Spam Versand (OpenRelay, Hack) über Webbox!

Neo0815 · 25. Februar 2011

Hallo alle zusammen,

seit gestern Nacht wird über unseren Server Spam versendet!
Nach langer Suche bin ich auf die Webbox als Ursache gekommen!

Selbst wenn KEINE User die Berechtigung "Remote Access" besitzen tritt das Problem auf (ca. 200 Mails/Minute).
Die Absenderadresse ist keine existierende auf unserem Server.
Erst nach dem deaktivieren des Dienstes ist Ruhe!

Man das Ding war mir schon immer etwas suspekt!
Keine Ahnung wie ich das "Loch" stopen soll!
Keine Ahnung wie der/die das machen!

Hatte jemand von eusch schon so ein Problem?

Gruß,

Alex

dj2k · 25. Februar 2011

Stelle doch mal den Port-Monitor für die Webbox auf Maximum-Protokoll und lese mit, wer was abliefert.

ksft · 2. März 2011

Hallo,

gleicher Effekt auch bei uns, nur das Deaktivieren der Webbox brachte den Erfolg!

Versenden wollte ein webmaster@"inter-IP-des-Davidservers".
Zusätzlich gab es noch komische Verzeichnisse unterhalb der david\Archive\USER in folgenden Formen:

Ein VZ mit dem Namen: 00000000
Im TC zu finden als: David System User (#00000000#David System User)

Desweitern entsteht noch ein VZ bestehend aus 2 Buchstaben: Beispielsweise "2E"

So wie es aussieht hat da jemand ein Leck gefunden! :wacko:

Ich warte jetzt noch auf eine Aussage von Tobit...

grüße!!!

tommy1 · 2. März 2011

Zitat von ksft

Ein VZ mit dem Namen: 00000000
Im TC zu finden als: David System User (#00000000#David System User)

Das Verzeichnis ist normal.

Grüße
Thomas

ksft · 2. März 2011

Hast recht, es ist aber normalerweise aufgebaut wie jedes andere. Also Ordner in,out,cal etc.

In unserem Fall lag da nur ein out Ordner mit den ganzen Spam Nachrichten drin. Nach dem Purging über die Console sieht das Verzeichniss wieder normal aus.

Was mich richtig wundert ist der 2E Ordner. Siehe Bild!

kingcopy · 2. März 2011

Das wäre ja der Hammer des Tages.
Testet mal durch ob irgendwo ein Zugriff ohne Kennwort möglich ist.
Läuft eure Webbox über PORT 80 ?

Ändert mal den Port auf 81

dann müsste der "hacker" eure-ip:81 zum Beispiel nutzen..... macht das schwerer.

Intern Vermerken das ihr die Webbox dann nur noch über :xx erreichen könnt und ggf. Router Konfigurieren müsst / Port forward

Spike · 2. März 2011

Schau mal ob es was mit dem Gästebuch zu tun hat. Ich mein davon schon mal was gelesen zu haben, dass Spamer das Gästebuch der Webbox für sowas nutzen könnten.

ksft · 2. März 2011

also Port gesetzt auf 82 und nun ist Ruhe .....

ich setze morgen früh den Port noch einmal auf 80 ....

:wacko:

Genesis · 2. März 2011

Zitat von dj2k

Stelle doch mal den Port-Monitor für die Webbox auf Maximum-Protokoll und lese mit, wer was abliefert.

ksft · 3. März 2011

Moin,

also heute früh mal wieder auf Port 80 umgestellt und die Firewall mitschneiden lassen.

Hier der Log der Webbox, das Ergebniss ist eindeutig, da wird das Kontaktfeld mißbraucht:

david-forum.de/attachment/377/

ReqURI POST /INTL/CONTACT/INDEX.HTM
Param domain=192.168.xxx.yyy&subject=iTNGyCBZsJaXPYdVQ&text=I'm happy very good site <a href="
Moved

Zusätzlich noch die ermittelten IPs der FW:

212.95.32.92
213.41.80.8
85.158.249.140
212.118.234.155

Und natürlich geht da sofort der Spamversand weiter!

