Ziggo meldt poortscans, wat te doen?

[Deadly Knapsack]

Ik kreeg vlak na de kerst een brief in de bus van Ziggo, dat er poortscans gedetecteerd waren. Ik kon de momenten dat er blijkbaar iets niet pluis was zien via AbuseIPDB. In de brief stonden een aantal vriendelijke - doch eenvoudige en oppervlakkige - tips & tricks om potentiële malware op te sporen. Ik heb 15 tot 20 apparaten aan mijn netwerk hangen: Synology NAS, iPad, iMac, Macbook Pro, iPhone, Apple Watch, twee Raspberry Pi's (eentje met OSMC en eentje met Raspbian), Sony Bravia, Marantz Receiver, een ESP-8266 die ik zelf geprogrammeerd heb en een hele zwik smart schakelaars (allemaal geflashed met Tasmota). Daarbij draai ik een aantal Docker containers op mijn NAS: Sonarr, Radarr, NZBGet, Pi-hole, Home Assistant, Node-Red, ESP-Home en een MQTT broker. Alles is verbonden met een Netgear R7000 met het modem van Ziggo in bridge mode. Nog een actieve switch en that's it.

Op mijn NAS heb ik een virusscanner geïnstalleerd en gedraaid, die heeft niet gevonden. Op mijn Macbook Pro staat Avast en ook die zegt dat de laptop schoon is. De iMac heeft niet aangestaan in de periode dat AbuseIPDB aangeeft dat er activiteit was. Een iPad lijkt me niet snel de boosdoener.

De hamvraag is: wat kan ik doen om zelf eens goed te kijken welk apparaat nu dingen doet die ik niet wil? Ik zat zelf te denken om Wireshark tussen alle apparaten en de buitenverbinding op te zetten, maar het is al een tijdje geleden dat ik met Kali Linux heb gekloot.

Hoor graag advies hoe ik dit het beste aan kan vliegen, voordat ik afgesloten wordt.

[Mel33]

Malwarebytes of hitmanpro, zijn malware scanners, heb je die al geprobeerd?

Je kan ook alles uitzetten en kijken idd met wireshark per apparaat.
Op weke poorten zijn de abuse voorgevallen?

[Orion84]

Je zou kunnen kijken of je op die Netgear iets van logging aan kan zetten, zodat je kan zien welke connecties er allemaal gemaakt worden. Als je die logs naast de tijdstippen van AbuseIPDB legt, wordt er misschien meer duidelijk. Wellicht een overactieve torrentclient die gedrag vertoont dat door Ziggo opgevat wordt als portscan of zo?

[scenix_]

ik persoonlijk zou tijdelijk een Firewall tussen de modem en rest van het netwerk installeren. PFSense / Sophos Home op een PCtje. Is natuurlijk de vraag of je iets hebt staan om dat "even" te doen. Het is makkelijk dan met Kali te gaan zoeken!

[Deadly Knapsack]

Mel33 schreef op vrijdag 3 januari 2020 @ 16:51:
Malwarebytes of hitmanpro, zijn malware scanners, heb je die al geprobeerd?

Je kan ook alles uitzetten en kijken idd met wireshark per apparaat.
Op weke poorten zijn de abuse voorgevallen?

Ik meen me te herinneren dat Malwarebytes juist zelf malware bevatte. Was dat tijdje terug niet aangetoond?

Heb het nog niet geprobeerd. Scannen die alleen de host of ook netwerk apparaten?

Poorten die vermeld staan: 56654, 37960, 50278, 23, 51780, 42056, 53742, 40328, 40608, 47066, 50502, 44122, 39326, etc, etc. Allemaal super random voor mijn gevoel.

[Deadly Knapsack]

Orion84 schreef op vrijdag 3 januari 2020 @ 16:51:
Je zou kunnen kijken of je op die Netgear iets van logging aan kan zetten, zodat je kan zien welke connecties er allemaal gemaakt worden. Als je die logs naast de tijdstippen van AbuseIPDB legt, wordt er misschien meer duidelijk. Wellicht een overactieve torrentclient die gedrag vertoont dat door Ziggo opgevat wordt als portscan of zo?

Ja, ga ik even bekijken. Nu natuurlijk mosterd na de maaltijd, maar kan me niet voorstellen dat het een one-time freak occurence was. Het zijn 35 meldingen in 4 dagen tijd geweest. En dat zijn natuurlijk alleen de systemen die AbuseIPDB gebruiken. Potentieel is het veelvoud ervan.

[Deadly Knapsack]

scenix_ schreef op vrijdag 3 januari 2020 @ 16:55:
ik persoonlijk zou tijdelijk een Firewall tussen de modem en rest van het netwerk installeren. PFSense / Sophos Home op een PCtje. Is natuurlijk de vraag of je iets hebt staan om dat "even" te doen. Het is makkelijk dan met Kali te gaan zoeken!

Niet eenvoudig. Sowieso is het een beetje een Apple ecosysteem hier in huis. Mogelijk dat ik een stevige firewall op de Synology kan installeren.

[Orion84]

Deadly Knapsack schreef op vrijdag 3 januari 2020 @ 17:05:
[...]


Niet eenvoudig. Sowieso is het een beetje een Apple ecosysteem hier in huis. Mogelijk dat ik een stevige firewall op de Synology kan installeren.

