Onderwerp: Server hacked.

Hallo allemaal,

Ik heb sinds een paar maanden een dedicated server gehuurd. Hierbij heb ik een PLESK licentie voor 10 domeinen. Is voor mij genoeg.

Op deze server heb ik ook VNstat geïnstalleerd. Dit programma zet mooi ons dataverkeer in kaart (hoeveel verbruikt, per uur / dag / week...)

Nu zag ik laatst dat op sommige momenten de server 41 Gigabyte per uur opslokt. Dit is enorm veel en klopt natuurlijk niet. Dit gebeurd soms 2/3 uur achter elkaar. Niet heel de dag lang. Zie dit

Server opnieuw laten installeren en een dag later was het weer zover. Nu hebben wij contact opgenomen met onze server hoster, en deze (i3d) kon in de logs zien dat wij meedoen met een DDOS attack. Zoals je nu al begrijpt is deze niet door onszelf aangezet...

Wij hebben op 1 domein PHPBB staan, hierover heb ik gelezen dat hiermee de server te hacken is... Maar hoe precies (om te testen) en de oplossingen heb ik niet kunnen vinden.

Ik kan zelf ook op de server niets vinden over de DDOS, dus ik sta hier voor een raadsel. Is er iets dat ik hiertegen kan doen??

Alvast bedankt!
(p.s. Andere domeinen op dezelfde server: Energize-hosting, ZHost, NL-Noob.nl) De laatste site is puur en alleen om even wat dingen te testen, hierdoor zal de content veranderend zijn. Tot nu toe zijn het alleen nog maar volledige HTML pagina's geweest, dus niet hackbaar imo.

Vraag eens bij je leverancier wat daar te zien is aan traffic

Exact hetzelfde. I3D Heeft een bandwidth panel. Hierop is te zien dat er inderdaad zoveel verbruikt wordt. Servers root password is veranderd, dus de data kan niet van de server afkomen neem ik aan.

Zo.. zo te zien krijg je een flinke rekening voor je dataverkeer op nacalculatie...

Heb je al bestanden op de server gecheckt? Bestanden die eropstaan die er niet ophoren of lekke/brakke scripts?

phpBB geupdate naar laatste versie?

Voor wat ik nu kan zien staat er niets vreemds op, phpbb is inderdaad de laatste versie.
Ikzelf kan niets vreemds vinden, maar ik ben dan ook geen linux-expert, weet er aardig wat vanaf, maar dan heb je het gehad ook.

P.s. wij hebben 5TB per maand, dit lukt tot nu toe net.

Is het zeker dat het een DOS is? Al goed gecontroleerd dat er geen warez of movies geupload zijn via brakke scripts en dat je nu als doorgeef luik fungeert?

Controleer ook even je /tmp partities of je daar gekke dingen ziet staan

Ik zou ook eerst even alle website die erop staan offline zetten en dan kijken of het stopt. (als de sites niet zo belangrijk zijn)
Zo niet dan staat er ergens een bestand op je server wat het veroorzaakt.

Allemaal bedankt voor de reacties
In de tmp map staat niets vreemds, een paar logs.
Het offline halen van de websites is niet mogelijk. Ze zijn namelijk van clients, dus het zal niet gewaardeerd worden als ik ze offline haal.

Dit is trouwens de log die ik kreeg van I3D:

Code:

Dear Customer,

Your server is participating in a DDos, please resolve this issue as soon as possible!

