Windows 2003 webserver gehacked, maar hoe?

[Verwijderd]

Situatie:
We hadden een colocated webserver draaien onder NT4, maar dat werd een beetje onveilig, dus hebben we die afgelopen donderdag omgezet naar Windows 2003 Server, web edition (reinstall op een nieuwe schijf, geen upgrade).
Alle upgrades en security patches geinstalleerd, en 't ding draaide als een zonnetje.

1 Dag en 7 uur later was 'ie gehacked (vrijdag om 23:53 om precies te zijn). En dat is 'ie nu nog steeds, alleen kan ik niet vinden waar die etters zich verborgen hebben!

Symptomen:

* DameWare NT Utilities waren geinstalleerd (niet door ons!),

* Terwijl ik remote aan het meekijken was werden in de directory \Windows\System32\ias 3 bestanden verwijderd, waaronder pulist.exe, drvldr.dll en nog een exe waarvan ik zo snel de naam niet kon lezen,

* Steeds werd weer winlogon.dll in die ias directory gezet, totdat ik dat ding read only maakte,

* Een hoop traffic op poort 30, 31, 84 en 85, totdat ik die poorten had dichtgegooid.

Ik weet wel wat de oplossing is: neem een NetBSD server (geen optie i.v.m. de software die 'ie draait) of koop een firewall (Juniper Netscreen 5GT wordt deze week geplaatst), en ja, ik weet ook dat deze machine vanaf scratch opnieuw moet worden opgezet omdat je niet weet wat die punks hebben achtergelaten.

Maar wat ik graag wil weten: herkent iemand deze 'MO'? Ik had zelf 't idee dat er mensen achter zaten (er werd vrij traag gereageerd wanneer ik poorten dichtgooide), maar 't kan natuurlijk ook een worm zijn (Deloder.A? Win2003 had daar toch geen last van?).
Met een portsniffer heb ik een 4-tal IP-adressen kunnen achterhalen, waarvan 1 in Nederland, en we zijn van plan om hiermee naar politie en justitie te gaan.

Tenzij iemand me kan overtuigen dat 't een sullige worm attack was...

[Verwijderd]

Professional Networking & Servers -> Beveiliging & Virussen

Verwacht je nou echt dat men zich hier massaal komt melden omdat het veelplegers zijn

Sorry, maar ik snap niet echt wat je met dit topic wil bereiken. Het is duidelijk wat hier het gebrek is en zelf heb je dat inmiddels ook door.

[Verwijderd]

Tuurlijk weet ik wat het gebrek is (firewall), maar wanneer ik per ongeluk m'n voordeur niet dicht doe en m'n leren jas wordt gestolen, dan is degene die dat deed nog steeds gewoon een dief.
Same here, niemand heeft iets op die site te zoeken, ook al stond de deur (onbewust) op een kier.

[rvanlooijen]

Wat ik me afvraag, je wilt weten of het een worm kan zijn, maar in je hele verhaal kom ik niets over een virusscan tegen, draai dr eens iets overheen, a la Kaspersky oid.

[Verwijderd]

Verwijderd schreef op 14 juni 2004 @ 21:57:
Tuurlijk weet ik wat het gebrek is (firewall), maar wanneer ik per ongeluk m'n voordeur niet dicht doe en m'n leren jas wordt gestolen, dan is degene die dat deed nog steeds gewoon een dief.
Same here, niemand heeft iets op die site te zoeken, ook al stond de deur (onbewust) op een kier.

En Shit happens, blijkbaar vond iemand het nodig.

Maar hoe je er in hemelsnaam aan kan denken om als bedrijf een Windows-server zonder firewall in een colo op te hangen lijkt me op dit moment een belangrijkere vraag dan waarom iemand je server gehackt heeft.

[ Voor 43% gewijzigd door Verwijderd op 14-06-2004 22:01 ]

[Jordi]

Verwijderd schreef op 14 juni 2004 @ 21:57:
Tuurlijk weet ik wat het gebrek is (firewall), maar wanneer ik per ongeluk m'n voordeur niet dicht doe en m'n leren jas wordt gestolen, dan is degene die dat deed nog steeds gewoon een dief.
Same here, niemand heeft iets op die site te zoeken, ook al stond de deur (onbewust) op een kier.

