Bekijk Volledige Versie : Nieuw botnet actief?
dreamhost_nl
09/03/20, 17:14
Beste concullegae,
We ervaren sinds afgelopen vrijdag een Brute Force aanval op SSH2 (tientallen pogingen per uur) vanuit m.n. China en de OVH en DigitalOcean netwerken.
Het vreemde hiervan is dat SSH2 bij ons niet over de standaard poort (23) draait, maar over een alternatieve poort.
De aanvaller moet dus eerst d.m.v. een portscan achter onze SSH2 poort zijn gekomen en daarna zijn botnet hebben aangezet.
Behalve dat de firewalls wat overuren draaien om de entries te blokkeren is het verder niet echt spannend of zo, maar ik vroeg mezelf af of jullie dit ook recentelijk hebben ervaren en zeker in die hoeveelheden.
Bedoel je 22 in plaats van 23?
Gewoon SSH van het internet halen.
Geen idee of er verhoogde activiteit is trouwens.
dreamhost_nl
09/03/20, 20:23
xaban: Poort 22 uiteraard ja... :)
Het gaat hier helaas om shared servers. SSH is nodig voor SFTP, dus het blokkeren of over een nieuwe poort gooien is helaas niet mogelijk.
dreamhost_nl
10/03/20, 11:25
Ik ben het volgende online tegengekomen: https://www.fofa.so/hosts/127.0.0.1
Even 127.0.0.1 door een eigen IP-adres vervangen, geeft gelijk een hoop info weer, zoals wat er over welke poorten draait incl. de versies van de geïnstalleerde software. Zo wordt het een kwaadwillende partij wel erg gemakkelijk gemaakt.
stefantriep
10/03/20, 13:57
Ik ben het volgende online tegengekomen: https://www.fofa.so/hosts/127.0.0.1
Even 127.0.0.1 door een eigen IP-adres vervangen, geeft gelijk een hoop info weer, zoals wat er over welke poorten draait incl. de versies van de geïnstalleerde software. Zo wordt het een kwaadwillende partij wel erg gemakkelijk gemaakt.
Dit is nog wel even een handige site, als je wil checken welke versies iemand draait en daarop wil inspelen
Ik ben het volgende online tegengekomen: https://www.fofa.so/hosts/127.0.0.1
Even 127.0.0.1 door een eigen IP-adres vervangen, geeft gelijk een hoop info weer, zoals wat er over welke poorten draait incl. de versies van de geïnstalleerde software. Zo wordt het een kwaadwillende partij wel erg gemakkelijk gemaakt.
Dat is allemaal informatie die je zelf exposed he :) Heel veel informatie kan je gewoon verbergen.
stefantriep
10/03/20, 21:33
Dat is allemaal informatie die je zelf exposed he :) Heel veel informatie kan je gewoon verbergen.
Dat klopt inderdaad, heb je helemaal gelijk in!
dreamhost_nl
10/03/20, 22:01
xaban, stefantriep: Zoals al vermeld gaat het hier om shared hosting servers. Onmogelijk om deze dicht te timmeren én de gebruikers (veelal leken) nog normaal gebruik te kunnnen laten maken van hun accounts. Het grote deel (zoals de poort waar bij ons SSH2 over draait) aan info kan alleen verkregen zijn d.m.v. portscans. Maar hoe de Brute Forcers deze info verkregen, was niet de reden van dit topic. De reden van dit topic was om na te gaan of bij ons alleen het SSH2 Brute Force botnet actief is of niet. Blijkbaar wel dus, afgaande op het kleine aantal bijvallen (geen).
Hoi ;) Volgens mij speelt dit al jaren...
Ook wij hebben poort 22 dicht en alleen op whitelist open, gaat prima.
mgielissen
11/03/20, 08:23
CSF of fail2ban werkt ook prima.
dreamhost_nl
11/03/20, 09:11
bartL: We hebben nog nooit (en we zijn al sinds '96 actief) een aanval gehad op SSH2, omdat we SSH2 niet over poort 22 hebben draaien. Daarnaast omvat de aanval alle shared hosting servers tegelijkertijd en met tientallen pogingen per uur per server. Het is dus blijkbaar doelgericht. mgielissen: Uiteraard blokkeren de firewalls ze wel en kun je via "root" sws niet inloggen, maar toch blijft het vervelend en irritant.
oh ze brute forcen SSH hier al jaren op alle servers in alle netwerken
met tientallen pogingen per minuut, niet per uur
Jaren geleden heb ik een script gemaakt die checkt naar brute force attacks, vervolgens de abuse contactpersoon erbij zoekt en logs doorstuurt naar de abuse persoon. Op deze manier heb ik best wel wat bots/scanners offline weten te brengen (dmv abuse contact). Volledig geautomatiseerd.
Als iedereen dit nou doet kunnen we het internet een heel klein beetje veiliger maken :)
UniqueMade
11/03/20, 14:34
xaban,
is dit script ergens gedeeld? Via github bijvoorbeeld? Dan kunnen we inderdaad met zijn allen iets tegen deze aanvallen teweeg brengen...
dreamhost_nl
11/03/20, 15:42
t.bloo: Ons is dat gelukkig jarenlang bepaard gebleven vanwege de alternative poort. We hebben ooit een een testVPS gehad, waarop we dit niet zo hadden ingesteld, en deze had inderdaad in een nachtje tijd honderden Brute Force aanvallen mogen ontvangen. Nadat we ook voor die VPS een andere poort hadden ingesteld, kwamen er geen meer. xaban: Van onze kant uit is er ook wel interesse voor zo'n script. Indien je zoiets handmatig moet doen, kun je er minstens een volledige FTE op gaan zetten.
UniqueMade dreamhost_nl ik zal even graven of ik het ergens heb staan...
madeitbelgium
12/03/20, 14:25
Zo een script zou handig zijn. Heb het zelf eens manueel geprobeerd toen één van onze nameservers werd aangevallen. Steek je wel wat tijd in.
Ik ben het volgende online tegengekomen: https://www.fofa.so/hosts/127.0.0.1
Even 127.0.0.1 door een eigen IP-adres vervangen, geeft gelijk een hoop info weer, zoals wat er over welke poorten draait incl. de versies van de geïnstalleerde software. Zo wordt het een kwaadwillende partij wel erg gemakkelijk gemaakt.
Lijkt op Shodan, alleen dan Chinees.