Ataque a Servidor Dedicado

O

oficinas19 Seguir

No recomendado
Desde
13 Mar 2015
Mensajes
485
Por favor, ten en cuenta 📝 que si deseas hacer un trato 🤝 con este usuario, está baneado 🔒.
Recibi de mi empresa de hosting este aviso:

Estimado(a) Cliente,

Se ha detectado una actividad irregular en su servidor ns539309.ip-14-27-10.net.

No dude en contactar con nuestro soporte técnico para que esta situación
no se vuelva crítica.

Podrá encontrar más abajo los logs indicados por nuestro sistema que han
dado lugar a esta alerta.

- INICIO DE INFORMACIONES COMPLEMENTARIAS -

Attack detail : 22Kpps/247Mbps
dateTime srcIp:srcPort dstIp:dstPort protocol flags packets bytes reason
2018.04.28 16:33:26 CEST 144.217.10.18:11211 47.75.68.249:29299 UDP --- 16384 23691264 ATTACK:UDP
2018.04.28 16:33:26 CEST 144.217.10.18:11211 47.75.68.249:29299 UDP --- 16384 23691264 ATTACK:UDP
2018.04.28 16:33:26 CEST 144.217.10.18:11211 47.75.68.249:29299 UDP --- 16384 23691264 ATTACK:UDP
2018.04.28 16:33:26 CEST 144.217.10.18:11211 47.75.68.249:1953 UDP --- 16384 23691264 ATTACK:UDP
2018.04.28 16:33:26 CEST 144.217.10.18:11211 47.75.68.249:27310 UDP --- 16384 23691264 ATTACK:UDP
2018.04.28 16:33:26 CEST 144.217.10.18:11211 47.75.68.249:18249 UDP --- 16384 23691264 ATTACK:UDP
2018.04.28 16:33:26 CEST 144.217.10.18:11211 47.75.68.249:48011 UDP --- 16384 23691264 ATTACK:UDP
2018.04.28 16:33:26 CEST 144.217.10.18:11211 47.75.68.249:48011 UDP --- 16384 23691264 ATTACK:UDP
2018.04.28 16:33:26 CEST 144.217.10.18:11211 47.75.68.249:48011 UDP --- 16384 23691264 ATTACK:UDP
2018.04.28 16:33:26 CEST 144.217.10.18:11211 47.75.68.249:48011 UDP --- 16384 23691264 ATTACK:UDP
2018.04.28 16:33:26 CEST 144.217.10.18:11211 47.75.68.249:29299 UDP --- 16384 23691264 ATTACK:UDP
2018.04.28 16:33:26 CEST 144.217.10.18:11211 47.75.68.249:33594 UDP --- 16384 23691264 ATTACK:UDP
2018.04.28 16:33:26 CEST 144.217.10.18:11211 47.75.68.249:8492 UDP --- 16384 23691264 ATTACK:UDP
2018.04.28 16:33:26 CEST 144.217.10.18:11211 47.75.68.249:33594 UDP --- 16384 23691264 ATTACK:UDP
2018.04.28 16:33:26 CEST 144.217.10.18:11211 47.75.68.249:1953 UDP --- 16384 23691264 ATTACK:UDP
2018.04.28 16:33:26 CEST 144.217.10.18:11211 47.75.68.249:26727 UDP --- 16384 23691264 ATTACK:UDP
2018.04.28 16:33:26 CEST 144.217.10.18:11211 47.75.68.249:8650 UDP --- 16384 23691264 ATTACK:UDP
2018.04.28 16:33:26 CEST 144.217.10.18:11211 47.75.68.249:57242 UDP --- 16384 23691264 ATTACK:UDP
2018.04.28 16:33:26 CEST 144.217.10.18:11211 47.75.68.249:57242 UDP --- 16384 23691264 ATTACK:UDP
2018.04.28 16:33:26 CEST 144.217.10.18:11211 47.75.68.249:8650 UDP --- 16384 23691264 ATTACK:UDP


Este tipo de ataque es de denegacion de servicio segun leo aca:
Ataque de denegación de servicio - Wikipedia, la enciclopedia libre

Algo asi para intenterar dejarme fuera de linea el servidor?

Es correcto?
Tiene alguna solucion este tipo de ataque?

