uitgaande denial of service aanvallen (Linkup)

[TL3PEL]

Den Haag, 31 Juli 2005

Tussen 22:20 en 23:20 hebben wij last gehad van uitgaande denial of service aanvallen.

Het ging om +/- 15 verschillende colocated servers, systemen van verschillende klanten.

Wij vermoeden dat er op dit moment een nieuw virus/exploit verspreid over het internet en ons netwerk een van de eerste slachtoffers is. Het kan ook een scriptkiddy zijn. We zijn er nog niet uit en een aantal van de gehackte servers word grondig onderzocht.

Op het moment van de denial of service aanvallen heeft onze firewall een rate-limiter aangezet op een verschillend aantal porten/protocollen, het kan dus zijn dat er een kleine packetloss is geweest op deze porten/protocollen waarvoor onze verontschuldigingen.

Het ging om een uitgaande denial of service aanval van +/- 900 megabit/s hier is niemand tegenopgewassen. De destination adressen waren de root-servers van het internet.

Wij verzoeken alle klanten hun servers grondig te onderzoeken op evt exploits en onbekende perl scripts om problemen te voorkomen. Wanneer onze firewall een uitgaande denial constateerd van uw systeem/netwerk is linkup gemachtigd het source-adres per direct te blokkeren. U ontvangt dan een email waarin dit bevestigd word. U moet dan eerst de exploit/ddos tool verwijderen en de nodige maatregelen treffen om online te gaan.

Indien u vragen/opmerkingen heeft omtrent deze mailing kunt u contact opnemen met ons network operation center, noc@linkup.nl.

Linkup Internet

[Str@nger]

[Tip: zet in de topictitel om welk netwerk het gaat, het was voor mij tot op de laatste regel onduidelijk over welk netwerk/bedrijf het gaat...ben een newbie hier...]
[EDIT: done zie ik...]

[TL3PEL]

Origineel geplaatst door Str@nger
[Tip: zet in de topictitel om welk netwerk het gaat, het was voor mij tot op de laatste regel onduidelijk over welk netwerk/bedrijf het gaat...ben een newbie hier...]
[EDIT: done zie ik...]


Done. Thx voor de tip.

[abcinternet2]

Om even heads up te geven.

Er is een exploit gevonden o.a. in de software van Direct Admin. In combinatie met een oude SSH/SSL en een kernel-a-like attack kun je vrijwel direct bij sommige servers zo naar binnen.

[s.vossen]

Heb je daar iets meer informatie over abcinternet2 (eventueel met link)?

[euro-access]

De SSH exploit is wel heel erg oud

SSH 3.7

minimaal updaten naar 3.9

[euro-access]

there is an exploit in SSHD.

but upgrade SSHD ASAP to 3.9.X

for Fedora / Directadmin

download
openssh-3.9p1.tar.gz


# ./configure --bindir=/usr/bin --sbindir=/usr/sbin --sysconfdir=/etc/ssh --with-md5-passwords
# make
# make install


and restart SSHD

/etc/init.d./sshd restart

[RayManZ]

vergeet telnet niet even aan te zetten :D

[Frangkje]

Origineel geplaatst door RayManZ
vergeet telnet niet even aan te zetten :D

Zijn er dan operating systems waarin hij de SSH sessie waarin je ingelogd bent ook update? Normaal blijft deze gewoon de 'oude' draaien tot je uitlogt (en dat moet je dus niet doen voordat de nieuwe SSHd werkt ;))

[RayManZ]

zekerheid mag wel :P ik heb geen zin om alsnog die kant op te gaan. Dus ik zet sowieso altijd telnet aan zodat ik tenminste zeker weet dat ik er nog remote bij kan :)

[WH-Tim]

Of even een bindshelletje downloaden van google en draaien tijdens je actie ;)

[McRox]

Origineel geplaatst door euro-access
De SSH exploit is wel heel erg oud

SSH 3.7

minimaal updaten naar 3.9

Als je een distributieversie draait kan het zijn dat je een gepatchte versie (bijv. 3.6) draait die wel "veilig" is.

[WH-Tim]

Oef, ik had 3.5p1 nog draaien :p

Heb nu 4.1p1 erop gezet :cool:

[SebastiaanStok]

Ik heb ook nog steeds 3.5pl draaien :eek:

Hoe doe ik een SSH update via tenet ?

[RayManZ]

zelfde commands :) gewoon inloggen op root via telnet en dan die commands. Maar via ssh zal het ook gewoon werken.

[Wido]

Of je bent gewoon slim en staat SSH connecties via je firewall maar toe vanaf een paar IP's.

[Matthieu]

Origineel geplaatst door RayManZ
zelfde commands :) gewoon inloggen op root via telnet en dan die commands. Maar via ssh zal het ook gewoon werken. Natuurlijk log je in op een temp account en su je naar root om na de hele actie je tijdelijke account te verwijderen en vervolgens je root password te wijzigen, maar dat spreekt eigenlijk voor zich ;)

[RayManZ]

@wido: Ja dat kan ook maar niet iedereen heeft een vast ip :p En als ik ergens anders ff snel op internet zit kan ik dan opeens niet meer op me server. Het is net welke keuze je maakt :)

[SebastiaanStok]

Ik doe wel een keer updaten als ik in het datacenter ben :)

Ik ben dol op dit huidige wachtwoor, en hij draait op een alternative port.

[HostServe]

Origineel geplaatst door Wido
Of je bent gewoon slim en staat SSH connecties via je firewall maar toe vanaf een paar IP's.

Inderdaad, zo heb ik hem ook draaien.
Alleen voor de mensen die geen static IP hebben is het wat lastiger.

Gaan we nu niet teveel offtopic :)

[Wido]

Origineel geplaatst door RayManZ
@wido: Ja dat kan ook maar niet iedereen heeft een vast ip :p En als ik ergens anders ff snel op internet zit kan ik dan opeens niet meer op me server. Het is net welke keuze je maakt :) Wij hebben 1 bakje die SSH van overal vandaan toestaat.

Alle andere servers staan SSH toe vanaf die bak en een paar andere IP's.

Als ik dus ergens anders ben kan ik altijd via dat onbelangrijke bakje mijn wel belangrijke servers is.

[RayManZ]

Dat kan natuurlijk ook :)