Kann Keyhelp mich sperren? [SOLVED]

[Pyragony]

Hallo

Heute abend hatte ich einen massiven Angriff auf meinen Server. Ich hatte es nicht gleich gemerkt.
Erst als ein paar mal der FTP laufend abbrach und ich ihn auf einmal gar nicht mehr hochfahren konnte,
ging ich auf die Seite von Keyhelp und sah, dass der FTP und der Mailserver offline waren.
Meinen Serverbetreiber kontaktiert, der sagte, dass alles in Ordnung ist. Den Server neu gestartet, dann ging auch die Webseite nicht mehr.
Auf Keyhelp komme ich auch nicht mehr.

Meine Frage: Kann Keyhelp mich sperren? Komischerweise komme ich aber mit WINSCP in die Root und kann alles sichern.
Alles andere Fuktioniert nicht mehr.

[dfischer]

Hallo,

ich wüsste nicht das KeyHelp eine Installation auf einem Fremden Server sperren kann.
Ich würde eher mal in die Logs schauen was da los ist.

Da ich deinen Server nicht kenne und nicht weiß was da noch alles drauf läuft, sind die Logs da wirklich die erste anlaufstelle.

[Pyragony]

Sorry,
aber wenn sie News und updates aufspielen können, ist das durchaus möglich, auch auf fremdem Servern.

[Jolinar]

Kann Keyhelp mich sperren?

Nein.

[dfischer]

Sorry,
aber wenn sie News und updates aufspielen können, ist das durchaus möglich, auch auf fremdem Servern.

Die News und Updates holt sich dein Server in festgelegten Intervallen bei einem Updateserver. Die werden nich von aussen gebracht, sondern von innen abgeholt.
Sonst müsstest du dich bei KeyHelp registrieren und da deine Server Daten wie IP, Domain und Zugangsdaten abliefern damit Sie überhaubt wissen wo es läuft.

[Pyragony]

Okay. Nehme ich so hin. Ich frage mich nur, wie das passieren konnte.
Der Angriff war so massiv und kam von der IP 20.203.194.239 (Microsoft Buissnes Server)
Wie konnte der Angreifer nur den Server so lahm legen, dass ich alles neu aufspielen muss.
Die Paßwörter sind nicht knakbar. Ich habe keine Ahnung.

[Jolinar]

Wie konnte der Angreifer nur den Server so lahm legen, dass ich alles neu aufspielen muss.

Wie kommst du denn zu dieser Schlußfolgerung?

Ein erster Lösungsansatz ist doch schon genannt worden:

Ich würde eher mal in die Logs schauen was da los ist.

Du sagst ja selbst:

Komischerweise komme ich aber mit WINSCP in die Root und kann alles sichern.

Ein Neuaufsetzen ist nur begrenzt die Lösung...Denn solange du nicht weißt, warum du jetzt die Probleme hast, kann dieselbe Situation auch nach einem Neuaufsetzen wieder auftreten...

[Tobi7889]

Wie konnte der Angreifer nur den Server so lahm legen, dass ich alles neu aufspielen muss.

Das liegt ja an der Frage, was er getan hat. Ohne Logs oder mehr Informationen wird dir dazu keiner weiter groß helfen können.

Im Idealfall unterbindet zB. der Serverbetreiber gewisse Angriffsschemen. Wenn du aber eine ausgenutzte Sicherheitslücke auf dem Server hattest, kann da auch keiner helfen. Wir wissen einfach viel zu wenig über dein System um Extern etwas bewerten zu können.

[Jolinar]

Ganz pragmatische Vermutung, die zu deinem Fehlerbild passen könnte:
Deine Platte ist eventuell voll, möglicherweise wegen diverser großer Logs durch den von dir erwähnten Angriff. Hast du das schon geprüft?