Ben ik volkomen met je eens. Maar er is ook nog zoiets als "de goden verzoeken". Als jij op het station je fiets ongeslot laat staan, ben je dan werkelijk verbaasd wanneer je de volgende dag ziet dat hij er niet meer staat? Ja zeg, zo kan ondergetekende nog wel een tiental scenario's uit zijn duim zuigen!
Firewall het zaakje fatsoenlijk en laat eens een aantal scanners (rootkits/virustroep) over je machientje heen lopen. Firewall niet in de haak is vragen om inbraak!

[Verwijderd]

Caesartje, voordat ik begon om die etters eruit te trappen heb ik Smantec en TrendMicro gedraaid. Die vonden wel wat, maar alleen in de spam directory,

En JSS, ik ben 't helemaal eens met je vraag. Maar m'n baas is nu pas overtuigd van de noodzaak van een firewall, en tot die tijd (deze week, ik had 'm graag gisteren geleverd gezien) heb ik te zorgen dat de site online blijft (www, mail en ftp).

Waarom iemand die site gehackt heeft? Waarschijnlijk warez guys die de storage space en de bandruimte wel zagen zitten.

[Verwijderd]

Jotti schreef op 14 juni 2004 @ 22:07:
Ben ik volkomen met je eens. Maar er is ook nog zoiets als "de goden verzoeken".

We hadden net een nieuw "huis" gekocht (van NT4 naar Win2003 Server), en hadden nog niet door dat er een nieuw kopraampje openstond (port 445). En we waren druk met het inrichten, en ietsje minder druk met de beveiliging. Was leuk geweest als de huisbaas (MicroSoft) daar over had meegedacht...

[Verwijderd]

Verwijderd schreef op 14 juni 2004 @ 22:20:
[...]


We hadden net een nieuw "huis" gekocht (van NT4 naar Win2003 Server), en hadden nog niet door dat er een nieuw kopraampje openstond (port 445). En we waren druk met het inrichten, en ietsje minder druk met de beveiliging. Was leuk geweest als de huisbaas (MicroSoft) daar over had meegedacht...

Dus je gaat zonder dat je ergens verstand van (b)lijkt te hebben aan zoiets prutsen?
TCP 445 leaks zijn nou niet bepaald onbekend en daar had gewoon direct rekening mee moeten worden gehouden, het afschuiven op MS is dan ook not done.

Ik ga toch ook niet aan een auto sleutelen zonder me eerst in te lezen e.d.? En áls ik dan zou gaan rijden, zou ik dat eerst op een privéterrein gaan doen ipv. direct aan het openbaar verkeer deel te gaan nemen.
Om maar eens een(mank)vergelijk te maken.

[Verwijderd]

Verwijderd schreef op 14 juni 2004 @ 22:00:
En Shit happens, blijkbaar vond iemand het nodig.

Die had ik even gemist...
Blijkbaar vond iemand 't nodig, en die iemand wil ik graag aansprakelijk stellen voor het feit dat de mailserver er een paar uur heeft uitgelegen, dat de ftp-server nu nog steeds niet lekker werkt, en dat er op dit moment al een stuk of 20 manuren in zijn gaan zitten om de boel recht te breien.

Blijkbaar vond iemand het nodig???

[Jordi]

Blijkbaar ja. We kunnen door blijven gaan met analogiseren tot we er zo chagrijnig als een met azijn doordrenkte wesp van worden, het punt moge nu wel duidelijk zijn.
Ik snap dat het heel vervelend is.... maar verlaat die schijnwereld van onrecht en jouw goede bedoelingen nu toch eens een keer, ongelukkige! Op het internet kan je er niet van uit gaan dat men jouw machines uit goed fatsoen wel met rust laat!
Het in de schoenen van crackers schuiven gaat je niet helpen deze problematiek op te lossen. Ja het is vervelend. Nee het hoort niet. Ja het gebeurt. Helaas. Learn and live with it.

[Verwijderd]

Verwijderd schreef op 14 juni 2004 @ 22:27:
Dus je gaat zonder dat je ergens verstand van (b)lijkt te hebben aan zoiets prutsen?
TCP 445 leaks zijn nou niet bepaald onbekend en daar had gewoon direct rekening mee moeten worden gehouden, het afschuiven op MS is dan ook not done.

Mea culpa. Ik heb best wel wat ervaring met windows servers (ben 12 jaar systeembeheerder geweest), maar poort 445 vulnerabilities waren nieuw voor mij.