<!-- /* Font Definitions */ @font-face {font-family:"Cambria Math"; panose-1:2 4 5 3 5 4 6 3 2 4; mso-font-charset:1; mso-generic-font-family:roman; mso-font-format:other; mso-font-pitch:variable; mso-font-signature:0 0 0 0 0 0;} @font-face {font-family:Calibri; panose-1:2 15 5 2 2 2 4 3 2 4; mso-font-charset:0; mso-generic-font-family:swiss; mso-font-pitch:variable; mso-font-signature:-520092929 1073786111 9 0 415 0;} @font-face {font-family:Consolas; panose-1:2 11 6 9 2 2 4 3 2 4; mso-font-charset:0; mso-generic-font-family:modern; mso-font-pitch:fixed; mso-font-signature:-520092929 1073806591 9 0 415 0;} /* Style Definitions */ p.MsoNormal, li.MsoNormal, div.MsoNormal {mso-style-unhide:no; mso-style-qformat:yes; mso-style-parent:""; margin:0cm; margin-bottom:.0001pt; mso-pagination:widow-orphan; font-size:11.0pt; font-family:"Calibri","sans-serif"; mso-ascii-font-family:Calibri; mso-ascii-theme-font:minor-latin; mso-fareast-font-family:Calibri; mso-fareast-theme-font:minor-latin; mso-hansi-font-family:Calibri; mso-hansi-theme-font:minor-latin; mso-bidi-font-family:"Times New Roman"; mso-bidi-theme-font:minor-bidi; mso-fareast-language:EN-US;} p.MsoPlainText, li.MsoPlainText, div.MsoPlainText {mso-style-noshow:yes; mso-style-priority:99; mso-style-link:"Plain Text Char"; margin:0cm; margin-bottom:.0001pt; mso-pagination:widow-orphan; font-size:10.5pt; font-family:Consolas; mso-fareast-font-family:"Times New Roman";} span.PlainTextChar {mso-style-name:"Plain Text Char"; mso-style-noshow:yes; mso-style-priority:99; mso-style-unhide:no; mso-style-locked:yes; mso-style-link:"Plain Text"; mso-ansi-font-size:10.5pt; mso-bidi-font-size:10.5pt; font-family:Consolas; mso-ascii-font-family:Consolas; mso-fareast-font-family:"Times New Roman"; mso-hansi-font-family:Consolas; mso-bidi-font-family:Consolas; mso-fareast-language:NL;} .MsoChpDefault {mso-style-type:export-only; mso-default-props:yes; mso-ascii-font-family:Calibri; mso-ascii-theme-font:minor-latin; mso-fareast-font-family:Calibri; mso-fareast-theme-font:minor-latin; mso-hansi-font-family:Calibri; mso-hansi-theme-font:minor-latin; mso-bidi-font-family:"Times New Roman"; mso-bidi-theme-font:minor-bidi; mso-fareast-language:EN-US;} @page Section1 {size:612.0pt 792.0pt; margin:70.85pt 70.85pt 70.85pt 70.85pt; mso-header-margin:35.4pt; mso-footer-margin:35.4pt; mso-paper-source:0;} div.Section1 {page:Section1;} -->

23023   0.899931 213.163.76.53 -> 87.238.173.142 DNS Unknown operation

(13) response, Server failure[Malformed Packet]

23025   0.900026 213.163.76.53 -> 87.238.173.142 DNS Unknown operation

(13) response, Server failure[Malformed Packet]

23028   0.900134 213.163.76.53 -> 87.238.173.142 DNS Unknown operation

(13) response, Server failure[Malformed Packet]

23031   0.900286 213.163.76.53 -> 87.238.173.142 DNS Unknown operation

(13) response, Server failure[Malformed Packet]

23035   0.900378 213.163.76.53 -> 87.238.173.142 DNS Unknown operation

(13) response, Server failure[Malformed Packet]

23038   0.900476 213.163.76.53 -> 87.238.173.142 DNS Unknown operation

(13) response, Server failure[Malformed Packet]

23041   0.900625 213.163.76.53 -> 87.238.173.142 DNS Unknown operation

(13) response, Server failure[Malformed Packet]

23044   0.900724 213.163.76.53 -> 87.238.173.142 DNS Unknown operation

(13) response, Server failure[Malformed Packet]

23046   0.900873 213.163.76.53 -> 87.238.173.142 DNS Unknown operation

(13) response, Server failure[Malformed Packet]

23048   0.900974 213.163.76.53 -> 87.238.173.142 DNS Unknown operation

(13) response, Server failure[Malformed Packet]

23051   0.901087 213.163.76.53 -> 87.238.173.142 DNS Unknown operation

(13) response, Server failure[Malformed Packet]

23055   0.901179 213.163.76.53 -> 87.238.173.142 DNS Unknown operation

(13) response, Server failure[Malformed Packet]

23059   0.901331 213.163.76.53 -> 87.238.173.142 DNS Unknown operation

(13) response, Server failure[Malformed Packet]

23061   0.901430 213.163.76.53 -> 87.238.173.142 DNS Unknown operation

(13) response, Server failure[Malformed Packet]

23063   0.901571 213.163.76.53 -> 87.238.173.142 DNS Unknown operation

(13) response, Server failure[Malformed Packet]

23067   0.901682 213.163.76.53 -> 87.238.173.142 DNS Unknown operation

(13) response, Server failure[Malformed Packet]

23069   0.901782 213.163.76.53 -> 87.238.173.142 DNS Unknown operation

(13) response, Server failure[Malformed Packet]

23070   0.901923 213.163.76.53 -> 87.238.173.142 DNS Unknown operation



Best regards,
Met vriendelijke groet,

P.s. Grote bestanden gezocht (50MB+), alle bestanden zo groot waren van mijzelf. (100% zeker)
Nog vergeten te zeggen: Er draaien 2 gameservers op. (CSS en COD). Deze gebruiken sowieso geen 41 GB per uur, maar ik meld het even.

