Frage zu DDOS

[stehlampe]

Hallo zusammen!
Ich habe eine kurze Frage was da schief gelaufen sein könnte, nachschauen kann ich leider nicht mehr da der Server gekündigt ist und somit nicht mehr verfügbar ist.

Was ist passiert:
Ich habe meinen Server gekündigt (Der Vertrag ist genau heute geendet) und im Vorfeld alle Daten gelöscht und den Server mit einer Neuinstallation versehen. Dazu habe ich ein Debian etch mit Plesk 8.6 aufspielen lassen.

Natürlich habe ich das System noch via apt auf den aktuellen Stand gebracht und sogar noch fail2ban installiert. Danach war die Sache für mich gegessen und ich bin davon ausgegangen das ich meiner Sorgfaltspflicht nachgekommen bin.

Denkste!
Eben kam eine Mail vom Provider das der Server wegen eines ausgehenden DDOS vom Netz genommen wurde...

Wie ihr euch sicherlich vorstellen könnt, war meine Verwunderung ziemlich groß.

Auszug aus der Mail:

20:18:44.440766 IP 87.xxx.xxx.xxx.44431 > 212.xxx.xxx.xxx.0: UDP, length 15
20:18:44.440767 IP 87.xxx.xxx.xxx.44431 > 212.xxx.xxx.xxx.0: UDP, length 15

Hat jemand eine Vorstellung was da schiefgegangen ist bzw. sein könnte?

Viele Grüße,

Stehlampe

 

[Whistler]

Wenn es den Provider interessiert, kann er ja sein Distributionsimage mit dem aktuellen Stand vergleichen - da sieht man dann die kompromittierten Dateien und den wahrscheinlichen Einfallsweg.

Bei Deiner Neuinstallation hast Du aber die Defaultpaßwörter (z.B. vom Plesk) schon geändert?

Für die Zukunft: Server herunterfahren. Dann kann man ihn nur über das Powerpanel wieder starten - und der Zugang dorthin sollte sicher sein.