account gehacked

[snaaps]

We zijn er gisteren achter gekomen dat een van onze accounts is gehackt door een franse hacker.
Het script was gescreven door "Tagg By Morkxy"
Het script werd gebruikt voor hey ilegaal verspreiden van software en dvd's.
Ik heb uit veiligheidoverwegingen alle bestanden verwijderd.
Nu heb ik eigelijk twee vragen:

Hoe heeft dit kunnen gebeuren en welke log bestanden kan ik hiervoor allemaal bekijkken?

Gebeurd dit vaker dat hackers ruimte verschaffen op deze manier om zo hun software en dvd's te verspreiden.

Ik heb inmiddels wel een ip adres weten te achterhalen. dit ip adres is afkomstig van wanadoo.fr, echter zou dit natuurlijk ook fake kunnen zijn.

[Basic-it]

Ik denk dat je systeem een lek heeft en dat deze hacker van een fxp team afkomstig is en zoals je al zij je server gebruikte om illigale downloads te verspreiden. Heb eigenlijk het scriptje nog?
Misschien kan je die eens sturen dan kan ik eens kijken wat voorn exploit het is zodat je je server kan secure.

[RayManZ]

Dat ip zal wel kloppen. Waarom? FXP gasten gebruiken bijna nooit proxy's. Wat inderdaad stom is inderdaad. Verder kun je het script bekijken zodat je weet welke exploit ze gebruikt hebben

Aangeven die gast dus. Ik neem aan dat je linux draait?

[M-BahZ]

Origineel geplaatst door snaaps
Ik heb inmiddels wel een ip adres weten te achterhalen. dit ip adres is afkomstig van wanadoo.fr, echter zou dit natuurlijk ook fake kunnen zijn.

Spoofed adressen werken niet echt lekker als je met een service connect, denk je wel ?
Echter kan het natuurlijk wel een proxy zijn, maar ik vermoed haast van niet.
Zou je overigens wel proberen te valideren door even een portscan uit te voeren op desbetreffende ip, alhoewel een eventuele proxy natuurlijk niet meer hoeft te draaien op desbetreffende systeem.

[snaaps]

Origineel geplaatst door RayManZ
Aangeven die gast dus. Ik neem aan dat je linux draait? [/B]

Hoe moet ik dat doen? ik heb de provider al een e-mail gestuurd echter nog geen reactie.

Het betreffende script heb ik niet meer. dom, dom, dom.
wat voor beveiligingen raden jullie nog meer aan dan enkelt een firewall?

[M-BahZ]

Origineel geplaatst door snaaps

wat voor beveiligingen raden jullie nog meer aan dan enkelt een firewall?

Firewalls zijn ondingen.
Poorten die jezelf niet openzet, of open laat zetten hoeven ook niet dicht.
Vreemde types verkeer hoor je weg te filteren _voor_ het een server binnenkomt.
Enige functionele kan eventueel zijn dat je bepaalde hosts kunt blocken, maar dat laat dan weer te wensen over daar mensen de keuze hebben uit een ontelbaar aantal ip adressen middels shells, proxys, etc, etc.. enkel een whitelist kan functioneel zijn wat dat betreft.

Met betrekking tot beveiliging zijn er teveel punten om op te noemen.
In ieder geval is het zaak de meest belangrijke patches te installeren, een goed afgewogen configuratie te hebben, etc. etc.
Voor een extra gevoel van veiligheid kan je dan weer gaan denken aan zaken als een IDS en bijvoorbeeld de grsec kernel patches.

[Mikey]

Misschien dat je vermeld om wat voor besturings systeem het gaat.

[snaaps]

Linux ferdora core 2 en 3
(twee servers)

[RayManZ]

Update je regelmatig? php en dergelijke? alles was recente software?

[snaaps]

Fedora wordt regelmatig geupdate door middel van yum.
Verder voer ik alle andere updates uit via cpanel.
Kernel is niet geupdate, omdat ik eigelijk bang ben dat het verkeerd gaat.
de sql versie is momenteel 4.0.22, echter schijnen hier ook wat lekken in te zitten. Ik heb toendertijd de sqlserver geupdate wat als gevolg had dat dit niet correct werkten met cpanel. ik heb toen de sqlserver opnieuw moeten installeren.

Via Kiss firewall staat zoveel mogelijk dicht (athans dat ik weet).
Maar ik zal wel even wat verder gaan googlen

[RayManZ]

mysql laatste is 4.0.23 geloof ik Ik weet niet of cpanel ook proftp draait maar bij DA is het zo dat je daar 1.2.9 krijgt terwijl 1.2.10 de laatste is. Ik denk trouwens ook niet dat alles via cpanel te updaten is?

[Mikey]

Origineel geplaatst door snaaps
Kernel is niet geupdate, omdat ik eigelijk bang ben dat het verkeerd gaat.

Uhh dan ga ik daar maar vanuit dat ze door dat binnen gekomen zijn. Er zijn vele advisory's geweest over de oudere fedora kernels. Zal ze maar eens updaten als ik jouw was. Tevens scan op rootkits, en kijk welke poorten er open staan "netstat -an"

[nightrid3r]

Ik vraag me eerlijk gezegd af waarom je fedora core gebruikt als os.
fedora core is eigenlijk een ontwikkel versie van red hat enterprise linux.

Indien het om financiele reden is kan ik je CentOS aanradden, dit is een gratis hercompilatie van de officiele RH sources voor RHEL 3.

Ook zijn alle RH patches binnen da 48 uur beschikbaar zodat je steeds een veilig en stabiel systeem hebt.

kijk eventueel eens op hhtp://www.centos.org