Scans auf andere Server... Werkann helfen???

O

orofino

Member
Hallo,

ich habe folgendes ganz gravierendes Problem... unser Server ist heute Abend vom Netz genommen worden mit der Begründung:

Ihr Server mit der im Betreff genannten IP-Adresse hat Scans auf andere Server im
Internet ausgeführt.

Dabei wurden erhebliche Netzwerkressourcen beansprucht und folglich
ein Segment unseres Netzwerkes stark negativ beeinträchtigt.

Ihr Server wurde deshalb vorsorglich deaktiviert.

Ein entsprechendes Traffic-Protokoll ist beigefügt.
Click to expand...

Nun fehlen mir persönlich die tiefgreifenden Kenntnisse, um jetzt eine genaue Analyse durchzuführen, was da passiert ist und wie man es abstellen kann und Serveradministrator ist genau diese Woche im Skiurlaub.

Ich habe jetzt über eine gesonderte Konsole Zugriff aufs System.

Wer kann man mir bei diesem Problem helfen natürlich gegen Bezahlung???

Das Problem ist auch, dass es ziemlich stark brennt, da auf dem Server viele produktive Onlineshops laufen und ich morgen früh von meinen Kunden sicherlich viele Anrufe bekomme.

Also, wenn mir da jemand helfen kann, wäre ich über eine rasche Rückmeldung sehr dankbar.

Vieln Dank und Gruß Ralf
 
Schauen, auf welchen Ports was läuft:

lsof -i -n -P

oder

netstat -tulpen

Schauen welche Prozesse laufen

ps aux

und vergleichen mit was in

/proc

zu finden ist.

Diverse Scanner drüber laufen lassen, z.B. rkhunter und chkrootkit.

Logfiles durchsuchen.
 
Das Problem ist ... ich komme hier mit dieser sogenannten Larakonsole gar nicht weiter oder viel mehr bekomme da nicht den Zugriff aufs System hin.
 
Welches OS verwendest du?

Wenn es Windows ist, dann solltest du den Server erstmal neustarten, damit laufende Scans abgebrochen werden. Dann solltest du wie oben erwähnt mit gewissen Tools den Server checken. Außerdem Firewall anmachen und alle nicht benötigten programme sperren (Normalerweise braucht man ja nur 21,25,80,3306,3389...)
Du könntest auch mal nach *scan*.txt oder sowas suchen, evtl findest du ja das Dir, in dem die Scansoftware ist ...


Bei Linux wird meiner Erfahrung oft mit nmap oder einem Perlscript gescannt. Also würde ich dort auch erstmal neu starten, dann www-dir usw. nach fremden Scripts durchsuchen. Auch hier kann man mal nach *scan* oder sowas suchen, evtl. findet man ja was :confused:
Auch hier kann man eine Firewall installieren ;)

MfG
 
Hallo,

mittlerweile haben wir jetzt auch die Eintrittslücke lokalisieren können... es scheint ganz offensichtlich das Webmailprogramm roundcube gewesen zu sein.
 
Ich kann jetzt nicht mehr genau sagen, welche Version ich drauf hatte... es war auf alle Fälle nicht mehr die aktuelle, sondern die vor ca. 1 Jahr. Ich habe roundcube aber komplett gelöscht.

Wir haben folgende Dateien gefunden /.1/86.115.pscan.80
 
Das Problem sollte alle Versionen vor dem 18.1.09 betreffen. Ueber die Datei html2text.php im bin Ordner laesst sich beliebiger Code ausfuehren am Besten den Ordner mit .htaccess zu machen. Große Botnetze scannen auf die Datei um so neue Clients zu finden.
 
You must log in or register to reply here.
Back
Top