Portscans uit mijn netwerk:internet in 'beveiligde omgeving'

[leonardus]

Beste mensen,

Sinds een week wordt mijn internet verbinding door SOLCON in een beveiligde omgeving geplaatst. Reden?, doordat ze van een provider in de USA melding krijgen dat via een bepaalde poort in mijn netwerk scans worden uitgevoerd op hun systemen via (tot nu toe) 3 verschillende poorten (49658, 41364 en 39110) op mijn netwerk (FRITZbox 7360). Het lijkt er dus op dat ergens iets aanwezig is die dat veroorzaakt. Wat heb ik gedaan?. Zie hier de laatste melding die ik via Solcon serviceweb heb gedaan:

"Vannacht mijn internet weer (waarschijnlijk in een geautomatiseerd proces) in de beveiligde omgeving geplaatst wat. Gistermorgen weer een lang telefoongesprek gevoerd met de servicedesk. Alle instellingen weer nagelopen. Weer een 4-tal volledige scans over het hele netwerk uitgevoerd. (symantec endpoint/ ESET online, MWB, Adwarecleaner/ Defender) Netwerk bestaat uit: laptop met W10-pro(1909), 2 x iPhone + iPad(geen yailbrake!), NAS Synology 213,Foscam webcam (met nieuwste firmware)die bijna altijd uit staat behalve als we oppas zijn als een van onze kleinkinderen komt slapen. Verder nog een fritz slim stopcontact en een REMEHA thermostaat met de nieuwste firmware. Tevens heb ik een TV die aan het internet zit. Mijn hele netwerk heeft tot nu toe 3 x een volledige netwerkscan ondergaan zonder vervelende meldingen. Dit wordt erg vervelend en stoort mij mateloos. Wat ga ik er zelf aan doen?. Mijn NAS heb ik zojuist uitgezet, van de iPads maak ik vandaag geen gebruik. Chromecast heb ik uit de TV gehaald en netwerkkabel verwijderd. Dus alleen de laptop en de iPhone\'s maken vandaag gebruik van internet, verder geen ander apparaat. Ik wacht af"

Een van de meldingen uit de USA:

To Whom it May Concern,

You have a system on your network that is actively scanning and/or attacking external sites on the Internet. This can come from many sources and because it is often difficult to detect this activity, we are sending this E-mail in an attempt to help you solve the problem.

We have detected your system with an IP of, 213.233.237..., scanning a client we monitor. This was not a short attack but a prolonged scan and/or probe that was designed to find and intrude into the target network.

This may be someone on your network who is actively trying to hack others. This person may be a legitimate user on your network or it may be that this system has been compromised and is being used by someone to hack others. It is also likely that the system is running automated tools that have been installed to perform these actions without any human intervention.

Below is the information about the attack. Keep in mind that the source IP of our client has been sanitized for anonymity.

Date: 11/26/2019
Time: 16:43:05
Time Zone: America/Chicago
Source(s): 213.233.237.35
Type of Attack/Scan: Generic
Hosts: 10.10.10.26
Log:

213.233.237...:39110 > 10.10.10.26:80

Possible Cause:


Thank you for your attention to this matter,

Masergy
email: [e-mail]


Heeft iemand enig idee wat ik nog meer zou kunnen doen om de eventuele boosdoener te kunnen achterhalen? Dit stoort mij mateloos. Bedankt voor het meedenken alvast!!

[ Voor 27% gewijzigd door leonardus op 28-11-2019 08:36 ]

[DiedX]

Is dat elke nacht?

Ik zou als eerste op de synology zoeken. Daar was laatst malware. De laptop is ook verdacht.

Maar zonder kennis van zaken te hebben : als je een virusscanner draait op je laptop, dan kunnen wij niet veel meer dan meedenken.

Als het elke nacht is, dan zou ik einde werkdag bij de synology de netwerkkabel er uit trekken. De dag erop de laptop uitzetten. En daarna een sniffer tussen je router en je switch gaan zetten.

Succes!

