Server Scans

scyathome · 13. April 2009

Hallo,

seit geraumer Zeit wird von euer Server mit dem DFind Tool auf meine Server gescannt. Das DFind Tool ist ein Vulnerability Scanner der nach Lücken in Scripte wie PHPKit, Joomla usw sucht.

Code

85.14.216.250 - - [13/Apr/2009:10:20:02 +0200] "GET /w00tw00t.at.ISC.SANS.DFind:) HTTP/1.1" 400 226
85.14.216.250 - - [13/Apr/2009:10:20:15 +0200] "GET /w00tw00t.at.ISC.SANS.DFind:) HTTP/1.1" 400 226
85.14.216.250 - - [13/Apr/2009:10:20:47 +0200] "GET /w00tw00t.at.ISC.SANS.DFind:) HTTP/1.1" 400 226

Eure Seite wird zwar durch ein Ban Script automatisch für 24Std. gebannt, ist jedoch ärgerlich dass die Server Logs zugemüllt werden.

Code

Email From [Fail2Ban Server]f2b@xxxxxxxx.com w00tw00t: banned 85.14.216.250
[IMG]https://mail.google.com/mail/images/cleardot.gif[/IMG]
Hi,
The IP 85.14.216.250 has just been banned by Fail2Ban after
3 attempts against w00tw00t.
Here are more information about [URL='http://85.14.216.250/forum/../']85.14.216.250[/URL]:
% This is the RIPE Whois query server #3.
% The objects are in RPSL format.
%
% Rights restricted by copyright.
% See [URL]http://www.ripe.net/db/copyright.html[/URL]
% Note: This output has been filtered.
% To receive output for a database update, use the "-B" flag.
% Information related to '85.14.216.0 - 85.14.223.255'
inetnum: 85.14.216.0 - 85.14.223.255
netname: UNITEDCOLO
descr: UNITEDCOLO RootServer
country: DE
admin-c: UCHM-RIPE
tech-c: UCHM-RIPE
status: ASSIGNED PA
remarks: ***********************************
remarks: * *
remarks: * Please submit abuse only on *
remarks: * *
remarks: * [URL]http://www.unitedcolo.de/abuse/[/URL] *
remarks: * *
remarks: ***********************************
mnt-by: MNT-UNITEDCOLO
source: RIPE # Filtered
role: Hostmaster [URL='http://unitedcolo.de/']unitedcolo.de[/URL]
address: UNITED COLO GmbH
address: Sonntagsanger 1
address: 96450 Coburg
address: Germany
phone: +49-9561-871145
fax-no: +49-9561-871146
e-mail: [EMAIL='noc@unitedcolo.de']noc@unitedcolo.de[/EMAIL]
admin-c: ON99-RIPE
tech-c: ON99-RIPE
tech-c: VK1406-RIPE
nic-hdl: UCHM-RIPE
remarks: ***********************************
remarks: * *
remarks: * Mail all Abuse to *
remarks: * *
remarks: * [EMAIL='abuse@unitedcolo.de']abuse@unitedcolo.de[/EMAIL] *
remarks: * *
remarks: ***********************************
mnt-by: MNT-UNITEDCOLO-MNT
source: RIPE # Filtered
% Information related to '[URL='http://85.14.192.0/18AS13301']85.14.192.0/18AS13301[/URL]'
route: [URL='http://85.14.192.0/18']85.14.192.0/18[/URL]
descr: [URL='http://unitedcolo.de/']unitedcolo.de[/URL]
origin: AS13301
mnt-by: MNT-UNITEDCOLO
source: RIPE # Filtered
% Information related to '[URL='http://85.14.216.0/24AS13301']85.14.216.0/24AS13301[/URL]'
route: [URL='http://85.14.216.0/24']85.14.216.0/24[/URL]
descr: [URL='http://unitedcolo.de/']unitedcolo.de[/URL]
origin: AS13301
mnt-by: MNT-UNITEDCOLO
source: RIPE # Filtered
Regards,
[COLOR=#888888]
Fail2Ban[/COLOR]

Alles anzeigen

Code

root@xxxxx:# iptables -L
Chain f2b-w00tw00t (1 references)
target prot opt source destination
DROP all -- 85.14.216.250 anywhere
RETURN all -- anywhere anywhere

Ich vermute dass eure XAMPP Windows Installation nicht ganz dicht ist. Ihr solltet das so schnell wie möglich fixen, sonst muss ich eine Abuse Meldung an euer Provider rausschicken.

