Ich glaub ich hab ein Sicherheitsproblem

[Mr.Floppy33]

Frohe Ostern erstmal :)

Also ich habe einen Fli4L, der eine Workstation und ein nur 2h pro Woche aktiver Server (apache, ssh - eher zu Testzwecken) mit Internet versorgt.
Für den Apache hab ich eine dyndns-adresse und es gibt vielleicht 2-3 ausgewählte Leute, die die Adresse kennen. Wird also nur zum privaten Datenaustausch verwendet.

So, jetzt zu dem Problem:
Ich hab an der Workstation jeden Traffic vermieden und mal aus Spass ethereal laufen lassen. Da stelle ich nun fest, dass von dem Fli4L im Sekundentakt ein ARP-Request (who has <apache-ip> tell <fli4l-ip>) läuft. Also nach 1000Sekunden waren knapp 950 dieser ARP-Pakete gesendet.

Weil ich auf dem Fli keine tools zum sniffen habe, hab ich ganz mutig den Apache-Rechner eingeschaltet und dort tethereal laufen lassen.
Seit der Apache dann on war, hörten die ARPs auf und reger Traffic (ACK, SYN, FIN, TCP Retransmissen, TCP Out-Of-Order, TCP Dup ACK 46#1) von diversen IP-Adressen zum Apache wurden mir mitgeteilt.

Hauptsächlich von den IPs
67.127.213.143
220.255.116.113
220.255.112.193
220.255.114.248
67.118.99.233
220.255.115.161
68.120.199.15
67.122.215.127
220.255.37.230
und noch etwa 10 weitere... Traffic von ca. 10sek.

Danach hab ich dann direkt wieder ifdown eth0 gemacht und seitdem kommen dann auch wieder die ARP-Pakete vom Fli4L.

die 220.255.xxx.xxx kommen laut whois aus "singapore".
Bei den anderen steht nur


Pac Bell Internet Services PBI-NET-10 (NET-67-112-0-0-1)
67.112.0.0 - 67.127.255.255
Rback14.SNFC21 PPPoX Customer Pool SBC067118098000020414 (NET-67-118-98-0-1)
67.118.98.0 - 67.118.99.255

# ARIN WHOIS database, last updated 2005-03-25 19:10
# Enter ? for additional hints on searching ARIN's WHOIS database.

Ganz gleich welche IP ich einfach in den browser eingebe, so kommt als text:
"If you can read this, you are sitting too close to the monitor."

Nicht grad das seriöseste, finde ich...
Ich kann das alles irgendwie nicht einordnen.
Könnt mir bitte jemand helfen das alles einzuschätzen?

[iceface]

Frohe Ostern erstmal :)
Danke, Dir auch :D


Für den Apache hab ich eine dyndns-adresse und es gibt vielleicht 2-3 ausgewählte Leute, die die Adresse kennen. Wird also nur zum privaten Datenaustausch verwendet.
Ob die Adresse bekannt ist oder nicht spielt keine Rolle - das "abklappern" von ganzen Adressbereichen nach Programmen mit bekannten Sicherheitslücken wird automatisch vorgenommen.





Pac Bell Internet Services PBI-NET-10 (NET-67-112-0-0-1)
67.112.0.0 - 67.127.255.255
Rback14.SNFC21 PPPoX Customer Pool SBC067118098000020414 (NET-67-118-98-0-1)
67.118.98.0 - 67.118.99.255

# ARIN WHOIS database, last updated 2005-03-25 19:10
# Enter ? for additional hints on searching ARIN's WHOIS database.

Ganz gleich welche IP ich einfach in den browser eingebe, so kommt als text:
"If you can read this, you are sitting too close to the monitor."

Nicht grad das seriöseste, finde ich...
Ich kann das alles irgendwie nicht einordnen.
Könnt mir bitte jemand helfen das alles einzuschätzen?
Dein Rechner wurde mit hoher Wahrscheinlichkeit kompromittiert.
Die Adressen existieren in Spam-Blacklists, z.B.: hier (http://www.whois.sc/67.127.213.143)

Was sagen die Standardtools (rkhunter, chkrootkit)?
Ist aus den log´s und history´s noch etwas zu erfahren?

Also auf jeden Fall vom Netz nehmen und neu aufsetzen.
Welcher Apache lief denn?

[Mr.Floppy33]

Hey, das hört sich ja echt super an :D

Kann man irgendwie n Gegenbeweis bringen dafür, dass der Rechner nicht kompromittiert ist?
Ich hab jetzt zwischenzeitlich einfach den Fli4L resettet und die ARPs haben seitdem aufgehört.
hab mit ifup eth0 das netzwerkinterface wieder aktiviert und auch dort ist mit tethereal kein traffic zu erkennen.

Aber das kann ja scheinbar immernoch bedeuten, dass mein "angreifer" z.b. nachts (bzw. jetzt) nicht so aktiv ist und die arps meinetwegen um 7Uhr in der früh wieder weitergehen, richtig?
Ok, werd ich auf jeden Fall morgen nochmal kontrollieren, ob da irgendwas abgeht...