[leonardus]

Tnks, NAS staat sinds een uurtje al uit. Ik wacht idd een nachtje af. Laat het hier weten

DiedX schreef op donderdag 28 november 2019 @ 09:24:
Is dat elke nacht?

Ik zou als eerste op de synology zoeken. Daar was laatst malware. De laptop is ook verdacht.

Maar zonder kennis van zaken te hebben : als je een virusscanner draait op je laptop, dan kunnen wij niet veel meer dan meedenken.

Als het elke nacht is, dan zou ik einde werkdag bij de synology de netwerkkabel er uit trekken. De dag erop de laptop uitzetten. En daarna een sniffer tussen je router en je switch gaan zetten.

Succes!

[Itrme]

Je kan natuurlijk ook (als de fritzbox dat niet al doet en het ondersteund) logging bij houden (Heb je allicht een SysLog servertje nodig, kan vrij makkelijk op een Raspberry Pi)
Mogelijk even internet op de apparaten uitschakelen (Internet op MAC adres blokkeren bijv. als dit kan op een fritzbox, geen idee eerlijke gezegd) Dit zou dan weer prima zichtbaar moeten zijn in de syslog volgens mij als ze toch iets proberen..
Misschien dat je dan gelijk meer wijs uit kan worden:
- Welke apparaat het is
- Wat het apparaat nog meer uitspookt (Andere IP's bestoken etc of contact met een C&C server in geval van bijv malware?)

Hebben ze ook het doel IP opgegeven? Want 10.10.10.26 lijkt met niet het publieke IP
Is de beveiliging van je fritzbox wel op orde? Bijv niet van buitenaf op in te loggen?

@DiedX Synology zou de eerste verdachte zijn, maar in principe kan het elke op internet aangesloten apparaat zijn. Ook de thermostaat bijv...

[ Voor 5% gewijzigd door Itrme op 28-11-2019 10:31 ]

[leonardus]

Weer een synology veiligheidsscan uitgevoerd en vond deze: /root/.cache/.kswapd to Quarantine failed (/root/.cache/.kswapd : Multios.Coinminer.Miner-6781728-2 FOUND). Kan inloggen met putty en naar de root gaan. De dir .cache is niet te benaderen. Hoe doe ik dat en hoe verwijder ik dat .kswapd script oid?. Vraag ook uit staan bij synology maar die reageren nog niet echt. Balen.

[ Voor 10% gewijzigd door leonardus op 29-11-2019 16:44 . Reden: aanvulling gegevens ]

[DataGhost]

Ik weet niet zeker hoe een Synology in elkaar zit en of dit bestand nou gewoon je swapfile is of daadwerkelijk een bestand is wat door niet door een niet-root-account aangemaakt kan worden, maar in any case zou ik gewoon je verlies nemen en die Synology leeggooien en opnieuw vers installeren. Zeker als de malware die erop staat root-rechten heeft gehad kan je lekker vergeten dat je dat 100% weg kan krijgen, als de maker ervan zijn huiswerk gedaan heeft.

[F_J_K]

offtopic:
Ik haal ' door provider SOLCON' uit de topictitel en vervang het door ': portscans uit mijn netwerk'. De provider is niet relevant, de reden van het in quarantaine zetten wel

leonardus schreef op donderdag 28 november 2019 @ 08:27:
Hosts: 10.10.10.26
Log:

213.233.237...:39110 > 10.10.10.26:80

Staat daar echt steeds 10.10.10.*? 10.*.*.* is een privé-adresruimte die helemaal niet is te benaderen vanaf internet. Is het wel serieuze mail? Check dat 10.* ook even bij je provider. (Die dat zouden moeten herkennen).

-
Als (!) de Synology is besmet dan is inderdaad leeggooien en vanaf nul installeren het beste, althans zeker zonder diepe kennis over het OS. Wel eerst een backup maken van belangrijke data, natuurlijk. (En die backup als besmet beschouwen, liefst een maandje op USB-schijven laten liggen en dan nog eens goed scannen als malwarescanners weer wat hebben bijgeleerd).