Gracias
 
H

Hypnotick

No recomendado
¡Usuario con pocos negocios! ¡Utiliza siempre saldo de Forobeta!
Desde
27 Ene 2012
Mensajes
120
Por favor, ten en cuenta 📝 que si deseas hacer un trato 🤝 con este usuario, está baneado 🔒.
Iptables -I INPUT -s 47.75.68.249 -j DROP.

:topsy_turvy:
 
F

ferranv

Beta
¡Usuario con pocos negocios! ¡Utiliza siempre saldo de Forobeta!
Desde
23 Abr 2018
Mensajes
71
Hola,

¿Y que te ha dicho tu proveedor o sysadmin? xD

¿Has intentado activar el Anti-DDoS de OVH para poder intentar mitigar ese tráfico anómalo que te viene por UDP?

Tienes un ataque por UDP desde varias direcciones IP hacia puertos altos. Seguramente sea del tipo: UDP flood attack, por lo que puedo observar de tu log.

Por lo cual ese comando que te han pasado no sirve para frenar dicho ataque ya que el ataque te viene desde varias direcciones IP's y no desde una sola.

Corre este comando para detectar el tipo de ataque en tu servidor:

Insertar CODE, HTML o PHP: 
netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n

Saludos.
 
Última edición:
K

klamardo

Beta
Verificado por Whatsapp
¡Usuario con pocos negocios! ¡Utiliza siempre saldo de Forobeta!
Desde
9 Sep 2017
Mensajes
106
que tienes escuchando por UDP que esta mas o menos abierto o poco actualizado ... Memcached nada por ahis ?
 
F

ferranv

Beta
¡Usuario con pocos negocios! ¡Utiliza siempre saldo de Forobeta!
Desde
23 Abr 2018
Mensajes
71
klamardo dijo:
que tienes escuchando por UDP que esta mas o menos abierto o poco actualizado ... Memcached nada por ahis ?
Hacer clic para expandir...

O lo mismo UDP flood attack o SYN flood fijo por la tesitura del ataque.

Memcached no es ya que es el port 11211 UDP y ese tipo de ataque es mucho más heavy en tráfico.

una-al-día | Hispasec: Hablemos de DrDOS

Esto tiene más pinta de server mal segurizado o troyanizado y de un ataque tipo: UDP flood attack o de un SYN flood. Pues los logs están bastante claros...

Saludos.
 
Última edición:
P

plex

Épsilon
Domainer
Desde
8 Jul 2017
Mensajes
750
Si tu server tiene firewall agrega las IP extrañas al deny.
Si no, también puedes activar Cloudflare, es gratuito y puedes agregar las IP que te atacan al blocklist :encouragement:
 
F

ferranv

Beta
¡Usuario con pocos negocios! ¡Utiliza siempre saldo de Forobeta!
Desde
23 Abr 2018
Mensajes
71
decz dijo:
Si tu server tiene firewall agrega las IP extrañas al deny.
Si no, también puedes activar Cloudflare, es gratuito y puedes agregar las IP que te atacan al blocklist :encouragement:
Hacer clic para expandir...

También tiene:

Google | Project Shield | Free DDoS protection o Akamai. xD

Bloqueando las IP's: El problema es que el ataque es desde varias IP's y no desde una misma dirección IP. Es desde una bootnet. Por lo tanto es un UDP flood attack y no un SYN flood attack.

Como digo tiene más pinta de UDP flood attack. Los SYN flood se pueden mitigar fácilmente haciendo un par de modificaciones y aumentando el backlog queque.
 
Última edición:
K

klamardo

Beta
Verificado por Whatsapp
¡Usuario con pocos negocios! ¡Utiliza siempre saldo de Forobeta!
Desde
9 Sep 2017
Mensajes
106
de los que he visto en el tiempo en UDP ... ntp memcached bind ... memcached si que lo vi fuerte en una maquina zimbra detras de un fw watchguard con reglas sacadas de una caja de cereal
 
P

plex

Épsilon
Domainer
Desde
8 Jul 2017
Mensajes
750
ferranv dijo:
También tiene:

Google | Project Shield | Free DDoS protection o Akamai. xD

Bloqueando las IP's: El problema es que el ataque es desde varias IP's y no desde una misma dirección IP.
Hacer clic para expandir...

