Hackerattacken auf das Forum, ein paar Gedanken dazu

[jenzz]

Hallo Foristen,

leider sind wir (besser gesagt unsere Server) seit kurzem extrem vielen Hacker Attacken ausgeliefert. Zur Veranschaulichung haben wir euch einen Auszug aus den Seitenlangen Logfiles angehängt.
Diese Angriffe sind nicht selten, nur in den letzten Tagen häufen sich diese stark. Wie man hier sehr schön erkennen kann, wird z.B. versucht mit den Namen von ehemaligen und aktuellen ssh, ftp und so weiter Usern auf den Servern Zugriff zu erlangen. Da es sich hier um "Insiderwissen" handelt (es können nur ehemalige Admins der Server sein, da nur diesen die Kleinschreibung der Usernamen und die Namen selbst kennen), hoffen wir, daß dies nun mit der Veröffentlichung aufhört.

Wir bitten euch um Verständniss, daß es auf Grund der vielen verschiedenen Angriffe teilweise zu verzögertem Seitenaufbau kommen kann.

Als Gegenmaßnahme wurden die User welche Dienste ausführen (z.B. www-data) umbenannt, Passwörter werden nun alle paar Tage geändert und wir sind nun bei der Logfileanalyse noch aufmerksamer.

Karsten, warum tust du sowas? Warum erzählst du den Usern hier Dinge, die nachweisbar Unsinn sind?
Das allein ist ja noch nichts ungewöhnliches, aber wenn du ehemaligen Admins strafbare Handlungen unterstellst, da hört für mich der Spass auf.

Werden wir doch mal konkret, wie man so schön sagt, und schauen uns diese angeblichen Hacker-Angriffe mal genauer an, auf Basis der Logfiles die Du als Beweis anführst.

Zuerst zu den verwendeten IP Adressen. Hier die Zuordnungen zu den Verwaltern:

• 222.236.220.161: Hanaro Telecom Inc. - Seoul
• 209.152.166.219: American Pro Servers, Inc - Brooklyn
• 213.206.34.30: Internet Service Provider BUZTON J.V. - Tashkent (Uzbekistan)
• 134.242.65.80: etwas unklar, da nicht genau dokumentiert. Ein Traceroute der IP führt zu dem Provider XO Communications, Inc.

Natürlich kann man IP Adressen fälschen. Dies bringt einen jedoch nicht weiter, wenn man Zugang zu einem Server erlangen will, da die Antwort des Servers immer an die gefälschte Adresse gesendet wird und somit nicht beim eigentlichen Absender ankommt. Dieser kann somit nicht feststellen, ob seine Anfrage erfolgreich war und Zugang erlangen. Würde also keinen Sinn machen.
Übersetzt für die technischen Laien lässt sich folgendes daraus schliessen: entweder sind die Auszüge aus dem Logfile manuell verändert, um irgendwas zu beweisen oder wahlweise auch zu verschleiern, oder die Angriffe kamen aus ziemlich weit entfernten Standorten, an denen der/die "Hacker" entweder Server betreiben oder zumindest über diese Orte die Interneteinwahl hergestellt haben.


Dann noch ein paar Punkte zu der Konfiguration des (angeblich) angegriffenen Servers, die eigentlich jedem Admin und Ex-Admin bekannt sein sollten. Ohne hier zu weit ins Detail gehen zu wollen, auch um den Vorwurf zu vermeiden, hier Geheimnisse auszuplaudern:

• root Login via SSH war auf diesem Server schon immer deaktiviert, wie auf jedem ordentlich konfigurierten Webserver. Daher würde ein Versuch mit diesem User immer scheitern, auch wenn man das richtige Passwort hätte.
• die User alex, max und marco usw. hatten, sofern sie überhaupt je existierten, nie eine interaktive Shell sondern maximal Zugang via FTP auf den Server. Daher wäre ein loginversuch via SSH zwecklos.
• User, die Dienste ausführen, hatten nie eine interaktive Shell und auch keinen FTP Zugang. Ein Login mit diesen war nie möglich (das ist Standardkonfiguration bei allen Linuxsystemen)

Die Aussage, dass hier Insider am Werk sein sollen, die dem ORF böses wollen, halte ich also aufgrund dieser Fakten doch eher für eine gewagte Unterstellung.

[philip]

nicht schon wieder.......... das Theater von " Unterstellung, falschen Fakten, etc..."