[leonardus]

Zal Solcon nog eens benaderen. Weet jij toevallig hoe ik in de .cache kan komen om .kswapd te verwijderen?

Check deze:
Weer een synology veiligheidsscan uitgevoerd en vond deze: /root/.cache/.kswapd to Quarantine failed (/root/.cache/.kswapd : Multios.Coinminer.Miner-6781728-2 FOUND). Kan inloggen met putty en naar de root gaan. De dir .cache is niet te benaderen. Hoe doe ik dat en hoe verwijder ik dat .kswapd script oid?. Vraag ook uit staan bij synology maar die reageren nog niet echt. Balen.

F_J_K schreef op vrijdag 29 november 2019 @ 17:40:

offtopic:
Ik haal ' door provider SOLCON' uit de topictitel en vervang het door ': portscans uit mijn netwerk'. De provider is niet relevant, de reden van het in quarantaine zetten wel

[...]


Staat daar echt steeds 10.10.10.*? 10.*.*.* is een privé-adresruimte die helemaal niet is te benaderen vanaf internet. Is het wel serieuze mail? Check dat 10.* ook even bij je provider. (Die dat zouden moeten herkennen).

-
Als (!) de Synology is besmet dan is inderdaad leeggooien en vanaf nul installeren het beste, althans zeker zonder diepe kennis over het OS. Wel eerst een backup maken van belangrijke data, natuurlijk. (En die backup als besmet beschouwen, liefst een maandje op USB-schijven laten liggen en dan nog eens goed scannen als malwarescanners weer wat hebben bijgeleerd).

[ Voor 1% gewijzigd door leonardus op 29-11-2019 17:54 . Reden: tekst veranderd ]

[michielRB]

Dit ga je waarschijnlijk niet met een antivirus vidnen. Je zal iets drastische moeten te werk gaan en bijvoorbeeld Wireshark een nachtje mee laten draaien zodat je van ieder device op je netwerk alle inkomende en uitgaande pakketjes logt.

[DataGhost]

leonardus schreef op vrijdag 29 november 2019 @ 17:49:
Weet jij toevallig hoe ik in de .cache kan komen om .kswapd te verwijderen?

Ik wil je nogmaals wijzen op mijn post. Als je zoiets simpels als dit zelf niet voor elkaar krijgt is de kans echt minder dan 0 dat je de rest van de zooi eruit verwijderd krijgt zonder cleane install, vanwege een gebrek aan kennis. Dat is niet erg, maar dat betekent wel dat je drastische maatregelen moet nemen. Als je die kennis wel ooit krijgt (of al zou hebben) kom je waarschijnlijk zelf al tot de conclusie dat een reinstall de beste optie is.

Bovendien hecht je veel teveel waarde aan een security-scan, die kan niet alles vinden. Als 'ie wat vindt, mooi, dan is het er ook, maar als 'ie iets niet vindt, wil dat niet zeggen dat het er niet is.

[leonardus]

Tnks voor je antwoord. Ik snap wat je bedoelt maar het enige nu is nog hoe ik dat bestand (root/.cache/.kswapd) via putty kan verwijderen.

DataGhost schreef op vrijdag 29 november 2019 @ 18:53:
[...]

Ik wil je nogmaals wijzen op mijn post. Als je zoiets simpels als dit zelf niet voor elkaar krijgt is de kans echt minder dan 0 dat je de rest van de zooi eruit verwijderd krijgt zonder cleane install, vanwege een gebrek aan kennis. Dat is niet erg, maar dat betekent wel dat je drastische maatregelen moet nemen. Als je die kennis wel ooit krijgt (of al zou hebben) kom je waarschijnlijk zelf al tot de conclusie dat een reinstall de beste optie is.

Bovendien hecht je veel teveel waarde aan een security-scan, die kan niet alles vinden. Als 'ie wat vindt, mooi, dan is het er ook, maar als 'ie iets niet vindt, wil dat niet zeggen dat het er niet is.

