Onderwerp: ftp attack

hallo

Wij hebben momenteel verschillende inbraken vanuit Rusland
ze plaatsen een php script op de server om spammails te versturen.

Bestaat er een script om de ftp connecties te monitoren, bij meerdere authentication failure het IP blokken voor bv: 2 uur
of zijn er andere oplossingen

server : Centos met Plesk

Als het een directadmin machine betreft heb je in combinatie met CSF en LFD een goede block mogelijkheid.

http://configserver.com/cp/csf.html

Deze is voor Directadmin, Cpanel & webmin te gebruiken.

Uit ervaring weet ik dat ze binnenglippen via filezilla en niet via Directadmin. Als je je website wilt aanpassen doe het via Directadmin.

Een goede firewall, zoals MarkKapitein al voorstelde kan je wel (enigszins) redden. En zo snel mogelijk het gehele server nalopen, indien mogelijk het beste zou zijn om nieuwe hosting pakket / VPS af te nemen en te migreren waarbij je wachtwoorden veranderd, liefst met iets volledig random zoals http://strongpasswordgenerator.com/ bijvoorbeeld wachtwoord als 85"5k>Y{.42ZBUE

Succes!

@hostbedrijf, Filezilla is een FTP programma. Je stelling klinkt net zo als 'ze gebruiken Logitech toetsenbord om binnen te glippen' hoor.
Indien je je eigen PC onbeschermd is, kan je net zo goed elke willekeurige FTP programma (zoals bijvoorbeeld FileZilla gebruiken) - maar je blijft net zo lek als wat hoor.

Oorspronkelijk geplaatst door Hostbedrijf.nl

Uit ervaring weet ik dat ze binnenglippen via filezilla en niet via Directadmin. Als je je website wilt aanpassen doe het via Directadmin.

Lezen is blijkbaar een kunst, maar wat heeft DA hier mee te maken als de TS PLESK gebruikt.

Wij gebruiken plesk

fail2ban..... of je nu DA, Plesk of wat dan ook draait.
~A

Omdat je later poste dat je plesk gebruikt ben ik even op google gaan zoeken.

1. http://www.diademblogs.com/linux/csf...tion-for-plesk (Dit is wel een command versie install van CSF en LFD)

Als je wilt gebruik maken van fail2ban als websiteondemand beschrijft.

Kijk hier dan even! http://www.shaunfreeman.co.uk/instal...-6-with-plesk/

Daar staat uitgelegt hoe jij fail2ban kan instellen op ssh,ftp en je mail systeem.

alvast bedankt

Oorspronkelijk geplaatst door Hostbedrijf.nl

Uit ervaring weet ik dat ze binnenglippen via filezilla en niet via Directadmin. Als je je website wilt aanpassen doe het via Directadmin.

Zou jij me kunnen vertellen hoe ze "binnen glippen via filezilla", daar ben ik toch wel heel erg benieuwd naar..

In onze ervaring komen vrijwel alle geslaagde van zulke ftp hacks NIET door dergelijke Brute Force aanvallen (allerlei wachtwoorden uitproberen), maar doordat op de computer van de ftp-er keylogger software is geinstalleerd. Je vermeldt overigens niet of het gaat om een aanval op een ftp-account of op verschillende. In het geval van één ftp-account is fail2ban al een oplossing, worden meerdere ftp-accounts massaal geprobeerd vanuit verschillende ip-nummers (botnet aanval), dan is er iets anders aan de hand. Keuze van ftp-loginnaam kan al verschil maken (niet al te voor de hand liggend), immers via bepaalde sites valt te zien welke sites gehost worden op hetzelfde ip-nummer.

Oorspronkelijk geplaatst door phreak

Zou jij me kunnen vertellen hoe ze "binnen glippen via filezilla", daar ben ik toch wel heel erg benieuwd naar..

Klinkt inderdaad een beetje raar, maar ik heb in het verleden ook wel eens mee gemaakt dat een wachtwoord bestand van client software door een virus was buitgemaakt waarna er dus gewoon met het goede wachtwoord werd ingelogd.

Oorspronkelijk geplaatst door ivs

Klinkt inderdaad een beetje raar, maar ik heb in het verleden ook wel eens mee gemaakt dat een wachtwoord bestand van client software door een virus was buitgemaakt waarna er dus gewoon met het goede wachtwoord werd ingelogd.

Maar dat heeft dan weer niets met filezilla zelf te maken maar met malware..

Heb ook al een paar keer meegemaakt dat zoiets voorkwam, eerste login was direct raak, moet dus gelogd zijn geweest.

Daarna als test een test account aangemaakt en via android ftp client een paar keer ingdlogd en wachten..... Na 3 weken was het raak, en niet te raden username en password aangemaakt en eerste login was meteen raak.

Kan aan de app gelegen hebben, maar je komt ook vaak op plekken waar wifi ik weet niet in hoeverre dat gesnift kan worden.

Maar doe het voor de zekerheid niet meer via mobiel

Sent from my Nexus 4 using webhostingtalk mobile app

Oorspronkelijk geplaatst door ivs

Klinkt inderdaad een beetje raar, maar ik heb in het verleden ook wel eens mee gemaakt dat een wachtwoord bestand van client software door een virus was buitgemaakt waarna er dus gewoon met het goede wachtwoord werd ingelogd.

Zoals phreak al aanhaalt heeft dat 0,0 met filezilla te maken, maar gewoon met een verouderd clear text protocol (ftp). Zoals ik in eerdere topics ook al vermeld heb maakt het niet uit of die file encrypted is of niet, als je malware op je pc hebt zijn er 1001 manieren om aan het wachtwoord te geraken. Gaande van keyloggers tot tcpdumps of zelf man in the middle attacks waar geen toegang tot de client pc of server nodig is, maar enkel een afgetapte verbinding tussen de client en server.

Oorspronkelijk geplaatst door boekee

maar je komt ook vaak op plekken waar wifi ik weet niet in hoeverre dat gesnift kan worden.

En bij open wifi/hotspots is het nog nooit in je opgekomen om eerst een vpn verbinding te maken of geen clear text protocols te gebruiken? De makkelijkste manier om aan wachtwoorden en logins te geraken is juist via hotspots waar een man in the middle alle clear text zaken kan zien. Even de meer geavanceerde wifi capture tools buiten schot gelaten.