Code: Select all

df -h

[Pyragony]

Hier mal ein Ausschnitt aus den logs

Code: Select all

[Mon Nov 20 18:20:29.986762 2023] [access_compat:error] [pid 8191:tid 140445422184128] [client 20.203.194.239:60501] AH01797: client denied by server configuration: /home/users/antiscam/www/cgi-bin/yabb2/YaBB.pl, referer: https://www.anti-scam.de/
[Mon Nov 20 18:20:30.023349 2023] [access_compat:error] [pid 6505:tid 140444549768896] [client 20.203.194.239:60494] AH01797: client denied by server configuration: /home/users/antiscam/www/cgi-bin/yabb2/YaBB.pl, referer: https://www.anti-scam.de/
[Mon Nov 20 18:20:30.046981 2023] [access_compat:error] [pid 6507:tid 140445086639808] [client 20.203.194.239:60468] AH01797: client denied by server configuration: /home/users/antiscam/www/cgi-bin/yabb2/YaBB.pl, referer: https://www.anti-scam.de/
[Mon Nov 20 18:20:30.089095 2023] [access_compat:error] [pid 6505:tid 140445589939904] [client 20.203.194.239:60508] AH01797: client denied by server configuration: /home/users/antiscam/www/cgi-bin/yabb2/YaBB.pl, referer: https://www.anti-scam.de/
[Mon Nov 20 18:20:30.107055 2023] [access_compat:error] [pid 6505:tid 140445078247104] [client 20.203.194.239:60512] AH01797: client denied by server configuration: /home/users/antiscam/www/cgi-bin/yabb2/YaBB.pl, referer: https://www.anti-scam.de/
[Mon Nov 20 18:20:30.151739 2023] [access_compat:error] [pid 6507:tid 140444625270464] [client 20.203.194.239:60511] AH01797: client denied by server configuration: /home/users/antiscam/www/cgi-bin/yabb2/YaBB.pl, referer: https://www.anti-scam.de/
[Mon Nov 20 18:20:30.167414 2023] [access_compat:error] [pid 6507:tid 140445069854400] [client 20.203.194.239:60749] AH01797: client denied by server configuration: /home/users/antiscam/www/cgi-bin/yabb2/YaBB.pl, referer: https://www.anti-scam.de/
[Mon Nov 20 18:20:30.215047 2023] [access_compat:error] [pid 6507:tid 140445598332608] [client 20.203.194.239:60729] AH01797: client denied by server configuration: /home/users/antiscam/www/cgi-bin/yabb2/YaBB.pl, referer: https://www.anti-scam.de/
[Mon Nov 20 18:20:30.227903 2023] [access_compat:error] [pid 6507:tid 140445044676288] [client 20.203.194.239:60715] AH01797: client denied by server configuration: /home/users/antiscam/www/cgi-bin/yabb2/YaBB.pl, referer: https://www.anti-scam.de/
[Mon Nov 20 18:20:30.291046 2023] [access_compat:error] [pid 6505:tid 140445061461696] [client 20.203.194.239:60754] AH01797: client denied by server configuration: /home/users/antiscam/www/cgi-bin/yabb2/YaBB.pl, referer: https://www.anti-scam.de/
[Mon Nov 20 18:20:30.350644 2023] [access_compat:error] [pid 6507:tid 140446321669824] [client 20.203.194.239:60721] AH01797: client denied by server configuration: /home/users/antiscam/www/cgi-bin/yabb2/YaBB.pl, referer: https://www.anti-scam.de/
[Mon Nov 20 18:20:30.411242 2023] [access_compat:error] [pid 8191:tid 140446185526976] [client 20.203.194.239:60737] AH01797: client denied by server configuration: /home/users/antiscam/www/cgi-bin/yabb2/YaBB.pl, referer: https://www.anti-scam.de/
[Mon Nov 20 18:20:30.425635 2023] [access_compat:error] [pid 6507:tid 140445095032512] [client 20.203.194.239:60739] AH01797: client denied by server configuration: /home/users/antiscam/www/cgi-bin/yabb2/YaBB.pl, referer: https://www.anti-scam.de/
