Επιθέσεις από Miners...λύσσαξαν από χτες

[ΜΑΝΩΛΗΣ1]

Εξοπλισμός : Meraki MX64

Λύσσαξαν από χτες το βράδυ από Γερμανικές IP και κυρίως από την πόρτα 80 να χρησιμοποιήσουν μάλλον τον server στην εταιρία για Mining

Εχω μέχρι στιγμής περί τα 5000 events από χτες το βράδυ

Σε όλα έχει μπει ο server μας σαν source, η εκάστοτε γερμανική ip σαν destination . Όλα έχουν γίνει block βέβαια  αλλά προσπαθώ να καταλάβω γιατί γίνεται αυτό

Ενας συνάδελφος βασικά ασχολείται με Mining αλλά δεν νομίζω να έχει κάνει κάτι στον δικό του υπολογιστή στην εταιρία. Δεν είναι τέτοιος να κάνει μακακίες και αν ήθελε να κάνει κάτι θα τον άφηνε ανοιχτό 24/7

Όλα τα events έχουν σαν details τα 2 παρακάτω,

Cryptocurrency Miner outbound connection attempt

XMRig cryptocurrency mining pool connection attempt

Δεν έχουμε αλλάξει κάτι , ούτε έχουμε εγκαταστήσει κάτι τελευταία στο δίκτυο (εκτός από το Synology στο οποίο έχω αλλάξει τις default ports)

 

[atheatos]

monero miner. Μηπως εχει μπει κατα λαθος κανενα Addon σε browser? Μπορει να ειναι ιος.

[ΜΑΝΩΛΗΣ1]

3 ώρες πριν, atheatos είπε

monero miner. Μηπως εχει μπει κατα λαθος κανενα Addon σε browser? Μπορει να ειναι ιος.

Λες? Θα το δω το βράδυ

Ο προγραμματιστής που μπήκε να κλείσει την χρήση πέρασε Mozilla στον server (εγώ δούλευα με explorer όποτε χρειαζόταν να δω κάτι). Αλλά δεν νομίζω να πέρασε κανά addon...

Γενικά 3 ip's είναι το θέμα (Από Γερμανία Hetzner). Στην αρχή προσπαθούσαν στην πόρτα 80 ...τις έκανα deny στο firewall και μετά άλλαξαν πόρτα . Οπότε κλειδωσα όλες τις πόρτες για αυτές τις ip

Εδώ και 2 ώρες έχουν σταματήσει.

[logvphys]

port scanner drop να βαλεις στο firewall για να ησυχασεις. 

[ΜΑΝΩΛΗΣ1]

Το θέμα είναι κάπου μέσα στον server. Κάτι έχει μπει και δεν μπορώ να το βρω

Το Endpoint αλλά και το firewall μπλοκάρουν συνεχώς την σύνδεση που προσπαθει να γίνει από τον server (σαν source) Προς τις 3 εξωτερικές IP οι οποίες είναι στην Γερμανία

Με netstat έχω συνέχεια μια από αυτές τις IP σε κατάσταση Syn_Sent.

Δεν μπορώ να βγάλω άκρη , το endpoint δεν βρίσκει κάτι και γενικά δεν βάζω τρίτα προγραμματα για scan στον server.

Το πρόβλημα ξεκίνησε την παρασκευή αλλά περάστηκε μόνο ο Mozilla από το επίσημο site. Ουτε addons ουτε τιποτα

[GRat]

Τρέχει αυτό https://github.com/xmrig/xmrig δες το documentation του, θα βοηθήσει στο να το βγάλεις.

[ΜΑΝΩΛΗΣ1]

7 λεπτά πριν, GRat είπε

Τρέχει αυτό https://github.com/xmrig/xmrig δες το documentation του, θα βοηθήσει στο να το βγάλεις.

Ευχαριστώ πολύ. Θα ποστάρω