Как узнать кто ДДОСИТ?

Question

[jolomo]

С сайта хостинга часто (примерно раз в неделю) приходят уведомления о том, что с моего сервера идет постоянный ддос.
Сам я, естественно, ничего не трогаю. На сервере есть VPN Wireguard, этим впном пользуются 3-4 человека.
Как я могу узнать откуда и куда идут атаки? И могу ли я как - то это предотвратить, путем блокировки исходящего трафика или тп?
Сообщение:

An attempt to brute-force account passwords over SSH/FTP by a machine in your domain or in your network has been detected. Attached are the host who attacks and time / date of activity. Please take the necessary action(s) to stop this activity immediately. If you have any questions please reply to this email.

Host of attacker:
Attacked hosts in our Network: 178.250.12.90, 37.228.154.22, 77.75.253.130, 37.228.158.104, 37.228.155.68, 178.250.14.174, 37.228.155.106, 37.228.156.4, 85.158.183.88, 185.39.221.220, 178.250.10.64, 77.75.253.15, 77.75.251.129, 77.75.249.89, 178.250.10.178, 37.228.158.94, 37.228.158.22, 185.39.221.127, 37.228.156.146, 77.75.250.150, 185.39.220.25, 85.158.183.180, 77.75.250.9, 85.158.183.145, 185.39.221.176, 37.228.159.239, 85.158.183.159, 77.75.249.136, 185.39.221.178, 194.34.225.51, 85.158.181.190, 178.250.14.192, 185.39.221.118, 77.75.251.49, 77.75.249.168, 37.228.154.126, 37.228.156.103, 178.250.15.202, 77.75.251.112, 178.250.14.80, 85.158.182.45, 185.39.220.67, 37.228.156.205, 37.228.155.191, 85.158.176.53, 178.250.9.61, 77.75.252.80

Logfile entries (time is CE(S)T):
Tue Nov 29 18:10:22 2022: user: ubuntu service: ssh target: 37.228.156.205 source: myip
Tue Nov 29 18:09:37 2022: user: ubuntu service: ssh target: 85.158.183.145 source: myip
Tue Nov 29 17:57:41 2022: user: oracle service: ssh target: 37.228.155.106 source: myip
Tue Nov 29 17:57:10 2022: user: oracle service: ssh target: 77.75.253.130 source: myip
Tue Nov 29 17:55:41 2022: user: developer service: ssh target: 37.228.155.106 source: myip
Tue Nov 29 17:55:10 2022: user: developer service: ssh target: 77.75.253.130 source: myip
Tue Nov 29 17:53:31 2022: user: admin service: ssh target: 37.228.155.106 source: myip
Tue Nov 29 17:53:10 2022: user: admin service: ssh target: 77.75.253.130 source: myip
Tue Nov 29 17:51:41 2022: user: ubuntu2 service: ssh target: 37.228.155.106 source: myip
Tue Nov 29 17:51:10 2022: user: ubuntu2 service: ssh target: 77.75.253.130 source: myip
Tue Nov 29 17:49:41 2022: user: git service: ssh target: 37.228.155.106 source: myip
Tue Nov 29 17:49:10 2022: user: git service: ssh target: 77.75.253.130 source: myip
Tue Nov 29 17:47:41 2022: user: jenkins service: ssh target: 37.228.155.106 source: myip
Tue Nov 29 17:47:10 2022: user: jenkins service: ssh target: 77.75.253.130 source: myip
Tue Nov 29 17:45:41 2022: user: clouduser service: ssh target: 37.228.155.106 source: myip
Tue Nov 29 17:45:10 2022: user: clouduser service: ssh target: 77.75.253.130 source: myip
Tue Nov 29 17:43:21 2022: user: test service: ssh target: 37.228.155.106 source: myip
Tue Nov 29 17:42:50 2022: user: test service: ssh target: 77.75.253.130 source: myip
Tue Nov 29 17:41:21 2022: user: ubuntu service: ssh target: 37.228.155.106 source: myip

Comments

[Vindicar]

Проверь на наличие левых процессов, cron-задач и т.п. для начала. Может, твой сервер поломали.

