Abuse от Хетцнера и бан, где искать?

Question

[fStrange]

Хостер получил абуз от Хетцнера и забанил сервер.

##########################################################################
> # Netscan detected from host 217.12.xx.xx #
> ##########################################################################
>
> time protocol src_ip src_port dest_ip dest_port
> ---------------------------------------------------------------------------
> Fri Mar 18 20:02:18 2022 UDP 217.12.xx.xx 10651 => 5.75.128.0 123
> Fri Mar 18 20:02:18 2022 UDP 217.12.xx.xx 13423 => 5.75.128.1 123
> Fri Mar 18 20:02:18 2022 UDP 217.12.xx.xx 28049 => 5.75.128.2 123
> Fri Mar 18 20:02:18 2022 UDP 217.12.xx.xx 24907 => 5.75.128.3 123
> Fri Mar 18 20:02:18 2022 UDP 217.12.xx.xx 25829 => 5.75.128.4 123

Сейчас сервер временно разблочен. Куда копать?
Подозрительной сетевой активности на текущий момент не вижу, проверил на наличие руткитов, чисто. В кронзадачах ничего подозрительного.

Comments

[AUser0]

Из такого описания даже непонятно, кого именно забанили-то?

Ну и порт UDP/123 - это стандартный порт для NTP.
Кто-то решил, что dest_ip является time-сервером? Его за это забанили?

[fStrange]

AUser0, забанили сервер клиента 217.12.xx.xx по абюзу от Хетцнера.
Сейчас сервер временно разблочен для устранения

[AUser0]

Так блокировали группу клиентов, или сам сервер?
Если клиентов - то как может быть "разблочен сервер, временно".
А постоянно он всегда заблочен что-ли?
И ещё, таких сканирований в сутки случается вагон и маленькая тележка.
Если этот порт у вас не открыт, на нём ничего нет - так это вообще не атака, а стук лбом в стену, не стоит обращать внимания. Конечно если их +100500 МИЛЛИОНОВ в течении 60 минут - тогда да, DDoS.

[fStrange]

AUser0, я в общем то и подозреваю что ложное. осталось только объяснить это хостеру.

Почему группу? Жалобы была на вполне конкретный айпи, на котором висит сервер с несколькими сайтами

Вот более полный текст

На Ваш сервер пришла жалоба. Отправитель жалобы утверждает, что с Вашего сервера осуществляется вредоносная активность. Такой активностью могут быть - спам, брут и т.д. Ниже Вы найдёте логи, которые, как считает отправитель, подтверждают это.
...
Abuse Message [AbuseID:A3D17A:26]: NetscanInLevel: Netscan detected from 217.12.xx.xx
Dear Sir or Madam,
We have evidence that a network scan (or network attack) was carried out on a server belonging to a client of ours, from an IP address under your responsibility.
Please take all necessary actions to avoid this in the future and to resolve the current issue.
Furthermore we request a short statement, with information on the cause of the issue, as well as your response.
Please use the following link for the statement: https://abuse.hetzner.com/statements/?token=efecde...
Notes:
You should get this information only a few minutes after the incident.
All timestamps are in Central European Time (Berlin).
Important note:
When replying to us, please leave the abuse ID [AbuseID:A3D17A:26] unchanged in the subject line.
Please note that we do not provide telephone support in our department.
If you have any questions, please send them to us by responding to this email.
Kind regards
Network department
Hetzner Online GmbH
Industriestr. 25
91710 Gunzenhausen / Germany
Tel: [phone]
Fax: [phone]
[e-mail]
www.hetzner.com
Register Court: Registergericht Ansbach, HRB 6089
CEO: Martin Hetzner, Stephan Konvickova, Günther Müller
For the purposes of this communication, we may save some
of your personal data. For information on our data privacy
policy, please see: www.hetzner.com/datenschutzhinweis>

кусок лога я приводил.

[AUser0]

А, ну вот наконец-то разобрались, ваш сервер стучался куда-то на UDP/123, и на него нажаловались.
Тогда да, тщательно сканировать, искать следы, которые не подчистили.

P.S. Странно, 123-ий порт - это NTP, в него IMHO стучаться - просто бессмысленно.