Oorspronkelijk geplaatst door arjenlodder

Allemaal bedankt voor de reacties
In de tmp map staat niets vreemds, een paar logs.
Het offline halen van de websites is niet mogelijk. Ze zijn namelijk van clients, dus het zal niet gewaardeerd worden als ik ze offline haal.

Dit is trouwens de log die ik kreeg van I3D:

Code:

Dear Customer,

Your server is participating in a DDos, please resolve this issue as soon as possible!

<!-- /* Font Definitions */ @font-face {font-family:"Cambria Math"; panose-1:2 4 5 3 5 4 6 3 2 4; mso-font-charset:1; mso-generic-font-family:roman; mso-font-format:other; mso-font-pitch:variable; mso-font-signature:0 0 0 0 0 0;} @font-face {font-family:Calibri; panose-1:2 15 5 2 2 2 4 3 2 4; mso-font-charset:0; mso-generic-font-family:swiss; mso-font-pitch:variable; mso-font-signature:-520092929 1073786111 9 0 415 0;} @font-face {font-family:Consolas; panose-1:2 11 6 9 2 2 4 3 2 4; mso-font-charset:0; mso-generic-font-family:modern; mso-font-pitch:fixed; mso-font-signature:-520092929 1073806591 9 0 415 0;} /* Style Definitions */ p.MsoNormal, li.MsoNormal, div.MsoNormal {mso-style-unhide:no; mso-style-qformat:yes; mso-style-parent:""; margin:0cm; margin-bottom:.0001pt; mso-pagination:widow-orphan; font-size:11.0pt; font-family:"Calibri","sans-serif"; mso-ascii-font-family:Calibri; mso-ascii-theme-font:minor-latin; mso-fareast-font-family:Calibri; mso-fareast-theme-font:minor-latin; mso-hansi-font-family:Calibri; mso-hansi-theme-font:minor-latin; mso-bidi-font-family:"Times New Roman"; mso-bidi-theme-font:minor-bidi; mso-fareast-language:EN-US;} p.MsoPlainText, li.MsoPlainText, div.MsoPlainText {mso-style-noshow:yes; mso-style-priority:99; mso-style-link:"Plain Text Char"; margin:0cm; margin-bottom:.0001pt; mso-pagination:widow-orphan; font-size:10.5pt; font-family:Consolas; mso-fareast-font-family:"Times New Roman";} span.PlainTextChar {mso-style-name:"Plain Text Char"; mso-style-noshow:yes; mso-style-priority:99; mso-style-unhide:no; mso-style-locked:yes; mso-style-link:"Plain Text"; mso-ansi-font-size:10.5pt; mso-bidi-font-size:10.5pt; font-family:Consolas; mso-ascii-font-family:Consolas; mso-fareast-font-family:"Times New Roman"; mso-hansi-font-family:Consolas; mso-bidi-font-family:Consolas; mso-fareast-language:NL;} .MsoChpDefault {mso-style-type:export-only; mso-default-props:yes; mso-ascii-font-family:Calibri; mso-ascii-theme-font:minor-latin; mso-fareast-font-family:Calibri; mso-fareast-theme-font:minor-latin; mso-hansi-font-family:Calibri; mso-hansi-theme-font:minor-latin; mso-bidi-font-family:"Times New Roman"; mso-bidi-theme-font:minor-bidi; mso-fareast-language:EN-US;} @page Section1 {size:612.0pt 792.0pt; margin:70.85pt 70.85pt 70.85pt 70.85pt; mso-header-margin:35.4pt; mso-footer-margin:35.4pt; mso-paper-source:0;} div.Section1 {page:Section1;} -->

23023   0.899931 213.163.76.53 -> 87.238.173.142 DNS Unknown operation

(13) response, Server failure[Malformed Packet]

23025   0.900026 213.163.76.53 -> 87.238.173.142 DNS Unknown operation

(13) response, Server failure[Malformed Packet]