[Mon Nov 20 18:20:30.470364 2023] [access_compat:error] [pid 6507:tid 140445053068992] [client 20.203.194.239:60821] AH01797: client denied by server configuration: /home/users/antiscam/www/cgi-bin/yabb2/YaBB.pl, referer: https://www.anti-scam.de/
[Mon Nov 20 18:20:30.480822 2023] [access_compat:error] [pid 6507:tid 140445061461696] [client 20.203.194.239:60830] AH01797: client denied by server configuration: /home/users/antiscam/www/cgi-bin/yabb2/YaBB.pl, referer: https://www.anti-scam.de/
[Mon Nov 20 18:20:30.487585 2023] [access_compat:error] [pid 6507:tid 140446313277120] [client 20.203.194.239:60751] AH01797: client denied by server configuration: /home/users/antiscam/www/cgi-bin/yabb2/YaBB.pl, referer: https://www.anti-scam.de/
[Mon Nov 20 18:20:30.542351 2023] [access_compat:error] [pid 8191:tid 140445413791424] [client 20.203.194.239:60817] AH01797: client denied by server configuration: /home/users/antiscam/www/cgi-bin/yabb2/YaBB.pl, referer: https://www.anti-scam.de/
[Mon Nov 20 18:20:30.548079 2023] [access_compat:error] [pid 6507:tid 140446202312384] [client 20.203.194.239:60770] AH01797: client denied by server configuration: /home/users/antiscam/www/cgi-bin/yabb2/YaBB.pl, referer: https://www.anti-scam.de/
[Mon Nov 20 18:20:30.602897 2023] [access_compat:error] [pid 8191:tid 140445388613312] [client 20.203.194.239:60835] AH01797: client denied by server configuration: /home/users/antiscam/www/cgi-bin/yabb2/YaBB.pl, referer: https://www.anti-scam.de/
[Mon Nov 20 18:20:30.675105 2023] [access_compat:error] [pid 6507:tid 140446210705088] [client 20.203.194.239:60834] AH01797: client denied by server configuration: /home/users/antiscam/www/cgi-bin/yabb2/YaBB.pl, referer: https://www.anti-scam.de/
[Mon Nov 20 18:20:30.734814 2023] [access_compat:error] [pid 6507:tid 140446227490496] [client 20.203.194.239:60829] AH01797: client denied by server configuration: /home/users/antiscam/www/cgi-bin/yabb2/YaBB.pl, referer: https://www.anti-scam.de/
[Mon Nov 20 18:20:30.795007 2023] [access_compat:error] [pid 6505:tid 140446235883200] [client 20.203.194.239:60759] AH01797: client denied by server configuration: /home/users/antiscam/www/cgi-bin/yabb2/YaBB.pl, referer: https://www.anti-scam.de/
[Mon Nov 20 18:20:30.854348 2023] [access_compat:error] [pid 6505:tid 140445095032512] [client 20.203.194.239:60827] AH01797: client denied by server configuration: /home/users/antiscam/www/cgi-bin/yabb2/YaBB.pl, referer: https://www.anti-scam.de/
[Mon Nov 20 18:20:30.915201 2023] [access_compat:error] [pid 6507:tid 140445581547200] [client 20.203.194.239:60727] AH01797: client denied by server configuration: /home/users/antiscam/www/cgi-bin/yabb2/YaBB.pl, referer: https://www.anti-scam.de/
[Mon Nov 20 18:20:30.974377 2023] [access_compat:error] [pid 6507:tid 140445615118016] [client 20.203.194.239:60732] AH01797: client denied by server configuration: /home/users/antiscam/www/cgi-bin/yabb2/YaBB.pl, referer: https://www.anti-scam.de/
[Mon Nov 20 18:20:31.053325 2023] [access_compat:error] [pid 6505:tid 140446193919680] [client 20.203.194.239:60815] AH01797: client denied by server configuration: /home/users/antiscam/www/cgi-bin/yabb2/YaBB.pl, referer: https://www.anti-scam.de/
[Mon Nov 20 18:20:31.065334 2023] [access_compat:error] [pid 6507:tid 140444616877760] [client 20.203.194.239:60763] AH01797: client denied by server configuration: /home/users/antiscam/www/cgi-bin/yabb2/YaBB.pl, referer: https://www.anti-scam.de/