[DiedX]

Die cryptominer komt er niet zomaar op, dus hulde: we hebben wat gevonden

Alleen: het is een oud virus.

Mijn eerste stap (tenzij je Nas naar het internet moet verbinden) is om de default gateway te verwijderen van je Nas. Je kan dan wel van binnen er bij, maar hij kan het internet niet meer vinden.

Had je 'm aangesloten op internet via portforwarding oid? Want anders verdenk ik ook je laptop.

[DataGhost]

Je kan wel zeggen dat je snapt wat ik bedoel, maar de rest van je antwoord geeft aan dat je helemaal niet snapt wat ik bedoel, mijn reactie helemaal niet gelezen hebt, of het in ieder geval niet eens bent met wat er staat.

Dat bestand wordt niet uit zichzelf uitgevoerd, dus als dat bestand verwijderen, zoals jij zegt, echt het *enige* is wat nog moet gebeuren, hoef je dat niet weg te gooien omdat hij toch niet gestart wordt. Aangezien je probleem er nog is, is er dus iets anders verantwoordelijk voor het starten ervan. Je kan er donder op zeggen dat datzelfde ding dat bestand weer net zo hard terug kan zetten als dat jij het eraf gooit. Je malware-scanner heeft duidelijk niet gevonden waar dat dan gebeurt, dus het verwijderen van het bestand zelf is nutteloos en lost je probleem in ieder geval niet permanent op. Het is (misschien overdreven) als kijken naar jouw auto die total loss is, gesandwiched is tussen twee vrachtwagens, je wilt er weer mee rijden maar bent er heilig van overtuigd dat het alleen maar de lekke voorband is die ervoor zorgt dat dat niet kan.

Een miner op zich is trouwens niet direct een stuk software wat portscans uitvoert (kan wel natuurlijk), dus die zit waarschijnlijk ook nog verborgen.

Maar goed, we zijn Tweakers, dus je mag natuurlijk doen wat je wilt. Het is echt niet moeilijk om even te Googlen hoe je een bestand verwijdert van een Linux-machine (rm), en als je tegen problemen aanloopt de relevante stappen, resultaten en foutmeldingen te posten met concrete vragen erbij, wij hebben namelijk geen glazen bol die vertelt wat je precies goed of fout doet en waarom het wel of niet werkt. Je wilt je band vervangen maar het lukt niet, en je zegt er niet bij dat je nog niet hebt geprobeerd de bouten los te draaien bijvoorbeeld.
Het enige wat ik zeg is dat dat hoogstwaarschijnlijk niet de oplossing voor je probleem gaat zijn en dat je binnen enkele dagen waarschijnlijk weer van je internet afgesloten wordt.

[ Voor 5% gewijzigd door DataGhost op 29-11-2019 20:29 ]

[leonardus]

Laptop is uitgesloten. Ander devices op het netwerk ook. Het enige is nu nog om via putty (oid) het bestandje /root/.cache/.kswapd te verwijderen denk ik. Alleen weet ik niet hoe ik dat kan doen, ik kom niet in de .cache dir

DiedX schreef op vrijdag 29 november 2019 @ 20:21:
Die cryptominer komt er niet zomaar op, dus hulde: we hebben wat gevonden

Alleen: het is een oud virus.

Mijn eerste stap (tenzij je Nas naar het internet moet verbinden) is om de default gateway te verwijderen van je Nas. Je kan dan wel van binnen er bij, maar hij kan het internet niet meer vinden.

Had je 'm aangesloten op internet via portforwarding oid? Want anders verdenk ik ook je laptop.

[leonardus]

Tnks dat je de moeite hebt genomen op mijn vraag te antwoorden. Een klein beetje empathisch vermogen moet hier wel op zijn plaats zijn. Je kunt niet verwachten dat iedereen dezelfde kennis heeft als jezelf. Ik ga idd je tips uitvoeren. Nogmaals bedankt voor de moeite!

