DSL Leitung vermutlich angegriffen

Dr. nat. Berry

Dr. nat. Berry

0
Guten Abend Hacksler Board Team,

ich habe nur eine kleine Frage.

FALL
Einige Programmierer auf einen IRC Test Freak Server der auf einer DSL Leitung betrieben wird, chatten und unterhalten sich über einige Server die sie erstellen möchten (Scripting),
plötzlich kommt ein Vollhorst in dem Server und nervt herum.
Der Vollhorst wird gekillt und seine IP Range am DSL Router verbannt.
Zur Sicherheit schaltet der Admin dieses IRC Test Servers alle Ports zu und eine wählt eine neue dynamische IP.
Warscheinlich ärgert sich dieser Vollhorst und versucht irgendwie unser System zu stören, mit einem unbekannten Angriff auf einer Telefonleitung, falls dieser Vollhorst irgendwo Insiderwissen besitzt.

Ist man eigentlich demnoch angreifbar, obwohl man seinen DSL Router
für eine gewisse Zeit abschaltet und eine neue IP zugeteilt bekommt,
weil die Testserver vom Vollhorst angegriffen wurden.
Ich weiß das je nach Provider, ändern sich diese Ziffern (123.123.x.x) - bei einem besonderen Provider 123.x.x.x
-> Pro Sekunde kann der Vollhorst einen Router/Modem/Firmennetzwerk abscannen. Der könnte maximal 18 Stunden brauchen, um unser System wieder zu finden, wenn wir Glück haben. Ansonsten sollte man Fakeserver aufsetzen damit
der Router gleich schnell darauf reagiert.

Wie ich auf die 18 Stunden komme?
256 * 256 = 65535 entspricht 1 IP pro Sekunde abgescannt (wenn der Angreifer ein schnelles Netz hat), 65535 : 60 : 60 [min] = 18,2 Stunden

Gefährlich sind auch VoIP (SIP) und TR096 wobei des unter UDP/TCP Ebene läuft,
gibt es auch andere nicht Internetbasierte Protokolle die angegriffen werden könnten?

Hab Logfiles gesammelt, falls es jemanden interessiert, könnte ich diese posten.
Und was kann ich machen? Anzeigen? Logfiles irgendwelchen Abusestellen senden? Immerhin sind Portscans in Deutschland illegal!

Ich bedanke mich für Antworten, werde an das Forum wenn nötig Geld spenden ;D
 
Zuletzt bearbeitet:
Also dein Beitrag ist ziemlich wirr.

Also grundsätzlich lässt sich jeder Dienst in irgendeiner Art ausnutzen, der über das Internet erreichbar ist. Bei manchen ist es nur leichter als bei anderen.

Was euren IRC Server angeht frage ich mich, ob der nicht über eine Domain (evtl. auch Dyndns) erreichbar ist. In diesem Fall wäre es ja ein leichtes, sich wieder damit zu verbinden.
 
Anzeigen ist bei Verbrechen eigentlich die beste Keule, allerdings musst du die Identität des Angreifers belegen, oder Anzeige gegen Unbekannt erstatten (was meist wenig bringt). Außerdem solltest du sicherstellen dass wirklich eine Straftat vorliegt. Je nach Budget empfehle ich dejure.org oder einen Anwalt :)
 
lightsaver hat gesagt.:
Also dein Beitrag ist ziemlich wirr.

Also grundsätzlich lässt sich jeder Dienst in irgendeiner Art ausnutzen, der über das Internet erreichbar ist. Bei manchen ist es nur

leichter als bei anderen.

Was euren IRC Server angeht frage ich mich, ob der nicht über eine Domain (evtl. auch Dyndns) erreichbar ist. In diesem Fall wäre es ja ein

leichtes, sich wieder damit zu verbinden.
Zum Vergrößern anklicken....

Des mit dem IRC Server war nur der Schauplatz, wo sich ein Angreifer angemeldet hat und schrieb das manche Dienste offen seien.
Irgendein Psycho oder Verrückter der nichts zu tun hat und langweilige Ottonormalverbraucher hacken will, die nichts haben. Son Peversling mit einem perversen Webhost wo ein SSH Dienst läuft, indem er sich per Shell anmelden kann.
Der Admin hat selber eine Spionage Firewall und manchmal Fakeserver, zum Beispiel einen Fake Telnet Server auf Port 23, wo er sozusagen Hacker verarscht um Zeit zu gewinnen.
Diese Fakeserver liefern Ihm auch Informationen über die Art des Hacks, ob da ein Bot angreift oder ein Mensch.