Ik schuif niks af op MS, maar had 't wel prettig gevonden dat bij een nieuwe install van Windows 2003 Server, Web Edition incl. alle patches en security updates die vulnerability goed afgeschermd zou zijn.

Maar deze discussie gaat de verkeerde kant op:
Het gaat er helemaal niet om dat ik misschien even niet helemaal slim was (poort 445 niet dichtgooien bv.), of dat een hardware firewall niet handiger was geweest.

Mijn vraag was of de 'mo' herkend werd door mede Tweakers, en of het lijkt op een worm, of dat 't handwerk was van een stel hackers.
Je mag me tot op het bot afbranden over het feit dat ik hier een fout gemaakt heb, maar daar gaat het nu even niet over.

[Verwijderd]

Jotti schreef op 14 juni 2004 @ 22:41:
maar verlaat die schijnwereld van onrecht en jouw goede bedoelingen nu toch eens een keer, ongelukkige!

Mag die op een tegeltje?

Jotti, volgens mij zouden we 't in de kroeg prima samen kunnen vinden...

[Verwijderd]

Mja als je naar worms gaat kijken..
Er is echt _ontzettend_ veel 445 geöriënteerd..

Post eens je HT log, misschien dat we daar wat mee kunnen.
Heb je die betreffende files toevallig nog? Heb je die al laten analyseren/scannen?
Zo ja, wat kwam daaruit?

[Jordi]

Verwijderd schreef op 14 juni 2004 @ 23:01:
Jotti, volgens mij zouden we 't in de kroeg prima samen kunnen vinden...

offtopic:
Ik denk het ook
Ben wel een kroegenmens dus..... kom maar hierheen

Maare. Ben benieuwd wat er nu allemaal mis is. Verdachte bestanden kunnen op de link in mijn sig gedropt worden.
[Bert Visscher mode] Vertel, vertel! [/]

[alt-92]

Verwijderd schreef op 14 juni 2004 @ 22:20:
. Was leuk geweest als de huisbaas (MicroSoft) daar over had meegedacht...

ROTFL

Die docs zijn er echt wel, je hebt ze alleen nooit gevonden.
Verbaast me wel een beetje van een bedrijf dat Windows Servers zo aan het internet hangt.

http://search.microsoft.c...rver+hardening&view=en-us
http://www.google.com/search?q=hardening+windows+webserver
http://www.nsa.gov/snac/d...is.cfm?MenuID=scg10.3.1.4

Poorten dichtflikkeren /geen services draaien die niet nodig zijn is zo ongeveer stap 1 bij elk OS.
ipsec filters bieden je in eerste instantie al bescherming.

http://www.analogx.com/contents/articles/ipsec.htm

Als je "gewoon" een server install hebt gedaan draait er nog genoeg om een beetje crafty gozer binnen de kortste keren toegang te geven (admin shares / Scheduled tasks) ook al heb je geen file + printersharing aangezet.
(oh ja: staat standaard aan ivm de mogelijkheid dat je 2003 Web Ed. ook nog wel eens in een intranet / domainmember situatie wil draaien.)

Die hardening guidelines + common sense v.1 zijn er niet voor niks.

[ Voor 41% gewijzigd door alt-92 op 15-06-2004 01:02 ]

[itsalex]

Jullie kunnen hem wel zeuren over de beveiliging van Microsoft en dat je het allemaal zelf moet doen, maar ik ga toch geen emmer op de markt verkopen die overal lek is? Ik heb hier zelf Windows 2003 Enterprise server en Webserver en voordat alles gepatched is en werkt nou dan is Linux toch even wat sneller.

Ik vind het wel interessant om te weten hoe en waar het is gebeurd. Ik had het vroeger al zelfs met een Firewall en F-Secure was mijn webserver W2K binnen 1 minuut al met een virus. F-Secure erachter aan maar die bleef erachter aan hobbelen. Virus ging van directory naar directory en steeds meer ellende. Ik had allerlei poorten gesloten maar steeds open toen heb ik de server in veilige modus opgestart en alles uitgezet en toen werkte het weer en ik moest gigantisch veel downloaden om het te laten werken en toen nog met een ISDN lijn.

[alt-92]

Mja.
als je netBT ergens nog aanstaat ben je zo het haasje.
En als je op een dialup line mét firewall + av nog de lul bent zou ik maar eens goed nadenken of ik wel de juiste middelen ingezet heb.....