grüße

dj2k · 3. März 2011

Scheint dann wohl tatsächlich das Kontaktformular zu sein ... Für mich stellt sich die Frage wie daraus eine E-Mail nach extern wird...

ksft · 3. März 2011

mit folgendem Aufruf könnte man mails über das Kontaktfeld senden:

Code

http://david-server:80/INTL/CONTACT/INDEX.HTM?domain=domain.de&subject=WEBBOXTEST&text=test&mail=empfaenger@mail.de&email=empfaenger@mail.de&AUTO-CONTACT_CTRL=Send

da wird die "Contact_CTRL" direkt angesprochen ... ob das nun die Hintertür ist?

ballogroldo · 3. März 2011

Dann entferne doch erstmal die Datei Dateien aus den Verzeichnissen

David-Server\WORLD WIDE WEB\GER\Kontakt

und

David-Server\WORLD WIDE WEB\INTL\Contact

Dann sollte das kontaktformular nicht mehr aufrufbar sein und du kannst gucken ob der Spam immernoch versendet wird.

ksft · 3. März 2011

So beide Dateien entfernt, Port wieder aufgemacht und hier ist das Log:

Code

ReqURI POST /INTL/CONTACT/INDEX.HTM
Param  domain=192.168.xxx.yyy&subject=kLIyNyOIENJTScD&text=a href="http://www.takawpansin.com/buy-viagra-on
Path   \\server\david\archive\www\intl\CONTACT\archive.dat
MyHost xxx.yyy.zzz.82
Connection: close
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Host: xxx.yyy.zzz.82
Referer: http://xxx.yyy.zzz.82/INTL/CONTACT/INDEX.HTM
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)
Content-Length: 1640
Content-Type: application/x-www-form-urlencoded
domain=192.168.xxx.yyy&subject=kLIyNyOIENJTScD&text=%%3Ca+href%%3D%%22http%%3A%%2F%%2Fwww.takawpansin
OPEN \\server\david\archive\www\intl\CONTACT\archive.dat
(00000512) write (995)
(00000512) Tx shutdown
(00000512) close
Connection Terminated

Alles anzeigen

Emails gehen nicht mehr raus, versucht wird es natürlich weiter.
Also gehe ich davon aus das die Contact-Dateien eine Hintertür für den Mailversand haben.

Webbox bleibt offline. Tobitantwort steht noch aus!

grüße

dj2k · 3. März 2011

Genügend Auswahl gibt es ja:

Google => "INTL/CONTACT/INDEX.HTM"

kingcopy · 3. März 2011

Das ist ja gruselig!

Ich hab nun auch mal ein genaues Auge auf das Ding habe den file=1 debug File nun auch mit an.

Spike · 3. März 2011

Zitat von Neo0815

Hallo alle zusammen,

seit gestern Nacht wird über unseren Server Spam versendet!
Nach langer Suche bin ich auf die Webbox als Ursache gekommen!

Selbst wenn KEINE User die Berechtigung "Remote Access" besitzen tritt das Problem auf (ca. 200 Mails/Minute).
Die Absenderadresse ist keine existierende auf unserem Server.
Erst nach dem deaktivieren des Dienstes ist Ruhe!

Man das Ding war mir schon immer etwas suspekt!
Keine Ahnung wie ich das "Loch" stopen soll!
Keine Ahnung wie der/die das machen!

Hatte jemand von eusch schon so ein Problem?

Gruß,

Alex

Alles anzeigen

Wie sehn die emails denn aus, die daverschickt werden? Also vom Betreff und inhalt her? Gehen die denn wirklich nach extern raus oder bleiben die im transit hängen?

Genesis · 3. März 2011

Zitat von ksft

Moin,

also heute früh mal wieder auf Port 80 umgestellt und die Firewall mitschneiden lassen.

Hier der Log der Webbox, das Ergebniss ist eindeutig, da wird das Kontaktfeld mißbraucht:

findest du von der Nachricht eine I0542AC0 . 0tx datei?