[jolomo]

Vindicar, я специально для этого поставил чистый сервак. Поломать хз как можно было.
Судя по логам, атаки идут по ssh. Можно ли как - то заблочить исходящий трафик по этим портам?

[jolomo]

Vindicar, kswapd0 - загружает процессор на 100% при этом.

[AlexVWill]

Судя по логам, атаки идут по ssh. Можно ли как - то заблочить исходящий трафик по этим портам?

назначить на ssh другой порт (не 22), а 22 запретить через iptables

[shurshur]

jolomo, атакуют не ssh сервера, атаке подвергаются другие сервера по ssh. Причём определить атаки на совсем чужие хосты хостер не может, но он видит, что с этого сервера идут попытки подбора пароля типичных словарных пользователей (admin, jenkins итд) на его собственные хосты.

Как ломают нельзя так просто определить. Либо клиенты из VPN (у кого-то из "друзей" зловред), либо злоумышленники нашли дырку где-то (например, в php-коде каком-нибудь) или внедрили эксплойт в код, который переезжает при переустановке сервера (например, в сайтике уже затесался постоянно живущий web shell).

kswapd0 означает, что чего-то в этот момент выжрало много памяти, больше чем есть на сервере. Если это виртуалка с малым количеством памяти, то пачка ssh-клиентов легко такое может устроить.

[Сергей Горностаев]

jolomo,

я специально для этого поставил чистый сервак. Поломать хз как можно было.

Чистый сервак как раз легко поломать. Потому хорошие админы так и ценятся, что способны настроить "чистый" сервак правильно.

[Valentin Barbolin]

Если порт известен, включи в iptables логирование для 22 порта. Когда получишь следующее письмо, посмотри какой адрес попал в лог.

[osada]

Можно поставить ловушку с мониторингом и логирования SSH.

https://medium.com/@jeremiedaniel48/install-and-se...

Answer 1

[Vitaly Karasik]

Как я могу узнать откуда и куда идут атаки? И могу ли я как - то это предотвратить, путем блокировки исходящего трафика

Куда - мы уже знаем из сообщения хостера (кстати, это не DDoS, а brute force).
Откуда? - в реальном времени это можно узнать например сравнивая "lsof" для соединений 22 портом c "ps" выводом. Соответственно можно вставить скрипт в крон.
И да, если речь только о атаках на 22 порт, его можно закрыть в iptables.

Comments

[Shandy]

Закрыт порт 22 для исходящих подключений?

[Vitaly Karasik]

Shandy, да

Разумеется, нужно найти причину, так как если это virus/malware, то наверняка оно использует и другие порты, да и вообще кто его знает что делает

Answer 2

[Gansterito]

Смотрите вывод netstat -apn | grep ":22"
Вот пример легитимного исходящего соединения, инициированный командой ssh, pid 12690:

tcp        0      0 your_ip:46324   remote_ip:22       ESTABLISHED 12690/ssh

Вот такое соединение выглядит сомнительно, т.к. его инициировало какое-то левое приложение, таких записей может быть очень много:

tcp        0      0 your_ip:46324   remote_ip:22       ESTABLISHED 12690/php
tcp        0      0 your_ip:46224   remote_ip:22       ESTABLISHED 12692/php

Далее по PID смотрите что за приложение, от какого пользователя работает, как запускается (cat /proc/${PID}/cmdline), какие у него открытые файлы (lsof) и т.д.

Answer 3

[Georgy Goshin]

Крайне маловероятно что это будет происходить с адресов, имеющих отношение к тому, кто это делает. Скорее всего вы получите список адресов компов или серверов, которые, в свою очередь, взломаны или заражены и используются для атак, сканирований или переборов. Т.ч. смысла выяснять, откуда соединения, не много.