[Verwijderd]

Tip: zoek eens op je hdd naar servudaemon.ini en, er is een dll die t inlogscherm bevat. Vrvang die ff door een originele. Er zijn nl versies met ingebouwde keylogger
En ziou je eens willen netstat'en en posten???

[ Voor 13% gewijzigd door Verwijderd op 15-06-2004 01:20 ]

[alt-92]

nog beter:

Maak een image van je running install voor forensics, haal die bak offline -> reinstall, en dit keer GOED beveiligen.

[Verwijderd]

BackSlash32 schreef op 15 juni 2004 @ 00:49:
[...]

ROTFL

Die docs zijn er echt wel, je hebt ze alleen nooit gevonden.

Voor Windows 2003 Server, Standard Edition en hoger. Voor Web Edition (die draaien we) is 't een stuk beperkter. Geen ICF bijvoorbeeld.
Nu hebben we een situatie (niet mijn keuze) dat aan de software kant bezuinigd is (Web Edition), en vervolgens wordt een Juniper Netscreen 5GT firewall bijgeplaatst om die boel weer dicht te gooien.

Niks mis mee, maar had misschien efficienter gekund...

[edit]
O ja, je link naar ipsec van AnalogX.
Ik vertrouw die jongen met m'n ogen dicht, en heb ontzettend veel respect voor z'n capaciteiten als programmeur (alles in ASM, en veel efficienter dan ik 't in Delphi of C# kan), maar z'n ipsec draaide helaas niet op onze server.
PortBlocker wel, en die draait nog steeds.

[ Voor 23% gewijzigd door Verwijderd op 16-06-2004 20:51 ]

[Verwijderd]

Jotti schreef op 15 juni 2004 @ 00:04:
Maare. Ben benieuwd wat er nu allemaal mis is. Verdachte bestanden kunnen op de link in mijn sig gedropt worden.
[Bert Visscher mode] Vertel, vertel!

[/quote]

Rootkit hack door FXP ettertjes via MSDE (de niet echt te beheren 'personal' versie van MSSQL) en Win2003 Server, Web Edition (de enige 2003 versie zonder firewall ).

Ik ben ze nu nog niet kwijt, en er zit nog steeds een PC uit de VS (via interland.net, een colo provider, dus waarschijnlijk ook gewoon een slachtoffer) driftig te proberen om bestanden aan te maken in read-only dirs, zonder al teveel succes.

Maar ik heb genoeg van deze ellende. Morgenochtend wordt de Juniper Netscreen 5GT firewall geleverd, en dan wordt die server helemaal opnieuw opgezet met 2003 Standard Edition en MSSQL 2000. Deze onzin heeft me nu al teveel tijd gekost.

Ik heb trouwens wel een aantal files die ze achter lieten veilig gesteld, en die zal ik je morgen wel even mailen.

[McMiGHtY]

Dit is typisch een voorbeeld van slecht beheer, en vragen om gehacked te worden. De schuld afschuiven op MS is dom. Je bent en blijft tenslotte zelf verantwoordelijk voor je machine. Als je de kennis niet hebt en de verantwoordelijkheid niet wil of kan nemen, dan moet je dit door iemand anders laten doen.

[alt-92]

Verwijderd schreef op 16 juni 2004 @ 20:45:
Voor Windows 2003 Server, Standard Edition en hoger. Voor Web Edition (die draaien we) is 't een stuk beperkter. Geen ICF bijvoorbeeld.

Maar wel TCP/IP filtering.
Basic, simpel en efficient. Poorten die je niet expliciet open hebt gezet, staan gewoon niet open. period.
Overbodige services uitzetten (NSA security guides zijn dan erg nuttig).

[edit]
O ja, je link naar ipsec van AnalogX.
Ik vertrouw die jongen met m'n ogen dicht, en heb ontzettend veel respect voor z'n capaciteiten als programmeur (alles in ASM, en veel efficienter dan ik 't in Delphi of C# kan), maar z'n ipsec draaide helaas niet op onze server.

Wat let je om die regels zelf in te kloppen NAAST tcp/ip filtering?
Of moet je db ook vanaf andere hosts benaderd worden?
(kun je die ruleset ook voor maken met ipsec trouwens )

[ Voor 9% gewijzigd door alt-92 op 17-06-2004 00:22 ]