Scanning-Versuche von meinem Server aus

K

konfusnet

New Member
hallo leute ich habe ein problem mit meinem server/anbieter (debian server mit plesk)
ich habe eben eine email mit folgendem inhalt bekommen, und ich hab quasi kein plan was ich machen kann! :confused: aber auch nur bis morgen früh 12 uhr zeit

anbei erhalten Sie eine Beschwerde, dass von Ihrem Server aus Scanning-Versuche auf andere Server unternommen wurden.

Wir halten diese Beschwerde für plausibel und nehmen die Angelegenheit sehr ernst. Daher erwarten wir nun eine Reaktion innerhalb der nächsten 24 Stunden von Ihnen.

Bitte tragen Sie umgehend für die Behebung Sorge, jedoch spätestens bis morgen 12:00 Uhr, da wir ansonsten Ihren Server kostenpflichtig sperren müssen.

Anbei ein Log-Auszug:
----------------------------------------------------------------------------------------------------------------
archicadplan.de 85.25.152.21 - - [19/Sep/2009:07:11:18 +0200] \"GET //zencart//install.txt
HTTP/1.1\" 404 1053 \"-\" \"zencart\"
archicadplan.de 85.25.152.21 - - [19/Sep/2009:07:11:18 +0200] \"GET //zencart//install.txt
HTTP/1.1\" 404 1053 \"-\" \"zencart\"
hs-touristik.de 85.25.152.21 - - [19/Sep/2009:07:11:19 +0200] \"GET //zencart//install.txt
HTTP/1.1\" 404 1053 \"-\" \"zencart\"
hs-touristik.de 85.25.152.21 - - [19/Sep/2009:07:11:19 +0200] \"GET //zencart//install.txt
HTTP/1.1\" 404 1053 \"-\" \"zencart\"

Sep 21 15:16:36 front2 sshd[26032]: Failed password for root from 85.25.152.21 port 35475 ssh2
Sep 21 15:16:37 front2 sshd[26030]: Failed password for root from 85.25.152.21 port 37437 ssh2
Sep 21 15:16:37 front2 sshd[26034]: Failed password for invalid user user from 85.25.152.21 port
35506 ssh2
Sep 21 15:16:37 front2 sshd[26036]: Failed password for invalid user user from 85.25.152.21 port
37526 ssh2
Sep 21 15:16:37 front2 sshd[26037]: Failed password for invalid user postfix from 85.25.152.21 port
35560 ssh2
Sep 21 15:16:37 front2 sshd[26040]: Failed password for invalid user postfix from 85.25.152.21 port
37559 ssh2
Sep 21 15:16:37 front2 sshd[26041]: Failed password for invalid user teamspeak from 85.25.152.21
port 35589 ssh2
Sep 21 15:16:38 front2 sshd[26045]: Failed password for invalid user teamspeak from 85.25.152.21
port 37619 ssh2
Sep 21 15:16:38 front2 sshd[26044]: Failed password for root from 85.25.152.21 port 35649 ssh2
Sep 21 15:16:38 front2 sshd[26048]: Failed password for root from 85.25.152.21 port 37685 ssh2

Sep 21 06:41:13 tequila sshd[26779]: Failed password for root from 85.25.152.21 port 51004 ssh2
Sep 21 06:41:15 tequila sshd[26781]: Invalid user user from 85.25.152.21
Sep 21 06:41:17 tequila sshd[26781]: Failed password for invalid user user from 85.25.152.21 port
51261 ssh2
Sep 21 06:41:20 tequila sshd[26783]: Failed password for postfix from 85.25.152.21 port 51502 ssh2
Sep 21 06:41:22 tequila sshd[26785]: Invalid user teamspeak from 85.25.152.21
Sep 21 06:41:24 tequila sshd[26785]: Failed password for invalid user teamspeak from 85.25.152.21
port 51734 ssh2
Sep 21 06:41:28 tequila sshd[26787]: Failed password for root from 85.25.152.21 port 52028 ssh2
Click to expand...

über tipps würde ich mich riesig freuen, vielen dank!!
 
konfusnet said:
hallo leute ich habe ein problem mit meinem server/anbieter (debian server mit plesk)
ich habe eben eine email mit folgendem inhalt bekommen, und ich hab quasi kein plan was ich machen kann! :confused: aber auch nur bis morgen früh 12 uhr zeit
Click to expand...

Hier im Forum findest Du ne Menge Hinweise.

Ich würde erstmal alle Dienste, die einen Zugriff erlauben, deaktivieren und dann zu den Dir mitgeteilten Zeiten die vorhandenen Logs durchsehen, wo Zugriffe erfolgt sind. Und bei den Diensten wären das faktisch bis auf ssh alle Dienste, jedoch insbesondere der Webserver. Bei ssh wäre sicherzustellen, dass alle Passwörter geändert werden, so dass nur Du zugreifen kann.

Alternativ das System im Rescue-Modus booten, die entsprechenden Bereiche mounten und dann dort suchen.

Und erst, wenn Du den Grund/die Lücke gefunden hast, kann man weitermachen, wobei zu befürchten ist (je nach Art der Lücke), dass Dein System insgesamt kompromittiert ist und ggf. eine Neuinstallation erforderlich ist.

Und Deine Vorgehensweise solltest Du Deinem Provider mitteilen, damit er den Server nicht sperrt und dennoch sicher ist, dass kein Risiko besteht.

Ohne Detailkenntnisse wirst Du Dich mit der Suche allerdings extrem schwer tun....
 
Eigentlich muss das Ding sofort vom Netz. Dann müssen die Logs gesichert werden, um zumindest in Ansätzen reproduzieren was passiert ist.

Eine Neuinstallation steht in jedem Fall an, ich tippe mal mindestens auf eine PHP-Shell auf der S4Y-Kiste, wenn nicht gar eine komplette Übernahme. Und schnell auf einen anderen Rechner kannst Du mit den Projekte auch nicht, da mit grosser Wahrscheinlichkeit irgendwelche alten PHP-Skripte das Einfallstor sind (ist am Häufigsten).

Wo ist denn der Admin des Servers?
 
You must log in or register to reply here.
Back
Top