Yo veo una sola IP atacando: 47.75.68.249
Generalmente los ataques son desde proxy, revisando los logs es fácil detectar cuales son las IP, si son varias se pueden bloquear también por rangos: 47.75.68.0/24 o 47.75.0.0/16 por dar un ejemplo.
Lo otro ya sería bloquear un país completo pero eso solo se puede en Firewall o con Cloudflare de pago.
Generalmente bloqueando las que más se repiten el ataque cesa :encouragement:
 
F

ferranv

Beta
¡Usuario con pocos negocios! ¡Utiliza siempre saldo de Forobeta!
Desde
23 Abr 2018
Mensajes
71
klamardo dijo:
de los que he visto en el tiempo en UDP ... ntp memcached bind ... memcached si que lo vi fuerte en una maquina zimbra detras de un fw watchguard con reglas sacadas de una caja de cereal
Hacer clic para expandir...

No tiene pinta de Reflective DoS attack por el log.

- - - Actualizado - - -

decz dijo:
Yo veo una sola IP atacando: 47.75.68.249
Generalmente los ataques son desde proxy, revisando los logs es fácil detectar cuales son las IP, si son varias se pueden bloquear también por rangos: 47.75.68.0/24 o 47.75.0.0/16 por dar un ejemplo.
Lo otro ya sería bloquear un país completo pero eso solo se puede en Firewall o con Cloudflare de pago.
Generalmente bloqueando las que más se repiten el ataque cesa :encouragement:
Hacer clic para expandir...

Cierto. Me he fijado mejor y tienes razón.

Lo de bloquear por países si tiene el CSF es fácil.

Bloquear ataque SYN fllood:

Tiene toda la pinta de SYN flood o de UDP flood attack. Si es un ataque de tipo SYN Flood es fácil de mitigar con lo que he comentado de activar la protección syncookies a 1:
Insertar CODE, HTML o PHP: 
sudo sysctl -w net.ipv4.tcp_syncookies="1"
Y aumentando el backlog queque.

Insertar CODE, HTML o PHP: 
sudo sysctl -w net.ipv4.tcp_max_syn_backlog="2048"

Prueba con esto primero:

Insertar CODE, HTML o PHP: 
sudo iptables -A INPUT 1 -s IPADRESS -j DROP/REJECT
Insertar CODE, HTML o PHP: 
sudo service iptables restart
Insertar CODE, HTML o PHP: 
sudo service iptables save

O

Insertar CODE, HTML o PHP: 
sudo route add ipaddress reject

Insertar CODE, HTML o PHP: 
sudo route -n | grep IPaddress
 
Última edición:
S

SnAFKe

Zeta
Verificación en dos pasos activada
¡Ha verificado su Paypal!
Desde
6 Ago 2014
Mensajes
1.616
Estas haciendo atacado por una vulnerabilidad del Memcached que se soltó el mes pasado.

Si necesitas ayuda mándame un PM y vemos el problema.
 
F

ferranv

Beta
¡Usuario con pocos negocios! ¡Utiliza siempre saldo de Forobeta!
Desde
23 Abr 2018
Mensajes
71
SnAFKe dijo:
Estas haciendo atacado por una vulnerabilidad del Memcached que se soltó el mes pasado.

Si necesitas ayuda mándame un PM y vemos el problema.
Hacer clic para expandir...

No creo.

Mira esto:

Memcached DDoS Attack | Cloudflare

https://blog.cloudflare.com/memcras...cado/645579-ataque-a-servidor-dedicado-2.html

No veo dicho puerto en los logs. Los ataques de Memcached van por el puerto UDP 11211.

SYN Flood o UDP Flood Attack.

El SYN Flood ya te he dicho como pararlo.

Qué le de un:

Insertar CODE, HTML o PHP: 
nmap TARGET -p 11211 -sU -sS --script memcached-info
Y salimos de dudas todo el foro.

Memcached: NO ES. Los logs no dan el perfil.

Para saber si es un SYN Flood:

Insertar CODE, HTML o PHP: 
sudo netstat -n | grep SYN_RECV

Saludos.
 
Última edición:
F

ferranv

Beta
¡Usuario con pocos negocios! ¡Utiliza siempre saldo de Forobeta!
Desde
23 Abr 2018
Mensajes
71
SnAFKe dijo:
Si no sabes nada al respecto mejor no opines nada y des mal información.
Hacer clic para expandir...

Primero que nos de la respuesta de y hablamos:

Insertar CODE, HTML o PHP: 
nmap TARGET -p 11211 -sU -sS --script memcached-info

memcached-info NSE Script

Pueden ser varias cosas. Pero a primera vista no me parece un ataque hacia memcached. Además sin acceso directo al server es difícil de comprobar/investigar.

