Systematische VoIP-Angriffe von Plusserver.de

[ao]

Leaseweb (früher Netdirekt e.K.) ist eine bekannte SPAM-Quelle. Registrierungen hier im Forum aus deren Netzen sind nicht möglich. Wenn Interesse besteht, kann ich die IP-Ranges hier posten.

Das gleiche gilt für Nobis/Ubiquityservers und ein paar weitere ISPs, die auf SPAM-Listen ganz oben stehen, da sie nicht nur E-Mail-SPAM verschicken, sondern vor allem als Quellen für Forum-SPAM und Hackerangriffe bekannt sind.

--gandalf.

Hallo,

ein Blick ins Syslog meiner gefreezten Fritzbox 7170 zeigt mir 3 illegale Versuche, sich mit meinem Dropbear SSH-Client zu verbinden - 1x aus USA, 1x aus NL und 1x aus DE, wobei die beiden letzteren zum Leaseweb gehören. Der 4. Versuch war von mir selbst von unterwegs. Die Meldung zeigt, dass er geklückt war. Da diese Meldung bei den anderen 3 Versuchen fehlt, gehe ich davon aus, dass kein Schaden entstanden ist. Oder muss ich mir Gedanken machen, dass beim 2. Versuch (IP 46.165.201.147) laut Log immerhin ca. 4 Minuten zwischen "Child connection" und "exit before auth" vergingen? Ich denke, dass "exit before auth" bedeutet, dass erst gar keine Authentifizierung zustande kam und somit alles ok ist. Ist das korrekt?

Aug 20 05:37:41 fb1 authpriv.info dropbear[3494]: Child connection from 95.211.178.104:54634
Aug 20 05:37:41 fb1 authpriv.info dropbear[3494]: exit before auth: Exited normally
...
Aug 20 08:23:49 fb1 authpriv.info dropbear[3543]: Child connection from 46.165.201.147:47715
Aug 20 08:23:53 fb1 authpriv.info dropbear[3543]: exit before auth: Exited normally
...
Aug 20 11:45:32 fb1 authpriv.info dropbear[3623]: Child connection from 141.212.121.10:59579
Aug 20 11:45:32 fb1 authpriv.info dropbear[3623]: exit before auth: Exited normally
...
Aug 20 13:43:49 fb1 authpriv.info dropbear[423]: Child connection from xxx.xxx.xxx.xxx:xxxxx
Aug 20 13:43:56 fb1 authpriv.notice dropbear[423]: pubkey auth succeeded for 'root' with key md5 xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx from xxx.xxx.xxx.xxx:xxxxx

Euer Thema ist ja schon ein paar Monate alt, und darin geht es mehr um VoIP-Angriffe, aber ich wollte das Leasweb hier auch bzgl. SSH-Angriff erwähnt wissen.

Konkrete Fragen bzgl. meiner Dropbear-Version und evtl. Schwachstellen, welche beschrieben wurden, habe ich in diesem Thread separat gestellt, da sie wohl eher in die Freetz-Rubrik gehören. Antworten darauf bitte gerne dort. Vielen Dank.