Der Angreifer hat DMT Anfragen gesendet und er war nicht sehr professionell,
schon ein richtiger DAU, egal wir vertrauen diese Hosts nicht mehr und haben alle verbannt. Beispiel das ist ein SMTP Server! Und kein SIP Server, der Angreifer verschickt falsche Serverkommandos an einem falschen Server.

{05.Okt.2012 13:05:35} [2104] [Debug] x.x.x.x:x|x <- OPTIONS sip:nm SIP/2.0Via: SIP/2.0/TCP nm;branch=fooFrom: <sip:nm@nm>;tag=rootTo:

<sip:nm2@nm2>Call-ID: 50000CSeq: 42 OPTIONSMax-Forwards: 70Content-Length: 0Contact: <sip:nm@nm>Accept: application/sdp
{05.Okt.2012 13:05:35} [2104] [Debug] x.x.x.x:x|x -> 500 Syntax Error
{05.Okt.2012 13:05:35} [2104] [Debug] x.x.x.x:x|x -> 500 Syntax Error
{05.Okt.2012 13:05:35} [2104] [Debug] x.x.x.x:x|x -> 500 Syntax Error
{05.Okt.2012 13:05:35} [2104] [Debug] x.x.x.x:x|x -> 500 Syntax Error
{05.Okt.2012 13:05:35} [2104] [Debug] x.x.x.x:x|x -> 500 Syntax Error
{05.Okt.2012 13:05:35} [2104] [Debug] x.x.x.x:x|x -> 500 Syntax Error
{05.Okt.2012 13:05:35} [2104] [Debug] x.x.x.x:x|x -> 500 Syntax Error
{05.Okt.2012 13:05:35} [2104] [Debug] x.x.x.x:x|x -> 550 Too many errors in single connection -> verbannt, bekommt keine anfragen mehr ^^

script funktioniert gut

dann versuchte er es mit anderen IP Adressen weiter anzugreifen...

was macht eigentlich dieser Kommando mit dem Router? Ich weiß nur das der Angreifer, NMAP nutzte, da gibts ja viele verschiedene Portscans.

Weil meine Fragen wirr sein sollten, so frage ich langsam Schritt für Schritt...

was doof ist, ich bin nicht der volle Admin dieses Routers und kann nicht selber Sicherheitsveränderungen so einfach durchführen...
 
Zuletzt bearbeitet:
Chromatin hat gesagt.:
Fang doch erstmal an uns eine konkrete Frage zu stellen anstatt hier Selbstgespräche zu posten.
Zum Vergrößern anklicken....

Irgendwie verspüre ich ein starkes Misstrauen, da diese Beiträge in Google von jedem gelesen werden können, ich will niemanden beleidigen oder beschuldigen. Kriminelle sind überall.

Ich informiere mich vllt mal durch andere und liefer die Ergebnisse hier, wenn ich Lust habe.

Ne einfache Frage, wenn da ein SIP Server laufen würde, welche Veränderungen oder welchen Schaden würde dieser Kommando anrichten?
{05.Okt.2012 13:05:35} [2104] [Debug] x.x.x.x:x|x <- OPTIONS sip:nm SIP/2.0Via: SIP/2.0/TCP nm;branch=fooFrom: <sip:nm@nm>;tag=rootTo:

<sip:nm2@nm2>Call-ID: 50000CSeq: 42 OPTIONSMax-Forwards: 70Content-Length: 0Contact: <sip:nm@nm>Accept: application/sdp

(Angreifer IP's wegen Datenschutz durch x verschleiert)

Glücklicherweise ist nichts passiert, da unser Admin schnell reagiert hat.
 
Zuletzt bearbeitet:
Chromatin hat gesagt.:
Keinen.
Zum Vergrößern anklicken....