23028   0.900134 213.163.76.53 -> 87.238.173.142 DNS Unknown operation

(13) response, Server failure[Malformed Packet]

23031   0.900286 213.163.76.53 -> 87.238.173.142 DNS Unknown operation

(13) response, Server failure[Malformed Packet]

23035   0.900378 213.163.76.53 -> 87.238.173.142 DNS Unknown operation

(13) response, Server failure[Malformed Packet]

23038   0.900476 213.163.76.53 -> 87.238.173.142 DNS Unknown operation

(13) response, Server failure[Malformed Packet]

23041   0.900625 213.163.76.53 -> 87.238.173.142 DNS Unknown operation

(13) response, Server failure[Malformed Packet]

23044   0.900724 213.163.76.53 -> 87.238.173.142 DNS Unknown operation

(13) response, Server failure[Malformed Packet]

23046   0.900873 213.163.76.53 -> 87.238.173.142 DNS Unknown operation

(13) response, Server failure[Malformed Packet]

23048   0.900974 213.163.76.53 -> 87.238.173.142 DNS Unknown operation

(13) response, Server failure[Malformed Packet]

23051   0.901087 213.163.76.53 -> 87.238.173.142 DNS Unknown operation

(13) response, Server failure[Malformed Packet]

23055   0.901179 213.163.76.53 -> 87.238.173.142 DNS Unknown operation

(13) response, Server failure[Malformed Packet]

23059   0.901331 213.163.76.53 -> 87.238.173.142 DNS Unknown operation

(13) response, Server failure[Malformed Packet]

23061   0.901430 213.163.76.53 -> 87.238.173.142 DNS Unknown operation

(13) response, Server failure[Malformed Packet]

23063   0.901571 213.163.76.53 -> 87.238.173.142 DNS Unknown operation

(13) response, Server failure[Malformed Packet]

23067   0.901682 213.163.76.53 -> 87.238.173.142 DNS Unknown operation

(13) response, Server failure[Malformed Packet]

23069   0.901782 213.163.76.53 -> 87.238.173.142 DNS Unknown operation

(13) response, Server failure[Malformed Packet]

23070   0.901923 213.163.76.53 -> 87.238.173.142 DNS Unknown operation



Best regards,
Met vriendelijke groet,

P.s. Grote bestanden gezocht (50MB+), alle bestanden zo groot waren van mijzelf. (100% zeker)

Lol, dus jij deed fijn mee aan DOS naar liteserver toe de afgelopen dagen
Ja je doet mee aan een DOS... check je /tmp op verborgen scripts e.d. en laat clamav eens lopen.

Arjen,

Zal ik mijn goede daad vandaag eens verrichten en je server even nakijken? Dat scheelt je straks eind van de maand een rekening voor oververbruik van dataverkeer - als i3D hem vor de tijd niet afsluit - waar je van gaat schikken.
Welk besturingssysteem is het? Randy is allergisch voor BSD's. Redhat en Debian (CentOS en Ubuntu) is echter oke.
Na 16.30 heb ik wel een half uurtje tijd voor je. Gegevens kun je mailen (lees: niet per PM droppen) naar randy@ispi.nl en zet je telefoonnummer er ook even bij voor als er wat vragen zijn.

Je /tmp checken is niet voldoende. Kijk ook je /var/tmp na (deze zou gesymlinkt moeten worden aan /tmp!) en installeer een firewall voor het UITGAANDE verkeer. ClamAV gaat niets vinden, dat kan ik je nu al vertellen. Bespaar jezelf deze moeite. Evenzo geldt voor outdated tools als chkrootkit. Enkel prutsers schrijven nog scripts en b0ts die daarmee te vinden zijn. Zelfs de gemiddelde 15-jarige scriptkiddo laat zich hiermee niet vinden .

Dit vind ik een heel mooi aanbod, en aan het aantal posts (en vooral de inhoud) neem ik wel aan dat je te vertrouwen bent.
Het OS: Ubuntu.
De verdere gegevens zal ik je mailen.

En dan hoor ik nog wel van je!! Bedankt!

Hi Arjen,

Randy is een aanrader op dit vlak!

Dat is heel fijn om te horen, ik zal dan ook graag gebruik maken van zijn diensten.
Wat betreft jullie: Allemaal bedankt!!!

Aha, daar kwam dus deels de overlast vandaan

En en en? Gelukt? (laat ook even weten wat het nu was)