DataGhost schreef op vrijdag 29 november 2019 @ 20:26:
Je kan wel zeggen dat je snapt wat ik bedoel, maar de rest van je antwoord geeft aan dat je helemaal niet snapt wat ik bedoel, mijn reactie helemaal niet gelezen hebt, of het in ieder geval niet eens bent met wat er staat.

Dat bestand wordt niet uit zichzelf uitgevoerd, dus als dat bestand verwijderen, zoals jij zegt, echt het *enige* is wat nog moet gebeuren, hoef je dat niet weg te gooien omdat hij toch niet gestart wordt. Aangezien je probleem er nog is, is er dus iets anders verantwoordelijk voor het starten ervan. Je kan er donder op zeggen dat datzelfde ding dat bestand weer net zo hard terug kan zetten als dat jij het eraf gooit. Je malware-scanner heeft duidelijk niet gevonden waar dat dan gebeurt, dus het verwijderen van het bestand zelf is nutteloos en lost je probleem in ieder geval niet permanent op. Het is (misschien overdreven) als kijken naar jouw auto die total loss is, gesandwiched is tussen twee vrachtwagens, je wilt er weer mee rijden maar bent er heilig van overtuigd dat het alleen maar de lekke voorband is die ervoor zorgt dat dat niet kan.

Een miner op zich is trouwens niet direct een stuk software wat portscans uitvoert (kan wel natuurlijk), dus die zit waarschijnlijk ook nog verborgen.

Maar goed, we zijn Tweakers, dus je mag natuurlijk doen wat je wilt. Het is echt niet moeilijk om even te Googlen hoe je een bestand verwijdert van een Linux-machine (rm), en als je tegen problemen aanloopt de relevante stappen, resultaten en foutmeldingen te posten met concrete vragen erbij, wij hebben namelijk geen glazen bol die vertelt wat je precies goed of fout doet en waarom het wel of niet werkt. Je wilt je band vervangen maar het lukt niet, en je zegt er niet bij dat je nog niet hebt geprobeerd de bouten los te draaien bijvoorbeeld.
Het enige wat ik zeg is dat dat hoogstwaarschijnlijk niet de oplossing voor je probleem gaat zijn en dat je binnen enkele dagen waarschijnlijk weer van je internet afgesloten wordt.

[DiedX]

leonardus schreef op vrijdag 29 november 2019 @ 20:29:
Laptop is uitgesloten. Ander devices op het netwerk ook. Het enige is nu nog om via putty (oid) het bestandje /root/.cache/.kswapd te verwijderen denk ik. Alleen weet ik niet hoe ik dat kan doen, ik kom niet in de .cache dir


[...]

Kom je wel op de machine als root of andere admin-achtigen?

[F_J_K]

Uitgesloten is -met respect- onzin behalve als je in de top nulkommazoveel procent zit qua kennis. Hooguit minder waarschijnlijk. Ik zou nooit beweren zeker te weten dat mijn pc schoon is en ik laat alleen processen draaien die op een whitelist staan.

Verwijderen: rm als su. Maar dat gaat zoals gezegd het onderliggende probleem niet oplossen.

We menen serieus dat volkomen legen, na backup, verstandiger is. Althans als je zegt te weten dat het aan de NAS ligt.

[biomass]

Als je je NAS verdenkt, al geprobeert de Synology AV te installeren? Andere mogelijkheid is je NAS toegang ontzeggen tot het internet in de Fritz!BOX. Wellicht worden de port scans dan gelogd in je Fritz!Box. Goede kans dat je System Event log dan ook overstroomd raakt.

[leonardus]

Zeker, met putty kom ik in root

DiedX schreef op vrijdag 29 november 2019 @ 20:48:
[...]


Kom je wel op de machine als root of andere admin-achtigen?

