Strato hackt sich selbst
Ich habe aktuell ein lustiges Projekt, wo ich nicht weiß, ob ich lachen oder weinen soll:
Serverbesitzer A ist bei Strato, hat dort einen eigenen Server.
Serverbesitzer A hat eine Abmahnung von Strato erhalten, weil mehrere Leute eine Abuse-Meldung geschickt haben, und auch deren managed Switch (angeblich) Unregelmäßigkeiten im Netzwerktraffic erkannt haben will.
Ergo ist Serverbesitzer A auch gleich ma der Zugang abgedreht worden, und er möge das doch beheben.
Nachdem ich jetzt 1,6 GB Logfiles für 3 Wochen Serverbetrieb durchforstet habe, steht für mich eines fest:
das RZ von Strato ist faul wie ein Karton stinkender Eier.
Der Server von Besitzer A wurde aus dem eigenen (Strato-)Rechenzentrum geknackt, daher auch das allzudicke Logfile.
Der Angreifer ging dabei ziemlich plump vor, da es ihm auch wirklich egal sein kann:
meiner Analyse zufolge besitzt er Zugriff auf ca. 100 Server bei Strato, alleine in dem Logfile fand ich 20.
Da ich selbst ja auch noch ein paar Server betreue, hat ein Cross-Check über Nacht gezeigt, daß speziell dieses Scan-Muster (ein sehr eindeutiges übrigens), noch mit ein paar anderen IP-Adressen zutage tritt.
Wenn ich jemand bei Strato wäre, würde ich mich da mal an einen Switch mit bissel Regex setzen, und dann wär das geritzt, denn die Abuse-Meldungen erhalten freundlicherweise ja immer Auszüge der Scans.
Lustig war die Abmahnung, die Strato da gesendet hat, denn da war was von SSH-Einbruchsversuchen die Rede.
Hier ging es „lediglich“ um Scans auf Apache-Directorys.
(wer SSH mit root oder ähnlich bösen Usernames offen hat, dem geschieht es recht)
Naja, mal sehen, was da jetzt draus wird…