Aquí todos estamos haciendo posibles hipótesis. Tú también.

A ver si el que no va a saber vas a ser tú.
 
Última edición:
K

klamardo

Beta
Verificado por Whatsapp
¡Usuario con pocos negocios! ¡Utiliza siempre saldo de Forobeta!
Desde
9 Sep 2017
Mensajes
106
que sabemos? que es hacia un proceso escuchando por UDP

que liste sus servicios con UDP y veamos quizas tenga algo corriendo que no deberia estar ahi o no expuesto publicamente si es un servicio tipico es probable que falten actualizaciones

netstat -lntu

y que vea que hay que pueda estar de mas

- - - Actualizado - - -

es memcached

mirar el primer post
hartos ...
144.217.10.18:11211

con esto bastaria y actualizar

iptables -I INPUT -p udp --dport 11211 -j DROP
iptables -I INPUT -p tcp --dport 11211 -j DROP
iptables -I INPUT -p udp -s 127.0.0.1 --dport 11211 -j ACCEPT
iptables -I INPUT -p tcp -s 127.0.0.1 --dport 11211 -j ACCEPT

creo que te falta reglas de firewall por default .. abir al exterior solo lo necesario .. si tienes acceso KVM IP puede ir seteado ufw desde ahi si no sabes pide ayuda
 
Última edición:
F

ferranv

Beta
¡Usuario con pocos negocios! ¡Utiliza siempre saldo de Forobeta!
Desde
23 Abr 2018
Mensajes
71
klamardo dijo:
que sabemos? que es hacia un proceso escuchando por UDP

que liste sus servicios con UDP y veamos quizas tenga algo corriendo que no deberia estar ahi o no expuesto publicamente si es un servicio tipico es probable que falten actualizaciones

netstat -lntu

y que vea que hay que pueda estar de mas
Hacer clic para expandir...

Por eso digo que puede ser más de una mala segurización simplemente. A mí eso no me suena a un ataque hacia memcached. Ojo, como soy novato lo mismo me equivoco. Qué podría ser. Pero yo creo saber por donde tiran las cosas en su caso. Aunque si no aporta datos al foro poco más podemos hacer.

- - - Actualizado - - -

Coño estaba cegado! Disculpar las molestias! Efectivamente ahora veo claro que es memcached. Pido disculpas. Soy novato.

2018.04.28 16:33:26 CEST 144.217.10.18:11211 47.75.68.249:29299 UDP --- 16384 23691264 ATTACK:UDP y es desde la misma IP: 144.217.10.18

Sácanos un:

Insertar CODE, HTML o PHP: 
sudo iptables -L -n -v

Deberías actualizar a la última versión el memcached que tiene inhabilitado UDP por defecto o usar esta herramienta:
GitHub - 649/Memfixed-Mitigation-Tool: DDoS mitigation tool for sending flush or shutdown commands to vulnerable Memcached servers obtained using Shodan API

Disculpas. La próxima vez ya me fijo mejor en los logs.

Yo andaba haciendo suposiciones.
 
Última edición:
F

ferranv

Beta
¡Usuario con pocos negocios! ¡Utiliza siempre saldo de Forobeta!
Desde
23 Abr 2018
Mensajes
71
Para desactivar UDP en memcached en Debian/Ubuntu:

Insertar CODE, HTML o PHP: 
cat <<EOF >> /etc/memcached.conf

# Disable UDP
-U 0
EOF

Insertar CODE, HTML o PHP: 
sudo systemctl restart memcached

O si usas SysV:

Insertar CODE, HTML o PHP: 
sudo service memcached restart

Aunque mejor lo actualizas a la última versión.

Después:

Insertar CODE, HTML o PHP: 
sudo ss -apu
Insertar CODE, HTML o PHP: 
sudo netstat -lpu
Insertar CODE, HTML o PHP: 
sudo ss -aup

En CentOS:

Insertar CODE, HTML o PHP: 
sudo vi /etc/sysconfig/memcached
Insertar CODE, HTML o PHP: 
OPTIONS="-l 127.0.0.1 -U 0"
Insertar CODE, HTML o PHP: 
sudo service memcached force-reload

Y con el comando route de mi otro post bloqueas la IP.

Con eso se debería de solucionar el ataque.

Saludos.
 
Última edición:
Hay que estar conectado o registrado para responder aquí.
Arriba