[leonardus]

AV staat er op. Geeft aan dat: /root/.cache/.kswapd to Quarantine failed (/root/.cache/.kswapd : Multios.Coinminer.Miner-6781728-2 FOUND). Kan inloggen met putty en naar de root gaan. De dir .cache is niet te benaderen. Hoe doe ik dat en hoe verwijder ik dat .kswapd script oid?. Vraag ook uit staan bij synology maar die reageren nog niet echt. Balen.

biomass schreef op vrijdag 29 november 2019 @ 21:03:
Als je je NAS verdenkt, al geprobeert de Synology AV te installeren? Andere mogelijkheid is je NAS toegang ontzeggen tot het internet in de Fritz!BOX. Wellicht worden de port scans dan gelogd in je Fritz!Box. Goede kans dat je System Event log dan ook overstroomd raakt.

[DataGhost]

leonardus schreef op vrijdag 29 november 2019 @ 21:15:
Zeker, met putty kom ik in root

[...]

...... en wat lukt er dan *niet*? Wat doe je dan precies en wat voor foutmeldingen krijg je dan?

[leonardus]

Met putty kom ik tot de root dir. Ik kom niet in deze .cache dir om het bestand te verwijderen: root/.cache/.kswapd to Quarantine failed (/root/.cache/.kswapd : Multios.Coinminer.Miner-6781728-2 FOUND).

DataGhost schreef op vrijdag 29 november 2019 @ 21:18:
[...]

...... en wat lukt er dan *niet*? Wat doe je dan precies en wat voor foutmeldingen krijg je dan?

[DataGhost]

Ja, het is duidelijk dat je goed kan copy/pasten want dat is de zoveelste keer dat je dat zegt en de zoveelste keer dat ik het lees. Maar dat is niet iets concreets waar wij iets mee kunnen. Kan je je hele PuTTY-sessie kopiëren en hier plakken?

[leonardus]

Bedankt voor de energie die je tot nu toe hier in hebt gestoken. Zal morgen verder gaan!

DataGhost schreef op vrijdag 29 november 2019 @ 21:25:
Ja, het is duidelijk dat je goed kan copy/pasten want dat is de zoveelste keer dat je dat zegt en de zoveelste keer dat ik het lees. Maar dat is niet iets concreets waar wij iets mee kunnen. Kan je je hele PuTTY-sessie kopiëren en hier plakken?

[leonardus]

Hier toch nog een screendump van de putty sessie.

[DJMaze]

code:

ls -la /root
ls -la /root/.cache

[DataGhost]

Wat doet ls -la in die map? Overigens kan ik als root altijd bestanden verwijderen, ook al staat de map het niet toe. Het zal geen normaal bestand zijn.

[0xDEADBEEF]

DataGhost schreef op vrijdag 29 november 2019 @ 22:37:
Wat doet ls -la in die map? Overigens kan ik als root altijd bestanden verwijderen, ook al staat de map het niet toe. Het zal geen normaal bestand zijn.

De uitvoer van 'lsattr' is wat we willen zien in /root/.cache/ natuurlijk.

[F_J_K]

leonardus schreef op vrijdag 29 november 2019 @ 21:17:
AV staat er op. Geeft aan dat: /root/.cache/.kswapd to Quarantine failed (/root/.cache/.kswapd : Multios.Coinminer.Miner-6781728-2 FOUND). Kan inloggen met putty en naar de root gaan. De dir .cache is niet te benaderen. Hoe doe ik dat en hoe verwijder ik dat .kswapd script oid?. Vraag ook uit staan bij synology maar die reageren nog niet echt. Balen.

Die miner is een symptoom, niet het onderliggende probleem.

"Mijn auto geeft een olie-waarschuwing, hoe schakel ik het lichtje uit", zonder olie bij te vullen. "Er komt een boel geluid uit de brandmelder in mijn keuken, welk commando is nodig om dat stomme geluid weg te krijgen? Zonder water te halen". Dat is wat je nu probeert.

Stop. Daar. Mee.

[Will_M]

F_J_K schreef op vrijdag 29 november 2019 @ 23:49:
[...]

Die miner is een symptoom, niet het onderliggende probleem.

"Mijn auto geeft een olie-waarschuwing, hoe schakel ik het lichtje uit", zonder olie bij te vullen. "Er komt een boel geluid uit de brandmelder in mijn keuken, welk commando is nodig om dat stomme geluid weg te krijgen? Zonder water te halen". Dat is wat je nu probeert.

