![[HaBo]](/styles/default/logoklein.png){kind=small}
Hallo die Herren.
Ich habe bei meinen Eltern einen Server stehen (Ubuntu 10.04), der mir einige Dienste bereitstellt wenn ich unterwegs bin.
Folgendes Szenario:
Habe mich am 30. Mai abends per openvpn (zertifikatbasiert) zum Server verbunden und bin mit TightVNC dann auf den Rechner drauf.
Dabei habe ich ein offenes Terminal bemerkt.
Jmd hat versucht einen IRC Client zu installieren.
Habe erstmal alles runtergefahren und bin jetzt vor Ort.
Die Terminal history zeigt, der Angreifer hat per wget mehrere gepackte archive runtergeladen und per skript Konfigurationen für mehrere IRC Bots erstellt. Die Dateien hat er dankenswerterweise auf dem Rechner belassen
(habe mir die skripte angeschaut)
Die Ausgabe im Terminal (habe leider den Rechner aus Panik zu shcnell runergefahren) besagte dass er nicht genügend Rechte habe für seine letzten Aktionen.
Jetzt bin ich dabei herauszufinden, wie der Angreifer auf den Rechner gekommen ist.
Da ein Terminal offen war, deutet dies auf VNC hin. (Der Vino VNC-Server ist nur aus dem LAN erreichbar, leider kein Passwort das ermöglichte den Zugang
)
Die Meldungen zu den Berechtigungen deuten darauf hin dass er keine Rootrechte hatte.
Im Netz ist noch eine Dreambox, deren Webinterface PW geschützt ist und vom Netz erreichbar ist
Auf dem Rechner läuft ein Apache,ssh server, openvpn server, vino vnc server und svn server.
Router ist ein WRT54gl mit tomato.
die Dienste sind am router per Port forwarding weitergeleitet (BIS AUF DEN VNC SERVER).
Habe bereits einige Logs kontrolliert.
Die Logs zeigen ab 12 Uhr 30. Mai einen minütlich ablaufenden Cron job, der die Childprozesse des irc clients killt.
(dies lässt sich auch anhand der skripte auf dem Rechner nachvollziehen)
Router:
Die Logs zeigen keinen zusätzlichen Rechner ausser die Dreambox im LAN (sowohl eigene Rechner als auch Fremdrechner)
ssh:
Niemand hat sich zu dem Zeitpunkt eingeloggt.
(Meldungen zu mangelnden Berechtigung deuten auch darauf hin)
openvpn:
Da Debian ja Probleme mit der Zufallszahlenerzeugung hatte, dachte ich hier hat sich jmd eingewählt.
Hier hat sich aber auch niemand eingewählt.
vino-vnc-server:
Der Server loggt leider nicht
Bin aber sehr sicher dass das der Übeltäter ist.
Wie ist er also in das LAN gekommen?
Wo kann ich noch nachschauen?
Wie kann ich sichergehen, dass da nicht noch etwas läuft?
Ich habe bei meinen Eltern einen Server stehen (Ubuntu 10.04), der mir einige Dienste bereitstellt wenn ich unterwegs bin.
Folgendes Szenario:
Habe mich am 30. Mai abends per openvpn (zertifikatbasiert) zum Server verbunden und bin mit TightVNC dann auf den Rechner drauf.
Dabei habe ich ein offenes Terminal bemerkt.
Jmd hat versucht einen IRC Client zu installieren.
Habe erstmal alles runtergefahren und bin jetzt vor Ort.
Die Terminal history zeigt, der Angreifer hat per wget mehrere gepackte archive runtergeladen und per skript Konfigurationen für mehrere IRC Bots erstellt. Die Dateien hat er dankenswerterweise auf dem Rechner belassen
(habe mir die skripte angeschaut)Die Ausgabe im Terminal (habe leider den Rechner aus Panik zu shcnell runergefahren) besagte dass er nicht genügend Rechte habe für seine letzten Aktionen.
Jetzt bin ich dabei herauszufinden, wie der Angreifer auf den Rechner gekommen ist.
Da ein Terminal offen war, deutet dies auf VNC hin. (Der Vino VNC-Server ist nur aus dem LAN erreichbar, leider kein Passwort das ermöglichte den Zugang
)Die Meldungen zu den Berechtigungen deuten darauf hin dass er keine Rootrechte hatte.
Im Netz ist noch eine Dreambox, deren Webinterface PW geschützt ist und vom Netz erreichbar ist
Auf dem Rechner läuft ein Apache,ssh server, openvpn server, vino vnc server und svn server.
Router ist ein WRT54gl mit tomato.
die Dienste sind am router per Port forwarding weitergeleitet (BIS AUF DEN VNC SERVER).
Habe bereits einige Logs kontrolliert.
Die Logs zeigen ab 12 Uhr 30. Mai einen minütlich ablaufenden Cron job, der die Childprozesse des irc clients killt.
(dies lässt sich auch anhand der skripte auf dem Rechner nachvollziehen)
Router:
Die Logs zeigen keinen zusätzlichen Rechner ausser die Dreambox im LAN (sowohl eigene Rechner als auch Fremdrechner)
ssh:
Niemand hat sich zu dem Zeitpunkt eingeloggt.
(Meldungen zu mangelnden Berechtigung deuten auch darauf hin)
openvpn:
Da Debian ja Probleme mit der Zufallszahlenerzeugung hatte, dachte ich hier hat sich jmd eingewählt.
Hier hat sich aber auch niemand eingewählt.
vino-vnc-server:
Der Server loggt leider nicht
Bin aber sehr sicher dass das der Übeltäter ist.
Wie ist er also in das LAN gekommen?
Wo kann ich noch nachschauen?
Wie kann ich sichergehen, dass da nicht noch etwas läuft?
). Für Windows gibt es außerdem noch das