Danke vielmals, hier noch eine letzte Frage mit einem Bildchen dargestellt, um es sich besser vorzustellen:

ShemaAngriff.JPG


www.drjena.kilu.de/ShemaAngriff.JPG

Sorry bin grad in Stress ^^;
 
1. Nein
2. Wird man ihn fragen müssen

Aber davon mal abgesehen. Wieso legt sich dein Superadmin nicht mal anständiges Gerät zu und unterbindet von vornherein eine bestimmte Art von Zugriff.
Da gibts viele wunderbare Möglichkeiten ein IDS mit nem Packetfilter zu verbinden.
Oder er lässt seine "homies" durch nen IPSec Tunnel bis vor seine Haustür u.s.w. u.s.w.

Vielleicht sollte sich dein Admin hier mal anmelden und sich schlau lesen .. ich denke da ist noch Luft :P
 
Chromatin hat gesagt.:
1. Nein
2. Wird man ihn fragen müssen

Aber davon mal abgesehen. Wieso legt sich dein Superadmin nicht mal anständiges Gerät zu und unterbindet von vornherein eine bestimmte Art von Zugriff.
Da gibts viele wunderbare Möglichkeiten ein IDS mit nem Packetfilter zu verbinden.
Oder er lässt seine "homies" durch nen IPSec Tunnel bis vor seine Haustür u.s.w. u.s.w.

Vielleicht sollte sich dein Admin hier mal anmelden und sich schlau lesen .. ich denke da ist noch Luft :P
Zum Vergrößern anklicken....

Ich kenne mich mit SIP / VoIP nicht aus und muss echt Bücher lesen...

ich dachte dieser Kommando würde einen 2. Account ohne Passwort erzeugen, sodass jeder diesen VoIP Account nutzen kann, wie ein Open Forward Proxy Server - laut Videos werden SIP Accounts von Kriminellen missbraucht.

Der Admin ist halt in so einer ausprobierbaren Lernphase und mag eher Praxistests als Dinge zu lesen.
Er hat sich ein neues Teil gekauft, da seine Box 10 Jahre alt war...

Könnte aber echt jemand die DSL Leitung irgendwie blockieren oder den Provider angreifen, falls des ein Insider ist der mal als Mitarbeiter bei Telekom "or whatever" gearbeitet hat und da diverse Sachen und Tricks kennt... mir macht irgendwie TR096 Angst.

http://de.wikipedia.org/wiki/TR-069
 
Zuletzt bearbeitet:
provider angreifen?
ISP insider wissen über exploits?

:rolleyes:

also ganz langsam ... wenn du mit deiner paranoia in den 6ten gang schalten willst wird dir wohl niemand (und nichts) helfen können (außer den stecker zu ziehen)

die sinnvollere strategie wäre es wohl sicherheitskriteria zu formulieren mit welchen du einverstanden wärst (bzw. leben könntest) und dann zu schauen in wiefern das umsetzbar ist
 
Orniflyer hat gesagt.:
provider angreifen?
ISP insider wissen über exploits?

:rolleyes:

also ganz langsam ... wenn du mit deiner paranoia in den 6ten gang schalten willst wird dir wohl niemand (und nichts) helfen können (außer den stecker zu ziehen)

die sinnvollere strategie wäre es wohl sicherheitskriteria zu formulieren mit welchen du einverstanden wärst (bzw. leben könntest) und dann zu schauen in wiefern das umsetzbar ist
Zum Vergrößern anklicken....

Paranoid zu sein hat niemanden geschadet, durch Paranoia
haben seine Systeme keinen oder kaum Schaden genommen und immer durch die Logfileeinträge hat er gelernt,
wie die Bots oder Hacker angreifen und sich eine Strategie ausgedacht, wie man sich vor denen Schützen kann.
z.B: Vortäuschen von Servern und Angreifer reinzulegen.

Meistens versuchen die Bots oder Hacker den Socks5 SSL Server auf HTTPS, Mailserver und Webserver anzugreifen.

Ich könnte echt mal eine Statistik entwerfen, welche IP welchen Angriff vollzogen hat, eine Botjagt machen. Manche von den Angreifer Ips sind auf keiner schwarzen Liste ich will das die auf die schwarzen Liste kommen.