Nein, die Festplatte hat 2 TB, die war nicht voll.




[Mod-Edit]
CODE-Tags eingefügt.
Konsolenausgaben, Inhalte von Konfigurationsdateien, Auszüge aus Logfiles o.ä. bitte zukünftig immer mit CODE-Tags versehen!

[Pyragony]

Und hier kam dann das Ende. Danach war alles im roten Bereich.

Code: Select all

[Mon Nov 20 18:23:21.247566 2023] [cgid:error] [pid 11638:tid 140446313277120] [client 20.203.194.239:53018] End of script output before headers: index.html, referer: https://www.google.com/search?hl=en&q=testing
[Mon Nov 20 18:23:21.256987 2023] [autoindex:error] [pid 11638:tid 140445631903424] [client 20.203.194.239:53021] AH01276: Cannot serve directory /home/users/antiscam/www/public_html/yabbfiles/: No matching DirectoryIndex (index.html,index.cgi,index.pl,index.php,index.xhtml,index.htm) found, and server-generated directory index forbidden by Options directive, referer: https://www.google.com/search?hl=en&q=testing
[Mon Nov 20 18:23:21.318520 2023] [autoindex:error] [pid 11638:tid 140446210705088] [client 20.203.194.239:53024] AH01276: Cannot serve directory /home/users/antiscam/www/public_html/yabbfiles/Templates/Forum/default/: No matching DirectoryIndex (index.html,index.cgi,index.pl,index.php,index.xhtml,index.htm) found, and server-generated directory index forbidden by Options directive, referer: https://www.google.com/search?hl=en&q=testing
[Mon Nov 20 18:23:21.320344 2023] [autoindex:error] [pid 11638:tid 140445086639808] [client 20.203.194.239:53025] AH01276: Cannot serve directory /home/users/antiscam/www/public_html/yabbfiles/Templates/Forum/grey/: No matching DirectoryIndex (index.html,index.cgi,index.pl,index.php,index.xhtml,index.htm) found, and server-generated directory index forbidden by Options directive, referer: https://www.google.com/search?hl=en&q=testing
[Mon Nov 20 18:23:21.335627 2023] [cgid:error] [pid 11692:tid 140444549768896] [client 20.203.194.239:53026] End of script output before headers: index.html, referer: https://www.google.com/search?hl=en&q=testing
[Mon Nov 20 18:23:21.412640 2023] [autoindex:error] [pid 11692:tid 140446313277120] [client 20.203.194.239:53031] AH01276: Cannot serve directory /home/users/antiscam/www/public_html/yabbfiles/Templates/Forum/default/: No matching DirectoryIndex (index.html,index.cgi,index.pl,index.php,index.xhtml,index.htm) found, and server-generated directory index forbidden by Options directive, referer: https://www.google.com/search?hl=en&q=testing
[Mon Nov 20 18:23:21.413426 2023] [access_compat:error] [pid 8191:tid 140445724157632] [client 20.203.194.239:53033] AH01797: client denied by server configuration: /home/users/antiscam/www/cgi-bin/yabb2/YaBB.plgohome, referer: https://www.google.com/search?hl=en&q=testing
[Mon Nov 20 18:23:21.416439 2023] [autoindex:error] [pid 8191:tid 140446210705088] [client 20.203.194.239:53035] AH01276: Cannot serve directory /home/users/antiscam/www/public_html/yabbfiles/Templates/Forum/grey/: No matching DirectoryIndex (index.html,index.cgi,index.pl,index.php,index.xhtml,index.htm) found, and server-generated directory index forbidden by Options directive, referer: https://www.google.com/search?hl=en&q=testing
[Mon Nov 20 18:23:21.435531 2023] [cgid:error] [pid 8191:tid 140445388613312] [client 20.203.194.239:53036] End of script output before headers: index.html, referer: https://www.google.com/search?hl=en&q=testing

[Mod-Edit]
CODE-Tags eingefügt.
Konsolenausgaben, Inhalte von Konfigurationsdateien, Auszüge aus Logfiles o.ä. bitte zukünftig immer mit CODE-Tags versehen!

