Sicherheitslücke

S

Schaeppa

New Member
Hallo Zusammen!

Habe folgende Mail von meinem Hoster erhalten:

Sehr geehrter Herr xxx,

Hiermit möchten wir Sie informieren, dass Dritte uns darüber in Kenntnis gesetzt haben, dass auf Ihrem Server mit dem Hostnamen xxx.xxx.net mit der Auftragsnummer xxx eine fehlerhafte Anwendung ausgeführt wird. Dies ist viel auf durch massenhafte Anfragen an den DNS-Server, die nicht aufgelöst werden konnten. Unsere Techniker mußten deshalb Ihren Server blackholen. Wir müssen Sie auffordern das Problem zu beheben und uns die Ausführung dieses bitte mitzuteilen, damit Ihr Server wieder ausgetragen werden kann.

Dieser Vorgang beeinträchtigt die technische Infrastruktur der STRATO Medien AG auf nicht akzeptable Weise und verstößt damit gegen die Regelbetriebsbedingungen unserer Allgemeinen Geschäftsbedingungen, die Sie jederzeit im Internet einsehen können: http://www.strato.de/full/STRATO/agb.html

Es ist möglich, dass sich ein Dritter Zugang zu den root-Benutzerrechten auf Ihrem Server verschafft hat. Falls Sie die Vermutung hegen, dass ein Dritter Ihren Server kompromittiert hat, empfehlen wir Ihnen eine Sicherung Ihrer Daten und eine Neuinstallation des Servers.

Falls Sie noch weitere Fragen haben, stehen wir Ihnen selbstverständlich jederzeit gerne zur Verfügung.

Anfragen erfolgeten an folgende Hosts:

- - whs.ircn.info (löst nicht auf)
- - whs.cracka.info (löst nicht auf)
- - whs.nixbox.info (löst auf!)

Wie kann ich nun den Verursacher finden? Rkhunter brachte keine Ergebnisse und übermäßig viel Traffic hatte ich auch nicht.

Wäre dankbar für jeden Tipp!

Gruß
Schäppa
 
Grundsätzlich solltest Du eine solche Untersuchung von einem sauberen Drittsystem aus durchführen, in dem Fall wäre das wohl das Rettungssystem. Den Ausgaben eines kompromittierten Systems kann man nicht trauen.

Aber auch dann müssen rkhunter und chkrootkit nicht unbedingt etwas finden. Es wäre praktisch, wenn Du eine Liste der Checksumme aller Dateien im sauberen Zustand hättest. Diese könntest Du dann mit den Checksummen der Dateien auf dem Server vergleichen und so Änderungen feststellen.
 
Die Checksummen habe ich natürlich nicht.:( Heisst das im Klartext, dass es wohl am sinnvollsten und vor allem zeitsparendsten ist, das System neu aufzusetzen?:o
 
Vor allem kannst du dir nach der Neuinstallation sicher sein, dass keine Backdoors etc mehr offen sind und dein System wieder komplett sauber ist.
 
Schaeppa said:
Wie kann ich nun den Verursacher finden?
Click to expand...
Ich tippe auf eine CrossSiteScripting-Lücke in irgendeinem Deiner genutzten Web-Scripten.
Du solltest vorallem die /tmp/ /var/tmp/ und alle phptmp-Verzeichnisse durch forsten.

Aber wenn Du eh nicht weißt, wie es weiter geht, sehe ich nur auch nach einer Neuinstallation die selbe Lücke erneut.

huschi.
 
Na, ja, ich hab auf dem Server natürlich diverse Websites mit verschiedenen PHP-Scripten liegen. Insbesondere PostNuke + MDPro mit diversen Zusatzmodulen. Ich kann natürlich versuchen einige Zusatzmodule rauszunehmen, insbesondere, wenn es sich um ältere Versionen handelt. Aber ganz auf CMS will ich nicht verzichten.

Außerdem will ich umsteigen von Suse 9.0 und Confixx 3.0 auf Suse 10.0 und Plesk 8.0.

Vielleicht bringt es ja was.:o
 
Schaeppa said:
Außerdem will ich umsteigen von Suse 9.0 und Confixx 3.0 auf Suse 10.0 und Plesk 8.0.
Click to expand...
Das ändert nichts an den Lücken in Deinen genutzten CMS's. Darüber solltest Du Dir klar sein.
Wenn Du erst ne Analyse durchführen würdest, was und wie und wo hier eingeschleust wurde, kannst Du erst wirklich vorbeugen. Alles andere ist "beeten".

huschi.
 
Guten Morgen,

der Tip mit den Tmp Verzeichnissen hat sich als Volltreffer rausgestellt. Habe im Verzeichnis /tmp/.c den Trojaner Backdoor.Linux.Tsunami.w gefunden (zumindest zeigt mein lokaler Virenscanner das an).

Jetzt stellen sich mir die Fragen, wie kriege ich das System wieder sauber und noch viel wichtiger, wie ist er überhaupt reingekommen?

Das Datum, an dem die Trojaner-Datei zuletzt geändert wurde ist der 25.09., was in etwa mit der Mail von Strato passen würde. Ich habe in diesen Tagen aber nichts am Server gemacht, außer ein paar (selbstgeschossene) Fotos in eine Galerie hochgelden.

Fragen über Fragen...
 
wie kriege ich das System wieder sauber
Click to expand...
Neuinstallation

noch viel wichtiger, wie ist er überhaupt reingekommen?
Click to expand...
Logfiles sichern, dann Logfiles studieren. Es kann aber auch sein, dass die Logs durch den Trojaner gefaelscht sind.
Des Weiteren wirst du nicht drum herum kommen, deine PHP Skripte zu durchleuchten.(Uploadscript?)

Eventuell nutzt du auch veraltete (oder anfaellige) Softwaere auf deinem Server.
 
Eine Neuinstallation ist sowieso geplant. Gibt es denn für Linux einen Virenscanner mit Echtzeitschutz, mit dem sich in Zukunft solche Vorfälle vermeiden lassen?

Kenne mich mit PHP nicht so aus, als dass ich sagen könnte, das in einem von den Scripten eine Sicherheitslücke existiert. Möchte aber auch nicht komplett auf CMS verzichten.
 
Schaeppa said:
Jetzt stellen sich mir die Fragen, wie kriege ich das System wieder sauber
Click to expand...
Wenn es wirklich nur der ist, so ist der schnell gelöscht solange er nicht über den wwwrun-User hinausgekommen ist.

wie ist er überhaupt reingekommen?
Click to expand...
Hängt von seinen Benutzerrechten ab. Gib uns mal ein "ll -d /tmp/.c & ll /tmp/.c/"
Wenn er durch eine Script-Lücke kam, so mußt Du alle access_logs zum entsprechenden Zeitpunkt durchsuchen.

Ich habe in diesen Tagen aber nichts am Server gemacht
Click to expand...
:D Seit wann muß man selber etwas machen um sich einen Schädling einzufangen...
Meißt ist doch genau das "nichts machen" das Problem...

huschi.
 
You must log in or register to reply here.
Back
Top