ich weiß dass es schon viele Posts zu diesem Thema gibt und einige wirklich gute How-Tos die ich mir in diesem Zusammenhang schon angesehen habe, aber nichtdestorotz fühle ich mich in Sachen Internetsecurity teilweise immer noch sehr unerfahren und möchte hier mal ein paar konkrete Fragen zu meinem Problem äussern:
Also, mein System, ein dedizierter Root-Server, den ich hobbymäßig für einen Gameserver betreibe, zeigt neuerlich ein Verhalten, das mich kein en Zweifel mehr haben lässt, dass ich gehakt wurde.
Das ganze fing vor einigen Wochen an, als ich bemerkte dass unser Traffic das 1Terabyte-Limit überschritt.
Da ich mich nicht wirklich tiefgreifend mit Überwachungstools auskenne habe ich "händisch" per netstat -a die Verbindungen im Auge behalten und siehe da um evtl die ein oder andere "ungewöhnliche" Verbindung zu finden. Zeitgleich habe ich natürlich die entsprechenden Logs im Auge behalten.
Auf meinem System laufen natürlich iptables und eine vom Provider bereitgestellte Firewall mit Default-Policy Deny und nur http, https, ssh und den Gameports freigegeben.
Dennoch fand ich in Netstat immer wieder Verbindungen für die ich nicht verantwortlich war. Und das ist noch untertrieben. Erst heute beobachete ich wie mein System mit SSH-Verbindungen regelrecht 'gefloodet' wurde.
Ein Blick in die auth.log gab folgendes Preis:
Code: Select all
Mar 19 06:47:05 sshd[2355]: Failed password for root from ::ffff:200.199.20.133 port 1702 ssh2
Mar 19 06:47:06 sshd[2355]: debug1: do_cleanup
Mar 19 06:47:06 sshd[2355]: debug1: PAM: cleanup
Mar 19 06:47:11 sshd[2386]: Connection from ::ffff:200.199.20.133 port 1810
Mar 19 06:47:13 sshd[2386]: reverse mapping checking getaddrinfo for gatekeeper.el-pe.org.br failed - POSSIBLE BREAKIN ATTEMPT!
Code: Select all
/var/log# grep 200.199.20.133 auth.log |wc -w
6080
Code: Select all
/etc/.. /ssh-scanUnd hier ist der Punkt an dem ich gedanklich aussteige. Mein auth.log spricht von einem möglichen Einbruchsversuch, durch massive SSH-Loginversuche, während das verantwortliche Binary in einem versteckten Ordner auf meinem System zu finden ist?
In meinem etc-Verzeichnis befinden sich zweiterhin folgende Files mit merkwürdiger Benutzerkennung:
Code: Select all
:/etc# ll ssh*
-rw-r--r-- 1 503 503 880 Sep 26 2003 ssh_config
-rw------- 1 503 503 526 Sep 26 2003 ssh_host_key
-rw-r--r-- 1 503 503 330 Sep 26 2003 ssh_host_key.pub
-rw------- 1 503 503 512 Mar 19 16:16 ssh_random_seed
Ich habe also mit meinem Provider gesprochen, der mich an dieses Forum hier verwiesen hat. Bei dem Gespräch habe ich allerdings noch erfahren, dass es in letzer Zeit vermehrte Hacks über CMS-Systeme gab. Das würde dazu passen, dass ich das Programm ssh-scan nochmal in meinem CMS-Ordner fand. Aber wie kommt man über das CMS zu Schreibrechten in /etc???
Ich habe nichtsdestotroz also mein CMS auf die neueste Version gebracht (war da zugegeben etwas schlampig), sämmtliche Passwörter geändert sowohl im CMS als auch über die bash und weiß jetzt nicht was ich noch tun kann.
Ich habe bei meinen recherschen gelesen, dass man den ssh-deamon so konfigurieren kann, dass er über eine positiv-Liste nur bestimmte benutzernamen zur Anmeldung akzeptiert.
Bringt das was?
Ich habe mir chkrootkit besorgt, aus Angst vor evtl Hintertüren und es durchlaufen lassen mit folgener Ausgabe:
Code: Select all
p15157908:/etc# chkrootkit -q
You have 2 process hidden for readdir command
You have 2 process hidden for ps command
Warning: Possible LKM Trojan installed
4 deletion(s) between Thu Mar 16 02:36:23 2006 and Thu Mar 16 02:55:35 2006
Google hat bezüglich der LKM-Trojaner Zeile nicht viel mehr hergegebe als Berichte von ein paar leuten bei denen sich die chkrootkit-Meldung als falscher Alarm erwies, was bei mir wohl nicht der Fall ist :/
Es bittet verzweifelt um Hilfe
Markus, ein verzweifelter root
