Onderwerp: uitgaande denial of service aanvallen (Linkup)

Den Haag, 31 Juli 2005

Tussen 22:20 en 23:20 hebben wij last gehad van uitgaande denial of service aanvallen.

Het ging om +/- 15 verschillende colocated servers, systemen van verschillende klanten.

Wij vermoeden dat er op dit moment een nieuw virus/exploit verspreid over het internet en ons netwerk een van de eerste slachtoffers is. Het kan ook een scriptkiddy zijn. We zijn er nog niet uit en een aantal van de gehackte servers word grondig onderzocht.

Op het moment van de denial of service aanvallen heeft onze firewall een rate-limiter aangezet op een verschillend aantal porten/protocollen, het kan dus zijn dat er een kleine packetloss is geweest op deze porten/protocollen waarvoor onze verontschuldigingen.

Het ging om een uitgaande denial of service aanval van +/- 900 megabit/s hier is niemand tegenopgewassen. De destination adressen waren de root-servers van het internet.

Wij verzoeken alle klanten hun servers grondig te onderzoeken op evt exploits en onbekende perl scripts om problemen te voorkomen. Wanneer onze firewall een uitgaande denial constateerd van uw systeem/netwerk is linkup gemachtigd het source-adres per direct te blokkeren. U ontvangt dan een email waarin dit bevestigd word. U moet dan eerst de exploit/ddos tool verwijderen en de nodige maatregelen treffen om online te gaan.

Indien u vragen/opmerkingen heeft omtrent deze mailing kunt u contact opnemen met ons network operation center, noc@linkup.nl.

Linkup Internet

[Tip: zet in de topictitel om welk netwerk het gaat, het was voor mij tot op de laatste regel onduidelijk over welk netwerk/bedrijf het gaat...ben een newbie hier...]
[EDIT: done zie ik...]

Origineel geplaatst door Str@nger
[Tip: zet in de topictitel om welk netwerk het gaat, het was voor mij tot op de laatste regel onduidelijk over welk netwerk/bedrijf het gaat...ben een newbie hier...]
[EDIT: done zie ik...]

Done. Thx voor de tip.

Om even heads up te geven.

Er is een exploit gevonden o.a. in de software van Direct Admin. In combinatie met een oude SSH/SSL en een kernel-a-like attack kun je vrijwel direct bij sommige servers zo naar binnen.

Heb je daar iets meer informatie over abcinternet2 (eventueel met link)?

De SSH exploit is wel heel erg oud

SSH 3.7

minimaal updaten naar 3.9

there is an exploit in SSHD.

but upgrade SSHD ASAP to 3.9.X

for Fedora / Directadmin

download
openssh-3.9p1.tar.gz


# ./configure --bindir=/usr/bin --sbindir=/usr/sbin --sysconfdir=/etc/ssh --with-md5-passwords
# make
# make install


and restart SSHD

/etc/init.d./sshd restart

vergeet telnet niet even aan te zetten

Origineel geplaatst door RayManZ
vergeet telnet niet even aan te zetten

Zijn er dan operating systems waarin hij de SSH sessie waarin je ingelogd bent ook update? Normaal blijft deze gewoon de 'oude' draaien tot je uitlogt (en dat moet je dus niet doen voordat de nieuwe SSHd werkt )

zekerheid mag wel :P ik heb geen zin om alsnog die kant op te gaan. Dus ik zet sowieso altijd telnet aan zodat ik tenminste zeker weet dat ik er nog remote bij kan

Of even een bindshelletje downloaden van google en draaien tijdens je actie

Origineel geplaatst door euro-access
De SSH exploit is wel heel erg oud

SSH 3.7

minimaal updaten naar 3.9

Als je een distributieversie draait kan het zijn dat je een gepatchte versie (bijv. 3.6) draait die wel "veilig" is.

Oef, ik had 3.5p1 nog draaien

Heb nu 4.1p1 erop gezet

Ik heb ook nog steeds 3.5pl draaien

Hoe doe ik een SSH update via tenet ?

zelfde commands gewoon inloggen op root via telnet en dan die commands. Maar via ssh zal het ook gewoon werken.