Ich wurde gerne mal Bots dazubringen, dass die sich selbst angreifen, immerhin sind diese Zombierechner total dumm. Hab die IPs gesammelt, wer die will kann die haben...
Ja ok ein DDoS auf Monsanto, Kinderpornoseiten, LOL UGNazis, Satanistenforen, ... oder finde ich meiner Meinung nach korrekt, aber wenn Normale User angegriffen werden, finde ich das assozial. :wink: bin halt laut Ethik ein Grey

Ich fand des schon eine Bedrohung als irgendson Kerl mit einem perversen Malwarehost (dogcockinme.com was zur Hölle ist das) in unser Test IRC Netzwerk kam und dann plötzlich unser Netz ohne Berechtigung abscannte -> Straftat
und noch dazu versuchte unsere Server zu manipulieren.

Naja egal er/sie/es lieferte uns interessante Informationen, kA was es wollte

Aber ich frage mich woher die Angreifer kommen. :rolleyes:
Wie aus dem Nichts, kommt plötzlich ein Angriff der Millisekunden bis Sekunden andauert.

Ich suche mal mehr Informationen und desweiteren helfe ich mal anderen Usern die auch so ähnliche Probleme haben, das Dumme ist leider das ich wegen meiner Arbeit kaum Zeit habe... X(

Irgendwie bin ich auf der Suche nach einem TR096 Klienten für Windows oder Linux... na dann wünscht mir Glück und Danke für eure Beiträge
 
Zuletzt bearbeitet:
Du hörst dich selbst gern reden, was?

Mit den Dingen, welche du als Angriff bezeichnest, beschäftige ich mich nicht mal, dafür ist mir meine Zeit zu schade. Wenn ich jedem Skript-Kiddie hinterher jagen würde, welches mal einen meiner Hosts oder eines unserer Netze abscannt, dann könnte ich 300% meiner Arbeitszeit damit verbringen. Und nein, paranoid zu sein ist in diesem Geschäft nicht wirklich sinnvoll.

Wenn du möchtest, dass dir hier jemand hilft, dann hör mit dem Geschwafel auf und stelle kurze und knackige Fragen mit den dazu notwendigen Informationen. Ich habe z.B. keine Ahnung, was nun TR-096 mit diesem Thema hier zu tun hat und was für einen Klienten du meinst.

Just my 2 cent.
 
Hmmm,

also wenn ich mir das hier so durchlese, komme ich um ein leichtes Schmunzeln nicht herum.
Jeder, der einen Server betreibt, kann diese Angriffe in den Logs sehen und wenn man den Server vernünftig absichert und immer auf dem aktuellen Patchlevel hält, dann sind die Gefahren gehackt zu werden, recht gering.
Es sind automatisierte Angriffe durch Botnetze, welche einfach nur versuchen, allgemeine Sicherheitslücken oder schwache bzw. Standardpasswörter auszunutzen.

Wenn es dich wirklich stört, kannst du ja sowas wie Fail2Ban nutzen, welches nach einer gewissen Anzahl von Logeinträgen in einen definierten Zeitintervall eine IP sperrt.
 
lightsaver hat gesagt.:
Hmmm,

also wenn ich mir das hier so durchlese, komme ich um ein leichtes Schmunzeln nicht herum.
Jeder, der einen Server betreibt, kann diese Angriffe in den Logs sehen und wenn man den Server vernünftig absichert und immer auf dem aktuellen Patchlevel hält, dann sind die Gefahren gehackt zu werden, recht gering.
Es sind automatisierte Angriffe durch Botnetze, welche einfach nur versuchen, allgemeine Sicherheitslücken oder schwache bzw. Standardpasswörter auszunutzen.

Wenn es dich wirklich stört, kannst du ja sowas wie Fail2Ban nutzen, welches nach einer gewissen Anzahl von Logeinträgen in einen definierten Zeitintervall eine IP sperrt.
Zum Vergrößern anklicken....

Naja Scriptkiddies nutzen manchmal interessante Angriffe, theoretisch könnte man die angreifenden Bots hacken und
die dann für sich zu Nutze machen oder sie halt "reparieren".