[Tobi]

Nun dein Forum verwendet Version 2.6.12
Auf https://yabbforumsoftware.com/ läuft Version 2.7.00

Ich würde mal meinen du wurdest gehackt.

[Pyragony]

Nein, die YaBB Version 2.7.00 gibt es nicht und ich muß das wissen.
Auch wenn es dort steht, es ist die 2.6.12.

[Pyragony]

Um in dieser Sache zum Abschluß zu kommen:
Ich hatte das ganze Forum gesichert, weil ich noch Debian 9 am laufen hatte, was schon lange nicht mehr supportet wird. Da war noch alles okay.
Das update von 9 auf 10 war jedoch nicht mehr möglich (Repository nicht mehr vorhanden bei Intergenia). Also, Backup gezogen und erst Debian 10 aufgespielt. Was anderes hat mein Serverbetreiber nicht auf Lager. Also Server geschrubbt, Restore und Debian 10 drauf. Dann upgrade via Keyhelp auf Debian 11 und dann auf Debian 12.
Alles wunderbar gelaufen. Alle Sicherheitseinstellungen gemacht, Domains wieder installiert und die Postfächer eingerichtet. Danach das Backup vom Forum aufgespielt, alles entpackt und das Forum war wieder betriebsbereit. Lief alles wunderbar. Danach für die Coppermine die Datenbanken angelegt, die Software eingespielt, lief alles wunderbar und die Bilder via FTP (verschlüsselt natürlich) hochgeladen habe. Es sind gut 100.000 Bilder., verteilt auf vier Galerien. Es war also alles ganz frisch. Irgendwann merkte ich, das ständig der FTP abbrach. Okay, ich habe mich bei Keyhelp eingeloggt und sah, dass SMTP, IMAP und FTP offline waren, das Forum jedoch noch lief, jeder konnte posten. Ein weiterer Blick auf die eMail Warteschlange, es waren über 56.000 Mail in der Warteschlange. Die Warteschlange gelöscht. Und gleich wieder wurde sie befüllt. Die Mails gingen jedoch nicht raus (ich muß jetzt niemanden über DMARK und SPF aufklären). Bei der Stichkontrolle hatten alle die o.g. IP von Microsoft. Kurzum, es war alles zugestopft. Server neu gestartet und dann ging gar nicht mehr. Es war alles tot. Gut, dass ich noch Root-Zugriff hatte und alles runterladen konnte, weil das Backup schon 12 Stunden alt war und zwischenzeitlich viele gepostet hatten. War also soweit kein Problem. Jetzt aber die ganzen Daten zurückspielen, das dauert. Gut, jetzt die logs anzusehen, was bringt das schon? Ich hätte vorher ein Backup nach der Serverinstallion machen sollen und das habe ich nicht. Den Inhalt der Mail konnte ich leider auch nicht mehr sehen, dann hätte ich vielleicht mehr gewußt, aber diese Möglichkeit hatte ich leider nicht mehr. Ich konnte gar nichts mehr machen. Heute früh den Server noch einmal neu aufgesetzt und derzeit spiele ich alles zurück. Was weiter passiert, werde ich sehen. Bis jetzt läuft es noch.

[Jolinar]

Gut, jetzt die logs anzusehen, was bringt das schon?

Sicher eine ganze Menge, denn nach deiner Aussage:

Ein weiterer Blick auf die eMail Warteschlange, es waren über 56.000 Mail in der Warteschlange. Die Warteschlange gelöscht. Und gleich wieder wurde sie befüllt. Die Mails gingen jedoch nicht raus (ich muß jetzt niemanden über DMARK und SPF aufklären). Bei der Stichkontrolle hatten alle die o.g. IP von Microsoft. Kurzum, es war alles zugestopft.

würde ich jetzt (ohne nähere Analyse) davon ausgehen, daß dein Server kompromittiert wurde.
Wenn ich damit richtig liege, bringt dir ein Neuaufsetzen nicht wirklich viel, solange du die Schwachstelle nicht erkannt und beseitigt hast.