Stop. Daar. Mee.

Dat lichtje gaat vanzelf uit als je maar lang genoeg door blijft rijden zónder olie.... Motor stopt er vanzelf een keer mee met als gevolg dat 't lampje ook niet meer kan blijven branden doordat 't ding op den duur geen stroom meer krijgt. Problem Solved

[Itrme]

@leonardus even kort:
- Je hebt nog steeds niet uit kunnen sluiten welk apparaat de port scans uitvoert.
Ja er staat iets verdachts op je NAS maar als het daadwerkelijk alleen een Coinminer is, is het waarschijnlijk dat er nog iets is dat je niet gevonden hebt. (al dan niet op de laptop of NAS of ander apparaat).

Ik heb je ook nog niet gehoord over andere apparaten. O.a. je fritzbox!.
- Heb je hier een sterk wachtwoord op?
- Heb je de instellingen gecontroleerd? (Geen port forward regels, UPnP uit gezet, inloggen op afstand uit?)

En zoals meerdere mensen hier aangeven, als het je al niet lukt iets te verwijderen, installeer je NAS opnieuw.
Het is niet leuk, het is een gedoe, maar wel de meest effectieve manier om er zeker van te zijn dat hij schoon is. Bij een laptop/PC zou ik precies hetzelfde doen als deze vreemd gedrag gaat vertonen.

[leonardus]

Scans komen van de NAS. Heeft 24 uur uit gestaan en geen meldingen meer van gehad. Er stonden 3 bestanden op waarvan alleen de miner niet in quarantaine gezet kon worden.

Fritzbox: zeer sterk ww
Upnp: uit
Inlog op afstand: uit
Port foreward: alleen voor domoticz en vpn

NAS laat ik straks uit staan totdat ik respons krijg via de ticket van Synology. Via putty kan ik inmiddels in .cache maar krijg met rm het bestand /.kswapd niet weg. Rechten staan op: -rwxr-xr-x Als het te lang duurt voordat ik iets hoor zit er inderdaad niet anders op dan opnieuw beginnen.

Itrme schreef op zaterdag 30 november 2019 @ 10:44:
@leonardus even kort:
- Je hebt nog steeds niet uit kunnen sluiten welk apparaat de port scans uitvoert.
Ja er staat iets verdachts op je NAS maar als het daadwerkelijk alleen een Coinminer is, is het waarschijnlijk dat er nog iets is dat je niet gevonden hebt. (al dan niet op de laptop of NAS of ander apparaat).

Ik heb je ook nog niet gehoord over andere apparaten. O.a. je fritzbox!.
- Heb je hier een sterk wachtwoord op?
- Heb je de instellingen gecontroleerd? (Geen port forward regels, UPnP uit gezet, inloggen op afstand uit?)

En zoals meerdere mensen hier aangeven, als het je al niet lukt iets te verwijderen, installeer je NAS opnieuw.
Het is niet leuk, het is een gedoe, maar wel de meest effectieve manier om er zeker van te zijn dat hij schoon is. Bij een laptop/PC zou ik precies hetzelfde doen als deze vreemd gedrag gaat vertonen.

[ Voor 0% gewijzigd door leonardus op 30-11-2019 14:29 . Reden: tekst veranderd ]

[Itrme]

Is er een reden dat je een port forward voor domoticz hebt? Dit zou je alleen nodig hebben als je van buiten je thuisnetwerk bij de domoticz pagina wil komen.
Als je op je eigen netwerk zit (of via VPN) kan je de pagina gewoon bezoeken.

Rond April was er een beveiligingslek ( versie 4.10577) bij domoticz die in een latere versie gepatcht is. Dit lek kon misbruikt worden om code uit te voeren op de machine.... (zie bijv: https://www.domoticz.com/forum/viewtopic.php?t=28295 )

[leonardus]

F..., die poort (https) stond nog open voordat ik mijn vpn actief maakte. Gelijk verwijderd. Hier kon je wel eens goed gelijk in hebben als je het artikel leest!