BITTE
philip

[jenzz]

philip,
sieh es als ein Angebot für diejenigen, die Spass am mitdenken haben und gerne die Dinge selbst bewerten, um sich dann eine eigene Meinung zu bilden. Der Titel des Threads ist eindeutig gewählt, wenn's dich nicht interessiert musst du es nicht lesen.

Ich hab lange gezögert ob ich dazu was sagen soll, denn es war klar dass dieser Vorwurf kommen würde. Aber gerade dann wenn man sich mal komplett freimacht davon wie was in der Vergangenheit gelaufen ist, bleibt eigentlich nur Karstens Aussage übrig, ehemalige Admins würden versuchen den Server zu hacken. Und meine Aussage, dass mir das sehr unwahrscheinlich vorkommt.

[philip]

sieh es als ein Angebot für diejenigen, die Spass am mitdenken haben und gerne die Dinge selbst bewerten, um sich dann eine eigene Meinung zu bilden.
Der Titel des Threads ist eindeutig gewählt, wenn's dich nicht interessiert musst du es nicht lesen.

meine eigene Meinung bilde ich mir jeden Dienstag.......nach FRONTAL 21


PS.:@ Jenzz
du kannst schreiben was du willst, und ich bin dir nicht eimal böse !! Nur das ständige Raunzen mag ich nicht !!

Ciao
philip

[Karsten]

Lieber Jens,

bleiben wir mal bei den Fakten:
- die User existieren immer noch, nur ist der Login deaktiviert
- die User hatten anfänglich auch ssh Zugang, wobei ich nach dem Ausstieg von euch, alle User deaktiviert habe und neue angelegt
- auf dem neuen Server (wo komischerweise das gleiche abläuft, von den selben IP´s aus) gab es bis zum Ausstieg von Kahler (Marc) sogar den root Login, weil er das so wollte. Leider sind Dir wohl diese Details der Server Konfiguration nicht bekannt gewesen.
- woher die IP´s sind interessiert mich nicht, da man, wie Du schon geschrieben hast, sie recht einfach ändern kann
- auf Grund der verwendeten Usernamen liegt ein Verdacht nahe
- ist Dir z.B. bekannt, daß der ein oder andere in Südafrika Server anmietet um seine IP zu verschleiern (nicht daß ich mit dieser Aussage denjenigen verdächtige - dies nur als Hinweis für Jens zu den Aktivitäten des ein oder anderen)
- gerne kann ich Dir auch die Logs schicken, wo Du die Versuche per FTP Login sehen kannst (gleiche IP, gleiche Usernamen)
- zu kriminellen Handlungen: Mir ist bekannt, daß in Kreisen der Ex-Mods ein Backup der Datenbank umhergeistert. Dies ist auch nicht ganz rechtens. Oder?
- des weiteren hat irgendein Ex-Mod im internen Bereich einiges - incl. der Config Files - aus der Serverdokumentation gelöscht bevor er ausgestiegen ist

Es wird von euch versucht das ORF an allen möglichen Stellen sabotieren. Welche Schlüsse würdest Du dann aus den Logfiles ziehen?
Diese Interpretation habt ihr euch selbst zuzuschreiben.

Mir ist klar, daß diese Offenlegung nicht in dem Sinne von euch (ausgestiegene Mods sind diejenigen mit sauberer Weste - übergebliebene sind die Bösen, die nur lügen) ist, aber wenn man die verschiedenen Aktivitäten einiger gegen das ORF ansieht (inklusive der nicht 100% zuordenbaren wie die Aufforderung zur Userlöschung etc.) und dann nun diese Tatsachen mit den o.g. addiert, könnte man schon der Meinung sein, daß dies aus der gleichen Ecke kommt.

Das einfachste dürfte doch sein, jeder geht seinen Weg und das getrennt voneinander.
Dies sollte für erwachsene Menschen doch nicht so schwer sein und das Ablegen des momentanen Verhaltens von einigen "Wo ich nicht mehr mitspielen darf/kann/will, das muß ich vernichten" gehört übrigens auch dazu. Oder hat jemand von euch ein Problem damit?

Ihr versucht irgendwelche angeblichen Lügen und Fehlverhalten offenzulegen um dieses Forum zu diskreditieren.
Dann ist es doch legitim, daß auch wir, mal einen Verdacht äußern dürfen, nach all dem was abgelaufen ist. Oder sprichst Du uns dieses Recht ab?

Wird wieder mal mit verschiedenem Maß gemessen?

Karsten

PS: Das Thema wird gesperrt. Weitere Diskussionen darüber werden mit Sicherheit wieder in die gleiche Richtung der vergangenen gedrängt. Meinungen können gerne per PM mitgeteilt werden.