Hi,
auch ich habe heute von Strato einen Hinweis bezüglich meines V-Servers bekommen:
Aha. Naja.
Dann geht es weiter:
Dort waren zwei Zeilen, die ich mich nicht erinnern könnte dort eingetragen zu haben. Können die auch von Plesk stammen, das sich mehr oder weniger ungefragt dort verewigt hat?
Dann habe ich chkrootkit laufen lassen. Ergebnis war nur dieses:
Laut Google ist das i.d.R. ein Fehlalarm. Der dürfte bei mir an Plesk liegen, oder?
Nun bin ich allerdings so schlau wie zuvor:
- Die Backups bei Strato sind wertlos: Dort kann ich nur "wiederherstellen" anklicken, aber nicht nachschauen, ob bspw. die beiden Keys schon immer in dieser Datei steckten oder nicht.
- Ich weiß nicht einmal, was die Meldung von Strato ausgelöst hat. In den Traffic-Logs findet sich eine aussergewöhnliche Beule, diese aber bereits vorgestern, nicht wie in der Strato-Nachricht beschrieben "in den letzten Stunden".
- Mein Server hat normalerweise recht geringen Traffic. Es wäre also schon möglich, daß eine kurze, zufällige Belastung von Stratos "Monitoring" gleich als so aussergewöhnlich angesehen wird, daß es eine Warnung wert ist.
- Benutzer "default" oder "userx", wie in einem anderen Thread beschrieben, sind nicht vorhanden.
Aber was mache ich jetzt? Ich kann doch nicht jedesmal den Server neu installieren, wenn sich jemand meldet "es könnte sein... vielleicht auch nicht... möglicherweise doch..."
Abgesehen davon frage ich mich ernsthaft, wie man ein solches System beherrschen soll. Wo sind zum Beispiel überhaupt erst die Logdateien, aus denen hier gelegentlich Auszüge gepostet werden (FTP-Log, OS ist Suse Linux mit Plesk)? Wie soll man die als Normalmensch finden? Gibt es da irgendeine Logik? Gleiches gilt für Configdateien - müssen die derart wild über das System verteilt sein oder hat das einen Grund?
Noch etwas: Falls mein Server tatsächlich ungebetenen Besuch hatte, müssten doch jetzt entweder Ports offenstehen, die nicht offenstehen sollten, oder in irgendeinem bereits laufenden Dienst ein neuer User eingetragen worden sein. Ist nicht das eine "endliche" Anzahl zu überprüfender Stellen? Gibt es davon vielleicht eine Liste?
Gruß,
CEW4
auch ich habe heute von Strato einen Hinweis bezüglich meines V-Servers bekommen:
Code:
Ihr Server blabla.stratoserver.net hat in den letzten Stunden
in unserem Monitoring ein auffälliges Verhalten aufgewiesen. Wir vermuten
daher, dass Ihr Server kompromittiert ist.Dann geht es weiter:
Code:
Bitte prüfen Sie umgehend, ob sich in der Datei
/root/.ssh/authorized_keys ein SSH-Key befindet, der nicht von Ihnen
hinterlegt wurde.Dann habe ich chkrootkit laufen lassen. Ergebnis war nur dieses:
Code:
bindshell'... INFECTED (PORTS: 465)Nun bin ich allerdings so schlau wie zuvor:
- Die Backups bei Strato sind wertlos: Dort kann ich nur "wiederherstellen" anklicken, aber nicht nachschauen, ob bspw. die beiden Keys schon immer in dieser Datei steckten oder nicht.
- Ich weiß nicht einmal, was die Meldung von Strato ausgelöst hat. In den Traffic-Logs findet sich eine aussergewöhnliche Beule, diese aber bereits vorgestern, nicht wie in der Strato-Nachricht beschrieben "in den letzten Stunden".
- Mein Server hat normalerweise recht geringen Traffic. Es wäre also schon möglich, daß eine kurze, zufällige Belastung von Stratos "Monitoring" gleich als so aussergewöhnlich angesehen wird, daß es eine Warnung wert ist.
- Benutzer "default" oder "userx", wie in einem anderen Thread beschrieben, sind nicht vorhanden.
Aber was mache ich jetzt? Ich kann doch nicht jedesmal den Server neu installieren, wenn sich jemand meldet "es könnte sein... vielleicht auch nicht... möglicherweise doch..."
Abgesehen davon frage ich mich ernsthaft, wie man ein solches System beherrschen soll. Wo sind zum Beispiel überhaupt erst die Logdateien, aus denen hier gelegentlich Auszüge gepostet werden (FTP-Log, OS ist Suse Linux mit Plesk)? Wie soll man die als Normalmensch finden? Gibt es da irgendeine Logik? Gleiches gilt für Configdateien - müssen die derart wild über das System verteilt sein oder hat das einen Grund?
Noch etwas: Falls mein Server tatsächlich ungebetenen Besuch hatte, müssten doch jetzt entweder Ports offenstehen, die nicht offenstehen sollten, oder in irgendeinem bereits laufenden Dienst ein neuer User eingetragen worden sein. Ist nicht das eine "endliche" Anzahl zu überprüfender Stellen? Gibt es davon vielleicht eine Liste?
Gruß,
CEW4