Itrme schreef op zaterdag 30 november 2019 @ 14:59:
Is er een reden dat je een port forward voor domoticz hebt? Dit zou je alleen nodig hebben als je van buiten je thuisnetwerk bij de domoticz pagina wil komen.
Als je op je eigen netwerk zit (of via VPN) kan je de pagina gewoon bezoeken.

Rond April was er een beveiligingslek ( versie 4.10577) bij domoticz die in een latere versie gepatcht is. Dit lek kon misbruikt worden om code uit te voeren op de machine.... (zie bijv: https://www.domoticz.com/forum/viewtopic.php?t=28295 )

[0xDEADBEEF]

leonardus schreef op zaterdag 30 november 2019 @ 14:27:
Via putty kan ik inmiddels in .cache maar krijg met rm het bestand /.kswapd niet weg. Rechten staan op: -rwxr-xr-x Als het te lang duurt voordat ik iets hoor zit er inderdaad niet anders op dan opnieuw beginnen.

Je zou de uitvoer van lsattr nog posten.
0xDEADBEEF in "Portscans uit mijn netwerk:internet in 'beveiligde omgeving'"

Zodra je dat hebt, zal je de man(ual) page van 'chattr' moeten lezen.

[johnkeates]

Maak een backup van je NAS data en wis het hele apparaat via een recovery tool. Dat is de enige manier om in elk geval non-firmware-rooted malware te verwijderen. (met je huidige kennisniveau - maar dat klinkt zo lullig)

Verdere opties voor detectie zijn er niet in je netwerk om dat de hard- en software daar niet voor aanwezig is. Je zou een gateway moeten hebben met netwerklogging (op z'n minst flow logging maar liefst meer) om er achter te komen wat er op je netwerk naar buiten gaat). En dat is er op het moment gewoon niet. Je zou dan een PC met 2x Gigabit netwerkkaarten kunnen nemen, en dan OpnSense er op installeren en ntopng of samplicate met netflow gebruiken, maar ik denk niet dat je dat 1-2-3 uitgevogeld hebt.

Al gedacht over iemand anders op locatie je probleem laten screenen?

[ Voor 56% gewijzigd door johnkeates op 02-12-2019 01:32 ]

[leonardus]

Meuk is binnen gekomen zoals via een van de tips die ik heb gekregen. https://www.domoticz.com/forum/viewtopic.php?f=6&t=28329. Er zit dus niets anders op om overnieuw te beginnen zoals een aantal van jullie ook al hebben aangegeven. Synology heeft geantwoord op mijn ticket, zij zien ook geen kans om dat remote te verwijderen vreemd genoeg. Bedankt voor jullie meedenken!

Thank you for your coorperation,
The issue happens because of a known issue caused by the third-party package Domoticz which you have installed.
FYI: You can check out this Domoticz thread where they are discussing the virus: https://www.domoticz.com/forum/viewtopic.php?f=6&t=28329
Here are our suggestions:
1. Please reinstall DSM to resume back to a clean environment. Follow the steps in this tutorial to reset your NAS (Mode 2):
https://www.synology.com/..._reset_my_Synology_NAS#t3
2. Once DSM and packages are re-installed, restore your data and packages from the backup data.
3. Install a newer Domoticz version 4.10578 or later version if you wish to continue to use the package.
After the restoration is completed, we recommend you enhance DSM security by the following ways:
1. Enable Auto Block, Account Protection, and 2-Step Verification to avoid brute force attacks.
2. Scan DSM with Security Advisor to ensure there are no weak passwords; set up another user with administrator privilege and disable the default admin account.
3. Set up firewall rules to allow connections from trusted IPs. For example, if your SMB service is reachable from the Internet, we strongly urge you to set up firewall rules to secure your NAS.
4. Please delete any unknown tasks in the Task Scheduler.
5. For more tips, you may refer to this tutorial:
https://www.synology.com/...rity_to_your_Synology_NAS
If you have other concerns or suggestions, please feel free to contact us again.