Grüsse

Thiefcatcher · 13. April 2009

Hi Scyathome,

erstmal Danke für die Meldung. Erste Maßnahme ist, das ich jetz ANTIVir Server (30Tage Test) installiert habe, Scann läuft gerade. @ Gandi: Bitte dringen XAmp überprüfen und ggf. korrigieren.

@ alle, sollte wir das Problem nicht zügig in den Griff kriegen, müssen wir die Seite schneller als erwartet umziehen.....sch...

naja...

Gruß

Jarus · 13. April 2009

Da sollte mal der Serveradmin Ghandi oder wer shell zgriff hat mal nachschauen.

Soweit ich google richtig verstande habe heisst der übeltäter dfind.exe

und ändert mal die passwörter.;)

@tc das kein virus sonder ein scan tool welches manuell ausgeführt wird. da hat jemand von unseren server aus gescannt.

Wini · 13. April 2009

Thiefcatcher(911) schrieb:

@ müssen wir die Seite schneller als erwartet umziehen.....sch...

Das wäre doch sicherlich sowieso besser wenn das noch vor der LNDP passieren würde?!

scyathome · 13. April 2009

Keine Panik, ich werde keine Abuse raushauen wenn ihr das in den Griff bekommt. Im schlimmsten Fall kann euer Provider den Server dicht machen wenn sich ein anderer beschwert.

Ich glaube dass es mit XAMPP zusammenhängt, seltsam ist eben dass alle Seiten mit dem DFind-Tool auch Xampp 1.7 Windows installiert haben.

Grüsse

Thiefcatcher · 14. April 2009

Hi Scy,

schau mal ob Du immer noch Abfragen von unserem Server bekommst. Ich habe unsere Kiste jetzt untersucht und nur einen Registry-Eintrag gefunden der auf DFind hinweist. Sonst nichts. Diesen Eintrag habe ich gelöscht und den Server neugestartet. Und noch ein paar andere Maßnahmen eingerichtet.....

Und im Zweifel kannst Du Dir die Abusemeldung sparen, das haben schon andere erledigt.... :o So ein Sch.....

Gruß

scyathome · 15. April 2009

Hi,

es wird fleissig weitergescannt nachdem heute um 9 Uhr durch iptables eure IP entbannt wurde, ging es um 11:15 weiter.

Code

Datum[IMG]https://mail.google.com/mail/images/cleardot.gif[/IMG]15. April 2009 11:15Betreff[IMG]https://mail.google.com/mail/images/cleardot.gif[/IMG][Fail2Ban] w00tw00t: banned 85.14.216.250
Details ausblenden 11:15 (Vor 6 Stunden)
[IMG]https://mail.google.com/mail/images/cleardot.gif[/IMG]Antworten
[IMG]https://mail.google.com/mail/images/cleardot.gif[/IMG]
The IP 85.14.216.250 has just been banned by Fail2Ban after
3 attempts against w00tw00t.
Here are more information about [URL='http://85.14.216.250/forum/../']85.14.216.250[/URL]:
% This is the RIPE Whois query server #2.
% The objects are in RPSL format.
%
% Rights restricted by copyright.
% See [URL]http://www.ripe.net/db/copyright.html[/URL]
% Note: This output has been filtered.
% To receive output for a database update, use the "-B" flag
% Information related to '85.14.216.0 - 85.14.223.255'
inetnum: 85.14.216.0 - 85.14.223.255
netname: UNITEDCOLO
descr: UNITEDCOLO RootServer
country: DE
admin-c: UCHM-RIPE
tech-c: UCHM-RIPE
status: ASSIGNED PA
remarks: ***********************************
remarks: * *
remarks: * Please submit abuse only on *
remarks: * *
remarks: * [URL]http://www.unitedcolo.de/abuse/[/URL] *
remarks: * *
remarks: ***********************************
mnt-by: MNT-UNITEDCOLO
source: RIPE # Filtered
role: Hostmaster [URL='http://unitedcolo.de/']unitedcolo.de[/URL]
address: UNITED COLO GmbH
address: Sonntagsanger 1
address: 96450 Coburg
address: Germany
phone: +49-9561-871145
fax-no: +49-9561-871146
e-mail: [EMAIL='noc@unitedcolo.de']noc@unitedcolo.de[/EMAIL]
admin-c: ON99-RIPE
tech-c: ON99-RIPE
tech-c: VK1406-RIPE
nic-hdl: UCHM-RIPE
remarks: ***********************************
remarks: * *
remarks: * Mail all Abuse to *
remarks: * *
remarks: * [EMAIL='abuse@unitedcolo.de']abuse@unitedcolo.de[/EMAIL] *
remarks: * *
remarks: ***********************************
mnt-by: MNT-UNITEDCOLO-MNT
source: RIPE # Filtered
% Information related to '[URL='http://85.14.192.0/18AS13301']85.14.192.0/18AS13301[/URL]'
route: [URL='http://85.14.192.0/18']85.14.192.0/18[/URL]
descr: [URL='http://unitedcolo.de/']unitedcolo.de[/URL]
origin: AS13301
mnt-by: MNT-UNITEDCOLO
source: RIPE # Filtered
% Information related to '[URL='http://85.14.216.0/24AS13301']85.14.216.0/24AS13301[/URL]'
route: [URL='http://85.14.216.0/24']85.14.216.0/24[/URL]
descr: [URL='http://unitedcolo.de/']unitedcolo.de[/URL]
origin: AS13301
mnt-by: MNT-UNITEDCOLO
source: RIPE # Filtered
Regards,
[COLOR=#888888]
Fail2Ban
[/COLOR]