SchneeBandit · 3. März 2011

Hallo,

ich denke mal, dass das sicherlich so sein wird, wie es hier beschrieben ist. Dass Spambots das Web nach ungeschützen Formularen durchsuchen, ist nichts neues. Schutzmechanismen aus PHP oder ASP lassen sich auf der Webbox nicht nutzen. Somit liegt das Formular offen und kann dafür genutzt werden. Wer sich mit HTML, Javascript und der Arbeitsweise von solchen Bots auskennt, der kann das Formular aber auch entsprechend anpassen und sicherer gestallten. Ansonsten eben das Formular oder den Bereich löschen.

Gruß
Bandit

kingcopy · 4. März 2011

Hier auf uns Zugriffsversuche über Nacht:
da ist definitiv Aktivität wird aber anscheinend gedroppt:

Zitat

New Connection 188.2.195.137 Accepted: 00000524
Processing New SSL Connection: 00000524
SSL accept Failed: 00000524
(00000524) Tx shutdown
(00000524) close
Connection Terminated
New Connection 84.168.210.173 Accepted: 00000948
Processing New SSL Connection: 00000948
SSL accept Failed: 00000948
(00000948) Tx shutdown
(00000948) close
Connection Terminated
New Connection 95.154.144.49 Accepted: 00000524
Processing New SSL Connection: 00000524
SSL accept Failed: 00000524
(00000524) Tx shutdown
(00000524) close
Connection Terminated
New Connection 92.81.174.138 Accepted: 00000948
Processing New SSL Connection: 00000948
SSL accept Failed: 00000948
(00000948) Tx shutdown
(00000948) close
Connection Terminated
New Connection 77.64.41.230 Accepted: 00000524
Processing New SSL Connection: 00000524
SSL accept Failed: 00000524
(00000524) Tx shutdown
(00000524) close
Connection Terminated
New Connection 41.134.97.234 Accepted: 00000948
Processing New SSL Connection: 00000948
SSL accept Failed: 00000948
(00000948) Tx shutdown
(00000948) close
Connection Terminated
New Connection 95.153.64.105 Accepted: 00000524
Processing New SSL Connection: 00000524
SSL accept Failed: 00000524
(00000524) Tx shutdown
(00000524) close
Connection Terminated
New Connection 95.112.31.253 Accepted: 00000948
Processing New SSL Connection: 00000948
SSL accept Failed: 00000948
(00000948) Tx shutdown
(00000948) close
Connection Terminated
New Connection 188.23.98.169 Accepted: 00000524
Processing New SSL Connection: 00000524
SSL accept Failed: 00000524
(00000524) Tx shutdown
(00000524) close
Connection Terminated
New Connection 84.156.246.40 Accepted: 00000948
Processing New SSL Connection: 00000948
SSL accept Failed: 00000948
(00000948) Tx shutdown
(00000948) close
Connection Terminated
New Connection 95.150.166.121 Accepted: 00000524
Processing New SSL Connection: 00000524
SSL accept Failed: 00000524
(00000524) Tx shutdown
(00000524) close
Connection Terminated
New Connection 84.156.246.40 Accepted: 00000948
Processing New SSL Connection: 00000948
SSL accept Failed: 00000948
(00000948) Tx shutdown
(00000948) close
Connection Terminated
New Connection 188.84.250.237 Accepted: 00000524
Processing New SSL Connection: 00000524
SSL accept Failed: 00000524
(00000524) Tx shutdown
(00000524) close
Connection Terminated
New Connection 194.116.198.179 Accepted: 00000948
Processing New SSL Connection: 00000948
New Connection 194.116.198.179 Accepted: 00000960
Processing New SSL Connection: 00000960
SSL accept Failed: 00000948
(00000948) Tx shutdown
(00000948) close
Connection Terminated
SSL accept Failed: 00000960
(00000960) Tx shutdown
(00000960) close
Connection Terminated
New Connection 81.167.80.49 Accepted: 00000964
Processing New SSL Connection: 00000964
SSL accept Failed: 00000964
(00000964) Tx shutdown
(00000964) close
Connection Terminated
New Connection 46.178.241.1 Accepted: 00000960
Processing New SSL Connection: 00000960
SSL accept Failed: 00000960
(00000960) Tx shutdown
(00000960) close
Connection Terminated

Alles anzeigen

Spam Versand (OpenRelay, Hack) über Webbox!

Jetzt mitmachen!

Teilen