• Zarejestrowany: 2012-09-23
  • Posty: 88

Temat: Brute force attack over ssh

Witam
posiadam xiaomi3g, z
Wersja Gargoyle:1.12.0.2 (27ec1e48)

Kilka dni temu dostalem informacje od admina dostawcy internetu ze

"An attempt to brute-force account passwords over SSH/FTP by a machine in your domain or in your network has been detected. Attached are the host who attacks and time / date of activity. Please take the necessary action(s) to stop this activity immediately. If you have any questions please reply to this email. "

Przeskanowałem wszystkie komputery i komórki bitdefenderem, i nic.
Włączyłem w gui  monitor sieci, ale nie pokazuje aby były połączenia z adresami wskazanymi przez admina logach. Wątpię aby to była wina gargoyle, pytanie wrzucam tu, aby poprosić jak wykryć te polaczenia z którego wewnętrznego ip one się generują ?

2 Odpowiedź przez miguelos (edytowany przez miguelos 2021-04-20 12:29:07)

  • Zarejestrowany: 2012-12-18
  • Posty: 317

Odp: Brute force attack over ssh

moze packet capture na porcie 22 tylko ? z zapisem do /tmp (pakiet tcpdump-mini)

3 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 115,917

Odp: Brute force attack over ssh

Na początek to albo wyłącz ssh z internetu (jeżeli nie masz udostępnionego to admin dał ciała) albo przestaw sobie ssh na jakiś losowy wysoki port - jest to w gui do zrobienia). Skanery zwykle nie jadą po wszystkich portach bo nie ma na to czasu, jak ustawisz jakiś losowy typu 34252 to już będzie względnie dobrze.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

4 Odpowiedź przez rekrutacja14

  • Zarejestrowany: 2021-04-09
  • Posty: 6

Odp: Brute force attack over ssh

Wydaje mi się że chodzi o ruch wychodzący z jego sieci.
Jeśli nie używasz SSH to zawsze możesz na firewallu zablokować ruch wychodzący.
Oczywiście tak jak Cezary napisał, upewnij się, że SSH nie nasłuchuje na interfejsie WAN

5 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 115,917

Odp: Brute force attack over ssh

A sorry, tak. Może jakiegoś robala ma.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

6 Odpowiedź przez ad2014

  • ad2014
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2014-07-04
  • Posty: 1,137

Odp: Brute force attack over ssh

a jaki to dostawca internetu  - jeżeli to nie tajemnica ?

7 Odpowiedź przez jaros85

  • Skąd: Łódź
  • Zarejestrowany: 2013-07-07
  • Posty: 290

Odp: Brute force attack over ssh

ewcorek napisał/a:

Witam
posiadam xiaomi3g, z
Wersja Gargoyle:1.12.0.2 (27ec1e48)

Kolega został zhakowany i to nie jest śmieszne.
Zalecam zmianę wszystkich haseł adminów na każdym sprzęcie:
- komputery (o ile wcześniej jakieś było)
- rester rutera do ustawień fabrycznych i ponowną ręczna konfigurację z innym hasłem roota oraz innym hasłem wifi
Pewnie syf wpadł na sam ruter ale pewności nie ma że inne urządzenia też nie są przejęte.
Dodatkowo full skan dwoma programami antywirusowymi wszystkich komputerów.
Może w tym mailu albo z dodatkowej informacji od ISP da się dowiedzieć w jakich godzinach nastąpił ten atak może zawęzi to krąg podejrzanych co do resetu/formatu.
Podejrzewam że publiczny IP o ile taki jest już trafił na blacklisty.

| C2600 @ OpenWrt 21.02 / LuCi -> sieć gościnna, WINS serwer, VLAN, DLNA, multiwan
| WDR4300 @ OpenWrt 21.02 / LuCI -> extroot, sieć gościnna, WINS serwer
| MR3020 @ MiFi 17.01 -> E3372 HiLink
| WR842ND v2 @ Gargoyle PL 1.13.0 -> testy

