Bekijk Volledige Versie : [win2k3] Enorm veel uitgaand verkeer (80Mbit)
Hoi,
Ik heb sinds kort op 1 van mijn servers periodiek heel veel uitgaand verkeer.
Dit houdt dan gemiddeld een kwartier tot half uur aan (als ik het niet stop), maar kan ook makkelijk 3 uur lopen als ik het niet in de gaten heb ('s nachts bijvoorbeeld).
Zodra ik een IISRESET uitvoer is het over.
Zou dit te maken kunnen hebben met een of andere slecht JOOMLA component?
Heeft iemand hier weleens last van gehad?
Server staat nu op 10Mbit om de kosten niet te hoog op te laten lopen.
[edit]: Ik heb uiteraard alle virusscan opties van NOD32 al uitgevoerd uitvoerig, dat heb ik naar mij idee uitgesloten.
Installeer network monitor eens(staat op de w2k3 cd) Dan kan je zien wat voor pakketjes er worden verzonden.
GlobalServe
09/11/07, 10:35
Zet de firewall aan van je server.
Je zit waarschijnlijk met een trojan of slechte scripts.
check eens met netstat -a wat voor poorten er open staan en naar waar.
Hoi,
Windows firewall staat aan (altijd al geweest).
Trojan zou NOD32 gevonden hebben toch?
Slechte scripts zit ik zelf aan te denken.
Alleen hoe kan ik van de 300+ IIS sites vinden welke dit zou veroorzaken?
Hoi,
Windows firewall staat aan (altijd al geweest).
Trojan zou NOD32 gevonden hebben toch?
Slechte scripts zit ik zelf aan te denken.
Alleen hoe kan ik van de 300+ IIS sites vinden welke dit zou veroorzaken?
Begin nou maar een met het installeren van Network Monitor.
Of download desnoods wireshark.
Dat heb ik zojuist gedaan.
Ik moet nu dus afwachten totdat het weer gebeurt.
Ik probeer in de tussentijd zoveel mogelijk tips te verzamelen om dit tegen te gaan.
Mijn vraag is nu dan ook, is er een mogelijkheid om te kijken welke IIS site op dat ogenblik een hoop data verstuurd (real-time)?
Is het niet gewoon een rootkit?
Heb ik ook aan gedacht.
Maar NOD32 moet die met een volledige scan eruit halen?
GlobalServe
09/11/07, 15:24
Zoek op uw hd bestanden groter dan 20 Mb ofzo.
Wij hebben het ook een met een klant zijn dedicated server gehad en die had daar ineens vanalle films opstaan op zijn HD.
Dat zou eigenlijk ook niet kunnen, dat zou ik dan in het dataverkeer per domein naar boven moeten komen.
Er is niets wat een grote stap omhoog doet sinds dat het begonnen is.
wordt dit misschein gedaan vanuit de virtual dir van het account?
denk aan servernaam.ext/~user
verder zou op linux iftop uitkomst moeten bieden, deze geeft alle current connecties weer inclusief outgoing ips en snelheid voor de upload
probeer ook eens het getargete ip te achterhalen, misschien is het wel een backup of cron vna een gebruiker
//excuses, het gaat natuurlijk om een linux server, niet goed gelezen
Het probleem is dat ik niet weet waar het precies vandaan komt.
Ik zie alleen in mijn switch een hoop verkeer.
En ik weet dat het voorbij is na een IISRESET...
Enige tips om het te achterhalen welk domein het doet zijn welkom :P
Goed kijken in je server logs op de tijdstippen dat het gebeurd(e) en vlak daarvoor. Zo zal je precies zien waardoor iemand in staat is een eventuele trojan/spambot te starten. Omdat je bij benadering de tijd weet moet dit goed te doen zijn.
Op Windows heeft elke domein zijn eigen logbestandje.
Dan zou ik dus 300+ logbestanden af moeten gaan op dat tijdstip.
Lijkt me onbegonnen werk.
Ik zou met wireshark eens sniffen wat er allemaal overheen gaat.
Heb ik nu gedownload.
Ik wacht rustig tot er weer wat overheen gaat...
Op Windows heeft elke domein zijn eigen logbestandje.
Dan zou ik dus 300+ logbestanden af moeten gaan op dat tijdstip.
Lijkt me onbegonnen werk.
Begin eens met extreem grote logfiles en gebruik dan eventueel de logparser van Win2k3. Programma's zoals Process Explorer en FileMon zijn ook erg handig bij dit soort zaken.
Dit is wat wireshark laa zien als het aan de gang is.
Ziet iemand er iets vreemds in?
Buiten dat het er enorm veel zijn?
Het ip adres opzoeken op google geeft aan dat het om een irc server gaat (net.vel.irc (64.161.255.2)). Met als eerste link het volgende bestand w w w.bleedingthreats.net/rules/bleeding-botcc.rules. Dus waarschijnlijk een draait er een bot op je machine.
ehm, now is the time to panic
google maar eens op dat vermelde ip nummertje: 64.161.255.2
is onderdeel van een botnet, dus als dit jouw serveradres is, begin maar met backuppen en restoren na volledig te formatteren, er wordt namelijk van dit ip adres gebruik gemaakt om diverse irc server te draaien voor botnets etc
Nee, dat is de target.
Ok, weer een stapje dichterbij.
Er wordt veelvuldig een IRC connectie gemaakt.
Ik heb Filemon ook gedownload en nu maar afwachten welk bestand die verbindingen opent.
Dat is inderdaad de target, dus er is communicatie met een botnet. Hoogstwaarschijnlijk wordt je machine gebruikt als dump-plaats (cq: de ISOtjes die je terugvind in je system-restore map), of als dDOS.
Filemon is inderdaad een goede optie. Zelf heb ik geen tijd vandaag (tentamens en familie), anders had ik met je mee willen vlooien...
Succes!