ARP-Spoofing

M

Masta_O

Registered User
Hallo!
Irgendwann musste es ja auch Mal kommen, nach gut 5 Jahren Erfahrungen mit diversen Rootservern soll mein Rooti durch ARP-Spoofing betroffen sein.

Für mich stellt sich jetzt die Frage wie man am geschicktesten vorgeht.

Der Server steht bei S4Y, meine Planugen wären jetzt:

- Rescue Mode -> Logs sichern und anschauen (vielleicht findet man da ja einen Hinweis über das WIE)
- relevanten Daten sichern: Emails, Datenbank, Verzeichnisse.

- Server neu aufsetzen und Daten zurück spielen.

S4Y bietet ja anscheinend NUR einen 2 GB Backupspeicher an, auch gegen mehr Geld gibt es nicht mehr?!?

Bin ich recht in der Annahme dass das ARP-Spoofing direkt weitergehen sollte, sofern man den Server "einfach so" hochfährt?

S4Y bietet ja die Möglichkeit 4 Tage lang kostenlos einen V-Server zu testen. Könnte ich nicht vom Prinzip den kostenlosen Server solange als BackupSpace nutzen?

Danke für eure Anregungen!
 
Was genau ist das Problem? Sendet dein Server gefälscht ARP Pakete aus? Oder hat deine dritte Partei mittels ARP Spoofing den Datentransfer zu deinem Server maipuliert und dir so auf irgend eine weise Schadsoftware aufgespielt?

Gib mal bitte mehr Details raus.
 
Hallo!
Ich habe nur die Details die mir der S4Y Support bisher gegeben hat, da mein Server noch nicht im Rescue wieder erreichbar ist.
In Ihrem Fall wurde von Ihrem Server aus ein ARP-Spoofing durchgeführt. Anbei erhalten Sie den Log-Auszug:

Potential ARP-Spoofer: 0:13:d3:a3:c2:8f Array (
[count] => 131
[ip] => Array
(
[0] => 80.86.82.1
[1] => 80.86.82.5
[2] => 80.86.82.7
[3] => 80.86.82.13
[4] => 80.86.82.14
[5] => 80.86.82.16
[6] => 80.86.82.17
[7] => 80.86.82.22
[8] => 80.86.82.25
[9] => 80.86.82.27
[10] => 80.86.82.32
[11] => 80.86.82.38
[12] => 80.86.82.41
[13] => 80.86.82.46
[14] => 80.86.82.49
[15] => 80.86.82.50
[16] => 80.86.82.52
[17] => 80.86.82.54
[18] => 80.86.82.55
[19] => 80.86.82.56
[20] => 80.86.82.57
[21] => 80.86.82.58
[22] => 80.86.82.64
[23] => 80.86.82.66
[24] => 80.86.82.67
[25] => 80.86.82.70
[26] => 80.86.82.71
[27] => 80.86.82.74
[28] => 80.86.82.76
[29] => 80.86.82.77
[30] => 80.86.82.78
[31] => 80.86.82.79
[32] => 80.86.82.80
[33] => 80.86.82.81
[34] => 80.86.82.82
[35] => 80.86.82.85
[36] => 80.86.82.87
[37] => 80.86.82.88
[38] => 80.86.82.89
[39] => 80.86.82.90
[40] => 80.86.82.97
[41] => 80.86.82.102
[42] => 80.86.82.103
[43] => 80.86.82.104
[44] => 80.86.82.105
[45] => 80.86.82.110
[46] => 80.86.82.112
[47] => 80.86.82.117
[48] => 80.86.82.120
[49] => 80.86.82.121
[50] => 80.86.82.122
[51] => 80.86.82.124
[52] => 80.86.82.128
[53] => 80.86.82.130
[54] => 80.86.82.135
[55] => 80.86.82.137
[56] => 80.86.82.139
[57] => 80.86.82.143
[58] => 80.86.82.146
[59] => 80.86.82.147
[60] => 80.86.82.151
[61] => 80.86.82.152
[62] => 80.86.82.154
[63] => 80.86.82.156
[64] => 80.86.82.158
[65] => 80.86.82.159
[66] => 80.86.82.160
[67] => 80.86.82.161
[68] => 80.86.82.162
[69] => 80.86.82.164
[70] => 80.86.82.166
[71] => 80.86.82.167
[72] => 80.86.82.169
[73] => 80.86.82.170
[74] => 80.86.82.173
[75] => 80.86.82.174
[76] => 80.86.82.175
[77] => 80.86.82.176
[78] => 80.86.82.177
[79] => 80.86.82.178
[80] => 80.86.82.179
[81] => 80.86.82.180
[82] => 80.86.82.181
[83] => 80.86.82.183
[84] => 80.86.82.184
[85] => 80.86.82.189
[86] => 80.86.82.190
[87] => 80.86.82.195
[88] => 80.86.82.196
[89] => 80.86.82.197
[90] => 80.86.82.198
[91] => 80.86.82.199
[92] => 80.86.82.200
[93] => 80.86.82.201
[94] => 80.86.82.202
[95] => 80.86.82.203
[96] => 80.86.82.204
[97] => 80.86.82.206
[98] => 80.86.82.207
[99] => 80.86.82.211
[100] => 80.86.82.213
[101] => 80.86.82.214
[102] => 80.86.82.215
[103] => 80.86.82.216
[104] => 80.86.82.218
[105] => 80.86.82.219
[106] => 80.86.82.220
[107] => 80.86.82.221
[108] => 80.86.82.222
[109] => 80.86.82.223
[110] => 80.86.82.224
[111] => 80.86.82.225
[112] => 80.86.82.229
[113] => 80.86.82.231
[114] => 80.86.82.233
[115] => 80.86.82.234
[116] => 80.86.82.235
[117] => 80.86.82.236
[118] => 80.86.82.237
[119] => 80.86.82.238
[120] => 80.86.82.239
[121] => 80.86.82.241
[122] => 80.86.82.242
[123] => 80.86.82.244
[124] => 80.86.82.245
[125] => 80.86.82.246
[126] => 80.86.82.248
[127] => 80.86.82.249
[128] => 80.86.82.250
[129] => 80.86.82.252
[130] => 80.86.87.54
)
)
Click to expand...

Das wäre der entsprechende Auszug aus der Email...
 
Also geht das Spoofing wohl von deinem Server aus. Am besten erstmal die Daten sichern und anschließend eine forensische Analyse durchführen, um herauszufinden, warum deine Kiste gefälschte ARPs losschickt. Evtl. ist jemand bei dir eingestiegen.
Wenn du den Grund gefunden hast, dann das Problem beseitigen und sicherstellen dass dies in Zukunft nicht mehr möglich ist.
Falls tatsächlich jemand in dein System eingestiegen ist, solltest du auf jeden Fall neu installieren. Wer weiß was noch alles mit deinem System angestellt wurde.

Aber ohne den Grund zu kennen einfach so neu installieren könnte sich als fatal erweisen, wenn die vorhandene Sicherheitslücke bei dir nicht geschlossen wurde. In diesem Fall steigt der Angreifer einfach erneut ein.
 
Spin-Doc said:
Aber ohne den Grund zu kennen einfach so neu installieren könnte sich als fatal erweisen, wenn die vorhandene Sicherheitslücke bei dir nicht geschlossen wurde. In diesem Fall steigt der Angreifer einfach erneut ein.
Click to expand...

Richtig, das ist auch ein Stück weit meine Befürchtung.
Erstmal Danke für deine Meinung!
 
You must log in or register to reply here.
Back
Top