Ansonsten: welche logs könnten denn sinnvoll sein? hab keine zusatzprogramme irgendwas überwachen lassen, und die apache-logs sehen meiner meinung nach nicht besonders aufregend aus...
Die Version von Apache war (ähm, ist) 2.0.52 und von PHP ist 4.3.10-3.
Am Fli4L sind 2 Ports forwarded an den Apache... einmal halt port 80 und dann noch 22 für ssh...

Dann mal was für die Zukunft: angenommen, ich wurde tatsächlich kompromittiert. Wie kann ich das vermeiden? Ne zusätzliche Firewall auf dem Apache-Server? Öfter ein Update durchführen? Der Server läuft unter Debian Sarge und es wurde ca. alle 2 Wochen ein Update gemacht - also wenigstens nicht ganz selten.

Oder kann es gar sein, dass der Fli4L der Schwachpunkt ist?

Hach ist das alles aufregend :)

[Krischi]

Kann man irgendwie n Gegenbeweis bringen dafür, dass der Rechner nicht kompromittiert ist?Nein.
Du kannst versuchen, die Verdachtsmomente zu entkräften, indem Du andere Erklärungen dafür findest, die dann aber absolut zuverlässig sein müßten.

Aber eine hundertprozentige Sicherheit, daß ein System nicht komprommitiert ist, kann es nicht geben. Man kann niemals ausschließen, daß etwas übersehen wurde.
Wie in Deinem Beispiel: Wenn es jetzt keine Aktivität gibt, kannst Du damit nicht ausschließen, daß es die zu einem anderen Zeitpunkt gibt.

Deswegen macht es ja auch keinen Sinn zu versuchen, einen einmal komprommitierten Rechner zu "reinigen".
Es kann einem immer was entwischt sein (und das ist sogar sehr wahrscheinlich).

[Mr.Floppy33]

danke erstmal für die Antworten.

Also der ARP-Traffic ist bis jetzt nicht wieder aufgetaucht. Werde das aber dennoch regelmäßig überwachen bis ich dann das System neu aufsetze...

chkrootkit und rkhunter kannte ich gar nicht (und letzteres immernoch nicht, find ich im debian-zweig nicht und auf apt-get.de ist höchstens genehunter, welches aber scheinbar eher was genetik und biologie zu tun hat :ugly: ).

hab dann chkrootkit nachinstalliert und ausgeführt... dort ist fast alles ok:

Checking `wted'... unable to open wtmp-file wtmp
Checking `z2'... unable to open wtmp-file wtmp
stattdessen hätte dort wohl stehen müssen "nothing deleted", richtig?

also soweit ich das jetzt verstanden habe, werden in dieser datei informationen über die login-aktivitäten des systems protokolliert. das bedeutet nun evtl. dass jemand, der auf dem rechner eingeloggt war, seine spuren verwischt hat, indem er die datei gelöscht hat? oder gibt es andere interpretationen von "unable to open wtmp-file wtmp"?

irgendwie find ich das gar nicht so schlimm, dass ich dieses sicherheitsproblem habe, weil ich dadurch ne menge lerne. ein unfreiwilliger honeypot sozusagen :D

[Krischi]

rkhunter gibt es hier (http://www.rootkit.nl/projects/rootkit_hunter.html)


das bedeutet nun evtl. dass jemand, der auf dem rechner eingeloggt war, seine spuren verwischt hat, indem er die datei gelöscht hat? oder gibt es andere interpretationen von "unable to open wtmp-file wtmp"?Ohne es wirklich zu wissen, klingt das für mich eher danach, als sei die zwar Datei vorhanden, könne aber nicht geöffnet werden.

Ob und wann Du einen (möglicherweise) komprommitierten Rechner neu aufsetzt, ist Deine Sache.
Nur ans Netz sollte er bis zur vollständigen Klärung und/oder Neuinstallation nicht mehr.

[Mr.Floppy33]

cooles Programm, danke für den Link.
rkhunter -c hat allerdings auch nichts schlimmes gefunden.

Aber ich hab mal nachgeschaut: die Datei /var/log/wtmp existiert tatsächlich nicht. Selbst gelöscht habe ich sie auf keinen Fall :)

Irgendwie würd ich gerne weiterbohren, um zu verstehen, was da gestern mit den ARPs abgegangen und möglicherweise auf dem Rechner passiert ist, aber das ist wohl nicht so leicht...

[temp200]

67.127.213.143
220.255.116.113
220.255.112.193
220.255.114.248
67.118.99.233
220.255.115.161
68.120.199.15
67.122.215.127
220.255.37.230

= Macrovision "Smokeblower" Anti-P2P fake-files system from use of KaZaA/WinMX/other.

[Mr.Floppy33]

Hi temp200,

und was sagt mir das jetzt? :)

Auf dem Rechner (und auf jeden anderen hier im Netz) lief nichts P2P-mäßiges...?