Ah ok danke, das mit FailBan ist eine gute Lösung, ich wollte noch einen letzten Beitrag schreiben:

Ich kenne auch ein Szenario was mir einer erzählt hat
(ist vor 3 Jahren her, er war damals 15 Jahre alt)

Er war 1 Woche lang in einem angeblich normalen IRC Channel mit amerikanischen Leuten chatten.
Warscheinlich hat ihn einer aus Spaß angegriffen, sodass seine Internetleitung für
1 bis 2 Sekunden abgebrochen wurde und er sich nochmal neu im IRC anmelden musste.
Zwar war es was harmloses, aber er wurde dann misstrauisch.

Er hat seinen amerikanischen Angreifer verfolgt und einwenig ausgekunschaftet, aber
leider hat er es übertreiben und ein Abuse wegen angeblichen "Stalkings" kassiert,
ist das nicht einwenig lächerlich...? Der war erst 15? Und was soll man schon stalken...
Es ist nichts passiert, nur das er für den nächsten Tag eine ganz andere IP bekommen hatte und dann
am übernächsten Tag die übliche dynamische IP, die ihm Chat drohten ihm, es würden noch weitere Sachen
passieren, falls er nicht vom Server verschwindet.
Man könnte meinen, das da schon eine geheime Mafiaorganisation dahinter steckt.
Heutzutage nutzt er passwortgesicherte Proxyserver, VPN oder SSH Server (die natürlich keine Traffics mitschneiden),
weil ihm eine direkte Verbindung zu unheimlich ist.
Um 100% Anonym zu sein, könnte er sich in fremde Router einhacken und diese für seine Internetverbindung nutzen,
weil TOR IPs bekannt sind (Vorsicht illegal, was ich aber davon abrate).
Weil er schon häufig verbannt wurde, da der Admin des IRC Servers nicht mochte, dass er mittels einen Proxy chatten geht (der einzige Grund).

Es gibt verschiedene DoS oder DDoS Angriffe, auf Webserver,
auf Mailserver (wobei SMTP durch DDoS Protection sicher ist) und vllt auf TR096 oder SIP.
Warscheinlich hat der Angreifer ihn "irgendwie" durch einen Dienst angegriffen.
Er hat gar keine Logfiles, aber er wusste es sicher das der es war.

Ausprobiert:
Wir haben unsere Testserver mit Floods angegriffen um zu beobachten, wie die reagieren und haben ähnliche Ausfälle der Internetleitung beobachtet. (Können wir uns erlauben, weil wir solche dementsprechenden Laboreinrichtungen und Geld haben, könnte Bilder per Cam machen)
Die Server oder Rechner liefen ohne Probleme, aber die Leitung war unterbrochen.
IRC Netzwerke ohne Proxy sind ziemlich gefährlich, weil des ganz andere Menschen sind, als man die aus ursprünglichen
Chats kennt.
Für mich ist des IRC Netzwerk faszinierend und ich habe mich mit IRC Servern und IRC Clients beschäftigt, aber nun eingestellt
weil ich was interessanteres gefunden habe. In diesem IRC Server testeten wir Exploits.

Ich frage mich was ist da eigentlich genau passiert? Hat der Angreifer nun auf Unschuldslahm getan und
einen Admin des Providers eine Abuse eMail verschickt?

Ich habe schon viele Stories gehört, aber diese ist wirklich Unheimlich...

Im Internet interessiert es mich, was eigentlich laut deutschen Gesetz erlaub ist und was nicht. Ob man Server betreiben darf zB, weil man keine kostenpflichtigen Dienste nutzen möchte, oder einfach keinen Bock auf Werbung usw hat.

Tausende Fragen in meinen Kopf und irgendwie kaum Antworten, sorry wenn ich euch damit nerve, aber ich musste des raus schreiben... vllt frage ich mal andere Leute aus meiner Arbeit oder per eMail und gebe meine Ergebnisse hier für andere Opfer preis.

Wtf ist ein DMZ-Server? Wann wird der eingeschatet... hab einen Informatiker gefragt und er hat was von DMZ erwähnt...
http://de.wikipedia.org/wiki/Demilitarized_Zone
 
Zuletzt bearbeitet:
Um antworten zu können musst du eingeloggt sein.
Zurück
Oben