderdag 3 januari 2019 @ 18:49:
Via FTP scripts uploaden en die dan aanroepen op HTTP(s) om zo binnen te komen lijkt me...
Sowieso maar gelijk RDP dicht zetten, dat hoor je nooit over het internet open te gooien.
Je kan iig kijken of je nog wat logjes kan verzamelen om uit te zoeken of je daarin kan vinden dat iemand mogelijk zooi via FTP naar je stuurt of rare URLs op de webserver aanvraagt...

FTP
Website 1
Website 2

Zijn 3 apparte website's en directory's.
Als hij upload via FTP zou hij toch niet via HTTPS aan die files moeten kunnen?


Log's van IIS zijn encrypted en in eventviewer kan ik niks abnormaal terug vinden.
En om files in de inetpub te bewerken moet er al ingelogd zijn geweest met een admin acc?

[ Voor 5% gewijzigd door Chris-1992 op 03-01-2019 18:57 ]

[RGAT]

In principe niet, mogelijk een brakke website die je erop had staan, ergens een script oid waarmee e.a. kon worden uitgevoerd?
Zo zonder enige logs en zonder exacte configuratie is het maar gokken

[johnkeates]

Brakke configuratie, niet gepatcht, windows gebruikt als server OS en rechtstreeks aan internet gehangen, allemaal tegelijk mogelijk of in verschillende combinaties. Je kan helaas niet je setup zoals je hem nu hebt zo configureren dat je dit voorkomt. Er zijn talloze manieren om bij exposed IIS en RDP remote code execution te krijgen, en dat gebeurt dan ook gewoon vol automatisch.

[ Voor 39% gewijzigd door johnkeates op 03-01-2019 19:03 ]

[Chris-1992]

RGAT schreef op donderdag 3 januari 2019 @ 18:59:
In principe niet, mogelijk een brakke website die je erop had staan, ergens een script oid waarmee e.a. kon worden uitgevoerd?
Zo zonder enige logs en zonder exacte configuratie is het maar gokken

Enkel FTP draaide op de web/proxyserver.
De andere 2 websites werder door gestuurd naar andere srv's.
Nextcloud en PRTG monitoring

@johnkeates ja Windows 2008r2
Wel gepatcht
Slechte configuratie kan indd

[ Voor 8% gewijzigd door Chris-1992 op 03-01-2019 19:04 ]

[johnkeates]

Het is trouwens ook goed mogelijk dat de ransomware helemaal niet via je web setup binnen kwam, zou ook prima lokaal kunnen zijn. Dus een normale desktop exploit.

[Chris-1992]

johnkeates schreef op donderdag 3 januari 2019 @ 19:04:
Het is trouwens ook goed mogelijk dat de ransomware helemaal niet via je web setup binnen kwam, zou ook prima lokaal kunnen zijn. Dus een normale desktop exploit.

Ik heb verschillende VM's lopen en 2 ervan hangen rechtstreeks aan het internet.
1 websrv (hacked)
1 rdp (in orde)

stuk of 5 andere is ook niks mis mee.


Daarmee deed het me vermoeden dat het via 21, 80 of 443 binnen was gekomen.

[johnkeates]

Dit dus?

code:

+-------------------------------------------+
| +-----------+        +-------------+      |
| | web proxy +-------->   webserver1|      |
| | & ftp     +-----+  |             |      |
| +-----------+     |  +-------------+      |
| +-----------+     |   +------------+      |
| | rdp       |     +--->webserver2  |      |
| |           |         |            |      |
| +-----------+         +------------+      |
|                                           |
|  +---------------------------------+      |
|  |                                 |      |
|  |     andere vms                  |      |
|  |                                 |      |
|  |                                 |      |
|  |                                 |      |
|  |                                 |      |
|  +---------------------------------+      |
|    hypervisor                             |
+-------------------------------------------+

En je web proxy met ftp server is de ransomware'd server?

[Chris-1992]

@johnkeates Klopt helemaal!
Mooi getekend (Die zet ik even in mijn start)

Web proxy & ftp (windows 2008 R2)
rdp (win 10)
web 1 (Linux ubuntu 1804
Web 2 (Windows 2008R2

[johnkeates]

Alright. Dan kan nog steeds van alles zijn, maar laten we aannemen 2008r2 en IIS 7 of 7.5. Dan zit je met zo'n 107 exploits die actief misbruikt worden en pas in server 2012 in rollups meegenomen worden. In jouw geval (2008r2) is geen zichtbare updates geen garantie dat je ze daadwerkelijk allemaal hebt.

Een rechtstreekse RCE (remote code execution) bestaat in diverse soorten en smaken in IIS, IIS FTP en stand-alone MS FTP, dus stel dat je daar een patch mist ben je de sjaak. Er zijn ook combinaties. Bijv. anonymous FTP uploads in combinatie met een embedded scripting engine exploit zoals https://www.exploit-db.com/exploits/40721 die je na de upload in IIS kan misbruiken. Een verkeerd geconfigureerde proxy is helemaal mooi, om dat je IIS dan gewoon ergens bij en random source server de exploit laat downloaden en intern laat uitvoeren. Dat is over het algemeen wat je krijgt als je een open proxy hebt (dus eentje die bij een Host header of proxy header naar wat anders wijst).