Alles anzeigen

Grüsse

Also Abuse kam nicht von mir, wenn das meine Absicht gewesen wäre hätte ich euch gar nicht angeschrieben.

SteelClaw · 15. April 2009

Hmm

@Scy bekommst du solche Portscans nur von dem Server hier oder auch von anderen ???

Eine andere frage die sich mir noch stellt ist was ist denn wenn die angriffe von ganz wo anders her kommen und unser server nur der letzte in der reihe ist über den die Angriffe, Scans erfolgen !?:confused:

Erazor(911) · 15. April 2009

@TC: Schmeiss mal die Windows Firewall weg und nimm ne andere. Wir sollten sprechen

Thiefcatcher · 15. April 2009

scyathome schrieb:

Also Abuse kam nicht von mir, wenn das meine Absicht gewesen wäre hätte ich euch gar nicht angeschrieben.

Weiss ich, wäre auch kein Problem gewesen, denn Du hast ja Recht!

Gruß

Thiefcatcher · 16. April 2009

Hi,

und jetzt??? ich habe die Scheiss Dinger gefunden. Lagen versteckt im Papierkorb....:mad::mad::mad::mad::mad::mad::mad::mad: :);):D und gelöscht. Ich finde die Dienste pmfind.exe und titten.exe auch nicht mehr.

Gruß

Ronin(911) · 16. April 2009

TC, wie schauts mit Pw ändern aus? Wenn jemand von unserer butze aus scannt, hat er vielleicht auch schonne das Pw.

Neues zurecht packen, und mündlich per TS weitergeben?

MKG
Ronin

Thiefcatcher · 17. April 2009

@Ronin: Das kommt,

Jeder der Admins erhält ein eigenen User mit eigenen Passwort. Man meldet sich dann normal über VNC an. Als erstes sieht man dann aber die normale Anmeldemaske von Windows. Dort ganz normal mit dem Passwort anmelden und die SIM über den Desktop starten. Nach dem Ende der Session wird sich dann wie daheim !! abgemeldet !! = Nicht über das kleine Kreuz oben rechts sondern durch normales abmelden des Useres.

Das hat den Vorteil, dass nicht die ganze Zeit und rund um die Uhr eine VNC Session geöffnet ist und jeder seinen eigenen User hat. Ist besser für das Nachvollziehen wer was getan hat. Zudem wird jeder der "Admins" nur normale Userrechte haben.

Das heißt, Ihr kommt zwar auf den Server drauf, könnt dort die SIM starten und beenden, könnt aber nichts installieren oder Servereinstellungen verändern.

Die User werden dann Ihr Passwort regelmäßig ändern müssen. Das richtige Adminkonto wird vorerst nur mir und ein, zwei anderen zugänglich sein.

Wenn ich mit den Vorbereitungen fertig bin melde ich mich.

Gruß

Wini · 17. April 2009

Thiefcatcher(911) schrieb:

Jeder der Admins erhält ein eigenen User mit eigenen Passwort.

Das heißt dann doch auch das jeder einen Ordner "Eigene Dateien" hat wo die Szenarien zu finden sind.
Wenn also UserA ein Szenario hochlädt kann UserB nicht darauf zugreifen, richtig!?

Steel Beasts Version 4.1 ist da!

Steel Beasts Version 4.1 ist da!

Steel Beasts Version 4.1 ist da!

Server Scans