Onderwerp: Hoge Mbits pieken

Daar zat ik ook direct aan te denken.
Ga na of je geen oneigenlijk gebruikte ftp (stro) draait.
Nu heb ik zelf geen ervaring met windows hosting, maar op lekke linux servers gebruiken ze indien er een kernel source aanwezig is vaak een kernelmodule waarmee ze buiten je firewall om connecties kunnen maken en root kunnen spelen, niet in de logs staan etc.
Ook willen dergelijke figuren wel eens scripts gebruiken om de stro down te brengen wanneer er een admin inlogt op de server.
Verder zal de ftp niet als proces zichtbaar zijn. dmv rootkit achtige code kan deze verborgen worden maar wel actief zijn in het geheugen.

Ik zou dus heel erg diep gaan spitten op die machine en indien je er niet achterkomt datgene doen wat je te doen staat, misschien kun je alles overschieten naar een andere machine en die machine met onverklaarbaar verkeer opnieuw opzetten vanaf 0.
Wel direct alles updaten dan, het ergste is dan namelijk nog steeds dat je niet weet waar het lek zat en of het nog steeds een lek is.

Ik heb zelf ook met dergelijk figuren te maken gehad in het verleden, door een niet up to date joomla module op een website van een klant.
Ze maakten echter de fout de server in de soep te laten draaien waardoor ik er direct bovenop zat.
Door passief live te analyseren wat de heren aan het doen waren, waar ze toegang tot hadden en waar hun zooi stond, kon ik het toen in de kiem smoren. Ik hield er nog een directory met allerlei tools aan over waarmee ik de security van onze servers daarna nog eens extra kon checken en kan nu wel zeggen dat zelfs wanneer er iemand toegang heeft door lekke code, er nu in ieder geval veel minder mogelijk is.

Je kunt alles nog zo mooi in aparte zandbakjes laten draaien, je security is soms zo goed als je naiefste klanten.

Ik zou idd ook is in je server gaan spitten, Windows update zal het waarschijnlijk niet zijn daar heb je het te vaak voor. eerder iemand die je back aan het vol leechen is...

Met Commview kom ik 1 IP adres tegen dan constant gebruik maakt van process 'inetinfo.exe'. Deze heeft de afgelopen uren flink wat bytes heen en weer gezonden.

Als ik op zoek ga naar dit IP adres lijkt het een FTP verbinding te zijn. Als ik de FTP-logs er vervolgens bij zoek zie ik dat dit IP adres de hele dag 'webcam.jpg' aan het uploaden is. Dit vreet natuurlijk dataverkeer.

Het aparte is echter dat deze klant gebruik maakt van FTP account 'X'. Deze heb ik echter verwijderd. Toch blijft het verkeer doorgaan. Het blokkeren van dit IP adres lijkt mij echter niet mogelijk in de Windows firewall. Ook niet in IIS -> FTP.

Verder valt op dat het volgende proces veel gebruikt worden maar lastig te achterhalen is: svchost.exe

svchost.exe is een windows proces (zolang het uitgevoerd wordt door "System" of "netwerkservice", door een user is dus niet goed .

IP door je provider laten nullrouten?

Oorspronkelijk geplaatst door santema

svchost.exe is een windows proces (zolang het uitgevoerd wordt door "System" of "netwerkservice", door een user is dus niet goed .

IP door je provider laten nullrouten?

Dat is het geval. System, network services & local services.

Zie hier een overzicht van Commview. Wellicht dat iemand advies kan geven op basis van onderstaand screenshot.

Oorspronkelijk geplaatst door Erikcreative

Met Commview kom ik 1 IP adres tegen dan constant gebruik maakt van process 'inetinfo.exe'. Deze heeft de afgelopen uren flink wat bytes heen en weer gezonden.

Totaal 6,4 MB volgens je screenshot.
Denk niet dat het de piek is waar je naar op zoek bent.

Lijkt me meer iemand die een webcam op zijn pc heeft aangesloten, en een programma'tje heeft draaien dat om de zoveel tijd een foto maakt en deze naar zijn website FTP'd.

Oorspronkelijk geplaatst door maxnet

Totaal 6,4 MB volgens je screenshot.
Denk niet dat het de piek is waar je naar op zoek bent.

Lijkt me meer iemand die een webcam op zijn pc heeft aangesloten, en een programma'tje heeft draaien dat om de zoveel tijd een foto maakt en deze naar zijn website FTP'd.

Klopt maar dit was in 10 minuten. Gebruikt dus best veel en komen niet terug in FTP stats. Zelfs na het verwijderen van deze ftp gebruiker loopt het verkeer door

Oorspronkelijk geplaatst door Erikcreative

Klopt maar dit was in 10 minuten. Gebruikt dus best veel en komen niet terug in FTP stats. Zelfs na het verwijderen van deze ftp gebruiker loopt het verkeer door

Da's dan een apart probleem.
Het levert in ieder geval geen pieken van 40 mbit op.


FTP stats zoals weergegeven in een control panel zijn doorgaans niet real-time.
Die lezen eens in de zoveel tijd een keer het logbestand in, en tellen dan het dataverkeer op.

Oorspronkelijk geplaatst door santema

svchost.exe is een windows proces (zolang het uitgevoerd wordt door "System" of "netwerkservice", door een user is dus niet goed .

Dat het uitgevoerd wordt door system of netwerk betekent niet dat het proces niet geinfecteerd is.

Erik; Wat betreft het uploaden van webcam.jpg; als je niet in staat bent om dat zelf te traceren, niet weet wat svchost.exe doet en niet weet hoe je een specifieke poort op een specifiek IP moet blokken, dan moet je deze machine niet zelf beheren als je er klanten op hebt draaien. Oefenen moet je niet op een productiemachine doen. Niet persoonlijk bedoeld, is puur advies. Je zou er goed aan doen om iemand in te huren die dit voor je regelt. Kost wat, maar met dit soort dingen verdien je dat dubbel en dwars terug.

Oorspronkelijk geplaatst door Erikcreative

Dat is het geval. System, network services & local services.

Zie hier een overzicht van Commview. Wellicht dat iemand advies kan geven op basis van onderstaand screenshot.

Ik zie in het plaatje op de eerste regel iemand die verbinding heeft met je MySQL server. Heb je externe toegang daarvoor aanstaan voor je klanten?
Kan het niet zijn dat dat een backupscript van je klant is welke via zijn eigen server verbinding maakt. Timmer die MySQL anders eens dicht en kijk wat er dan gebeurt..