Om meer te kunnen doen moeten we eigenlijk de complete configuratie van die vm hebben, de policies, iis, evt. plugins en third party software in de ketting enz.

[ Voor 7% gewijzigd door johnkeates op 03-01-2019 19:18 ]

[Chris-1992]

@johnkeates
Dan gaat het aan de proxy liggen..
FTP staat al 5maand open zonder problemen.

Proxy gebruik ik nu 3 dagen denk ik en ik ben al gekl**t.

Nu weet ik waar ik me komende dagen mee kan bezighouden
"Hoe veilig een proxy opzetten"

Bedankt!

[RGAT]

Windows 2008 R2 met IIS als reverse proxy? Ik heb een redelijke Windows Server voorkeur maar heb nog niet eerder gezien dat IIS boven Nginx oid verkozen werd als reverse proxy

Overigens een keer gehad met een Rust server (game), klein jaar lang geen probleem en dan ineens in drie dagen 360.000 IP's die verbinding zoeken met de server... Toen was het wel klaar (overigens ook belachelijk slechte mod support dus geen verlies om die server eruit te gooien )
Dat het goed gaat betekent niet dat het veilig is, aannemelijk dat het in de proxy mis ging als je die net 3 dagen ervoor installeerde, maar het kan net zo goed nog de FTP zijn geweest, of een ander lek...
Bij je proxyserver 2.0 dus IIS aan de kant gooien (IIS is leuk voor OWA, voor de rest heb je Linux) en de logjes maar direct via syslog oid naar een VM waar je daadwerkelijk backups van maakt zodat je de volgende keer kan zien waar het mis ging.
Zie hier ongeveer 50-100 scans per dag (vooral shadowserver... die grapjassen spammen de hele boel vol), varieert een beetje hoeveel ervan minder 'nobele' bedoelingen hebben... Worden er alleen maar meer zodra ze erachter zijn dat er iets te scannen valt...

[ Voor 76% gewijzigd door RGAT op 03-01-2019 19:34 ]

[johnkeates]

Chris-1992 schreef op donderdag 3 januari 2019 @ 19:21:
@johnkeates
Dan gaat het aan de proxy liggen..
FTP staat al 5maand open zonder problemen.

Proxy gebruik ik nu 3 dagen denk ik en ik ben al gekl**t.

Nu weet ik waar ik me komende dagen mee kan bezighouden
"Hoe veilig een proxy opzetten"

Bedankt!

Kan inderdaad de proxy zijn, maar ook nog steeds FTP he; het komt er op neer dat je zonder 'bewijs' (logs enz) weinig zekerheid hebt. Een service kan zo lek als een mandje zijn, maar pas na een jaar gescand en gekraakt worden.

[Chris-1992]

RGAT schreef op donderdag 3 januari 2019 @ 19:23:
Windows 2008 R2 met IIS als reverse proxy? Ik heb een redelijke Windows Server voorkeur maar heb nog niet eerder gezien dat IIS boven Nginx oid verkozen werd als reverse proxy

@RGAT
Ik heb zelf nog geen proxy geconfigureerd.
IIS stond op en het was makkelijker om deze als proxy te gebruiken dan nginx te installeren.
Achteraf gezien dan toch niet de beste oplossing.

Achja, ideale moment om de NGINX eens op te zetten!
kijken hoelang deze gaat meegaan

@johnkeates
Klopt, maar heb het gevoel dat ze toch regelmatig langskomen met zo een scan.
Zoals brut force op rdp
En omdat ik deze keer niks in de eventviewer kan zien en het 2 dagen na opzetten proxy gebeurd is vermoed ik dat het via de proxy is binnegekomen

[ Voor 6% gewijzigd door Chris-1992 op 03-01-2019 19:42 ]

[Chris-1992]

@RGAT
@johnkeates

Zo was de IIS geconfigureerd
Webserver [IIS] - DNS - Ubuntu 18.04 [Apache2] - Reverse Pro

Bedankt voor jullie posts!
IPV commentaar te geven hoe idioot mijn opstelling is heb ik nuttige info gekregen waar ik mee verder kan daarvoor bedankt!

Groetjes,

[Oogje]

Als je toch lekker bezig bent de 2008r2 machines vervangen door 2016? Daar draait IIS ook prima op en qua security is dat wel een stap vooruit.

[johnkeates]

Met nginx of HAProxy gaat het waarschijnlijk een stuk beter ;-) En altijd leuk iets nieuws te leren lijkt me. Kan je wel aanraden dat op Linux of BSD te doen en niet op Windows.

[Chris-1992]

@Oogje
Ik krijg morgen mijn nieuwe server voor mijn homelab te starten dan zullen deze indd omgaan naar 2016
Eigenlijk geen idee waarom ik 2008 heb gebruikt

@johnkeates
Zeker weten!
Dit weekend zal de nginx draaien