8 Odpowiedź przez ewcorek

  • Zarejestrowany: 2012-09-23
  • Posty: 88

Odp: Brute force attack over ssh

Witam dzieki za podpowiedzi

Uściślam
1. dostałem logi od dostawcy Internetu , wiec wiem o której te ataki nastąpiły
2.ataki nastąpiły z mojej sieci na zewnętrzny adres ip ( który to zgłosił mojemu dostawcy Internetu)
3. w monitorze połączeń internetowych nie widać żadnych wpisów , o tych samych godzinach co wskazują logi od dostawcy, widzę wszystko inne , ale akurat tych nie ma


pytanie: jak mogę zablokować ruch wychodzący na ssh ? Prosze łopatologicznie , najlepiej w gui.

pewnie się skończy na wgraniu firmware , jeszcze raz... jak sugerował kolega

9 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 115,917

Odp: Brute force attack over ssh

iptables -I OUTPUT -p tcp --dport 22 -j DROP
iptables -I FORWARD -p tcp --dport 22 -j DROP

W /etc/firewall.user

ale jeżeli miałeś włam na router to tym samym każdy może sobie zrobić regułkę firewalla jaką chcę wiec to nic nie da. Jeżeli miałeś to z lanu to forward to zablokuje, ale problem i tak  pozostaje - zabezpieczenie urządzeń w lanie.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

10 Odpowiedź przez badziewiak

  • Skąd: Chrząszczyżewoszyce Łękołody:)
  • Zarejestrowany: 2010-08-26
  • Posty: 1,808

Odp: Brute force attack over ssh

Cezary, pytanko mam: W GUI Gargoyle ustawiłem sobie blokowanie pingów. SSH mam wyłączony. Jedyny otwarty z zewnątrz port to ten od openvpn serwera. Czy da się jakoś monitorować w gui gargoyle próby bruteforce?

MiniPC 6xRJ45 2Gb, N100, 16GB DDR5, 1TB NVMe (Gargoyle)
Linksys WRT3200ACM (Gargoyle)
Tp-link 1043NDv2 (Gargoyle)

11 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 115,917

Odp: Brute force attack over ssh

Jeżeli nie masz pootwieranych portów to nie masz czego monitorować, bo nie masz uslug wystawionych na portach.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

12 Odpowiedź przez badziewiak

  • Skąd: Chrząszczyżewoszyce Łękołody:)
  • Zarejestrowany: 2010-08-26
  • Posty: 1,808

Odp: Brute force attack over ssh

A próby wbicia się na port 443 tcp? Na tym działa mi openvpn.

MiniPC 6xRJ45 2Gb, N100, 16GB DDR5, 1TB NVMe (Gargoyle)
Linksys WRT3200ACM (Gargoyle)
Tp-link 1043NDv2 (Gargoyle)

13 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 115,917

Odp: Brute force attack over ssh

To raz że mas w logach openvpn o wszystkich próbach połączenia, dwa - masz regułki iptables i możesz sobie zrobić wykrycie nadmiaowej ilości połączeń na danym porcie ( np. https://serverfault.com/questions/84775 … os-attacks itp )

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

14 Odpowiedź przez ewcorek

  • Zarejestrowany: 2012-09-23
  • Posty: 88

Odp: Brute force attack over ssh

Cezary napisał/a:

iptables -I OUTPUT -p tcp --dport 22 -j DROP
iptables -I FORWARD -p tcp --dport 22 -j DROP

W /etc/firewall.user

ale jeżeli miałeś włam na router to tym samym każdy może sobie zrobić regułkę firewalla jaką chcę wiec to nic nie da. Jeżeli miałeś to z lanu to forward to zablokuje, ale problem i tak  pozostaje - zabezpieczenie urządzeń w lanie.


Dziękuje, router zastąpiłem innym, tez z Gargoyle , reguły wprowadzę i zobaczymy.