Die synology staat alleen niet tussen je netwerk en de buitenwereld, dus tenzij dit verkeer van de synology zelf afkomt ziet die dat niet.

Ik zou echt even beginnen met kijken wat je R7000 hier voor je kan betekenen.

[Mel33]

Vraagje, waarom gebruik je telnet?, die poort 23 gebruikt, dat is wel verdacht. kan een trojan zijn

[Deadly Knapsack]

Mel33 schreef op vrijdag 3 januari 2020 @ 17:11:
Vraagje, waarom gebruik je telnet?, die poort 23 gebruikt, dat is wel verdacht. kan een trojan zijn

Ik zie nu dat dat een melding uit 2017 is op AbuseIPDB. My bad.

[Deadly Knapsack]

Orion84 schreef op vrijdag 3 januari 2020 @ 17:08:
[...]

Die synology staat alleen niet tussen je netwerk en de buitenwereld, dus tenzij dit verkeer van de synology zelf afkomt ziet die dat niet.

Ik zou echt even beginnen met kijken wat je R7000 hier voor je kan betekenen.

Ben ik aan het doen. Ik zie dat er logs bijgehouden worden, probeer nu te kijken hoe ver die terug gaan. Goeie tip, thanks!

[Deadly Knapsack]

Orion84 schreef op vrijdag 3 januari 2020 @ 17:08:
[...]

Die synology staat alleen niet tussen je netwerk en de buitenwereld, dus tenzij dit verkeer van de synology zelf afkomt ziet die dat niet.

Ik zou echt even beginnen met kijken wat je R7000 hier voor je kan betekenen.

Dat is ook suf, de logs die ik kan zien zijn alleen van vandaag. Lijkt wel alsof die dagelijks worden geschoond.

[Orion84]

Kijk even of je die logs op een of andere manier kan doorsturen (email / syslog forwarding of zo), zodat je logs over een langere tijd kan verzamelen de komende tijd en dan parallel ook AbuseIPDB even in de gaten houden voor nieuwe meldingen.

PS: je kan je vorige reactie ook aanpassen als je iets nieuws toe te voegen hebt in plaats van steeds drie keer achter elkaar te reageren

[Deadly Knapsack]

Orion84 schreef op vrijdag 3 januari 2020 @ 17:21:
Kijk even of je die logs op een of andere manier kan doorsturen (email / syslog forwarding of zo), zodat je logs over een langere tijd kan verzamelen de komende tijd en dan parallel ook AbuseIPDB even in de gaten houden voor nieuwe meldingen.

PS: je kan je vorige reactie ook aanpassen als je iets nieuws toe te voegen hebt in plaats van steeds drie keer achter elkaar te reageren

Heb ik nu aanstaan, dus inderdaad maar kwestie van in de gaten houden. Had het graag historie geanalyseerd. Ik zal voortaan m'n reacties wijzigen!

[Orion84]

Zoals besproken met @Deadly Knapsack per DM heb ik even met hem meegekeken naar de meldingen op AbuseIPDB. Blijkt dat het gaat om SSH brute force pogingen gedaan vanaf het adres van TS. De genoemde poort nummers zijn de source ports.

Waar een poortscan nog een false positive kan zijn, is dat met deze meldingen helaas niet erg aannemelijk. Dit wijst er toch wel op dat er een device in het netwerk van topicstarter zit / zat dat besmet is met malware en dit soort aanvallen uitvoert / uitvoerde.

Dat zou zijn router kunnen zijn (die zat niet op de laatste firmware), maar ook een ander device. @Deadly Knapsack is dat verder aan het uitzoeken.

Ik had dat in eerste instantie even via DM gedaan om TS te vragen zijn IP te delen om naar de betreffende AbuseIPDB meldingen te kijken. Maar nu kan dat natuurlijk hier verder besproken worden zodat er misschien nog meer tips gegeven kunnen worden en ook anderen hier wat aan hebben als ze een zelfde melding van Ziggo krijgen.

[ehvc]

Heb je devices in een DMZ of via Portforwarding van extern toegankelijk gemaakt of gehad?
wat is je actieve switch voor merk/type?

Ik zou alles via je switch laten lopen en er een span port op configureren als dat kan, en maar een tijdje meekijken met wireshark.

[Thralas]

ehvc schreef op maandag 6 januari 2020 @ 21:01:
Heb je devices in een DMZ of via Portforwarding van extern toegankelijk gemaakt of gehad?

Al dan niet vanzelf via upnp.

Dit soort botnets scannen het internet af om zich verder te verspreiden. Je moet het dus met name zoeken op een apparaat dat direct aan het internet hangt. Maak daar even een lijstje van @Deadly Knapsack.

Hoewel SSH scannen niet ongebruikelijk is, is dat een zeer goede aanwijzing als je toevallig óók iets met SSH aan het internet hebt hangen. Een Raspberry pi met default pi/raspberry user bijvoorbeeld.

Niet up-to-date Synologies zijn ook met regelmaat het haasje.

[CodeCaster]

Ik zou die Docker-containers meteen als verdacht zien. Kant-en-klare blackboxes die mensen zo in hun netwerk hangen. Natuurlijk, opensource en alles, maar er hoeft maar één rogue package gedownload te worden, en je hangt.

Begin dus even met de dockerfiles bekijken en controleer of die hun installaties van een legitieme bron halen?

[Mel33]

@Deadly Knapsack Al iets gevonden?