Jemand ist an meine Oscam-Benutzer-Zugangsdaten gekommen und konnte zugreifen. Wurde ich gehackt und bin ich noch sicher?

[thiesy]

Hallo,

vor einigen Wochen habe ich jemanden mit meiner eigenen Benutzerkennung auf meinem Oscam-Server entdeckt.
Da ich selbst gerade nicht am TV schauen war, wurde ich natürlich gleich hellhörig.
Es wurde ordentlich "gezogen" über meine HD01 und V14. (viele Anfragen gleichzeitig)
Ich habe sofort die Benutzerdaten für meinen Benutzer geändert und am Router einen Reconnect ausgelöst.
Zum Glück habe ich an diesem Anschluss keine feste IP und der Angreifer hat wohl auch nicht meine DynDns-Adresse.
Denn er kam nach Wiederaufbau der Internet-Verbindung nicht wieder.
Um herauszufinden, wer das sein könnte, habe ich mich per Teamviewer auf den PC eines Bekannten begeben (er hat ein lokales Netz hinter der Fritz!Box ohne Portfreigaben).
Den Portscan habe ich vom PC des Bekannten laufen lassen, da ein Portscan immer auffällig ist und ggfs. einen ebensolchen vom Angreifer zur Folge hat.

Folgende Ports hat nmap auf dem Host des Angreifers gefunden:

Du musst Regestriert sein, um das angehängte Bild zusehen.

Weiß jemand, was das für ein Server ist?

Der Dieb hat zwar nicht meine DynDns-Adresse, trotzdem tauchen nun alle paar Tage weiterhin Verbindungsversuche auf, die natürlich aufgrund von falschen Benutzerdaten fehlschlagen.
Kann es eine öffentliche Datenbank geben, in der nun meine bereits geänderten Zugangsdaten stehen?
Bestimmt wird ja dauerhaft das Netz mit Scripten nach erreichbaren Oscam-Ports durchkämmt.

Aktuell finde ich auf der IP des Angreifers einen MiniServ in der Version 1.900, und sein Oscam will wieder zum meinem Oscam verbinden. Die Ports 21,22 und 80 sind beim Angreifer allerdings nicht mehr erreichbar.

Was die Sicherheit angeht, müssen jetzt folgende Schritte folgen:
1. DynDns-Adresse ändern
2. Oscam-Port für CCcam ändern (der einzige Port neben SSH, der nach außen hin offen ist)
3. SSH-Port ändern
4. am besten nur noch VPN-Zugriff zulassen

An diesem Internet-Anschluß hängt übrigens nur der Raspi mit dem Oscam-Server und nichts weiter.
Portfreigaben sind gesetzt für CCcam-Port und geheimen SSH-Port (natürlich nicht 22 !)
Verbindungsversuche auf SSH hat es bisher nicht gegeben, zusätzlich war ich bei den Benutzerdaten sehr kreativ.

Mal sehen, was ihr zu sagen habt. Ich würd' ja schon gerne zurückhacken.:mask:

 

[Osprey]

Die Ports 21,22 und 80 sind allerdings nicht mehr erreichbar

Das war wahrscheinlich der Angriffspunkt.
Musst du weiter beobachten, wenn alles geschlossen ist, sollte es Sicher sein. Schau dir mal

Sie müssen registriert sein, um Links zu sehen.

an, da brauchst du nur einen UDP Port freigeben und kannst alles im Netzwerk erreichen.

 

[DVB-T2 HD]

Kann es eine öffentliche Datenbank geben, in der nun meine bereits geänderten Zugangsdaten stehen?
Bestimmt wird ja dauerhaft das Netz mit Scripten nach erreichbaren Oscam-Ports durchkämmt.

Ja, gibt es, aber so öffentlich nun auch nicht. Kann man aber mit etwas Geschick alles finden.

 

[Delphin111]

Moin, hatt ich auch schon 2mal, hab auf dem server die IP des/der "Angreifer/s" gesperrt , seit dem Ruhe

 

[prisrak]

ist schon interessant, was alles geht: h**ps://medium.com/@knownsec404team/backdoor-exploration-of-webmin-remote-code-execution-vulnerabilities-cve-2019-15107-55234c0bd486
Dein Bekannter hats irgendwie drauf bei sich gehabt. Wurde es bei dem nicht durch irgend eine Antivirsoft erkannt?

 

[thiesy]

Danke für Eure Posts. Ich habe meinen Post mal etwas aufgeräumt. Den Portscan habe ich natürlich auf die IP des Angreifers laufen lassen. Den PC meines Bekannten habe ich für den Portscan nur genutzt, um bei einer Gegenwehr (ebenfalls Portscan) safe zu sein.
@prisrak Interessant, dass der Webmin-Webserver des Angreifers selbst verwundbar ist. Ich halte Euch auf dem Laufenden, ob da was geht.

 

[bimmler]

Hallo. Ich habe ein ähnliches Problem. Ein guter Kumpel schaut via Oscam über meinen Heimserver fern. Nun sehe ich seit paar Tagen das eine rote 3 hinter seinem Namen steht. Hab mir das ganze jetzt mal genauer angeschaut, es wird von drei unterschiedlichen IP Adressen sich eingewählt und geschaut bzw. es versucht denn es werden immer Sender angezappt die ich eh nicht entschlüsseln kann.

Doch ich will das ganze Verstehen, von wo wurden die korrekten Zugangsdaten abgegriffen. Von mir zuhause oder vom Kumpel zu Hause? Wie sollte ich nun vorgehen, ihm einfach nur neue Zugangsdaten geben und den alten Zugang löschen behebt zwar das Symptom, löst aber nicht die Ursache oder?

 

[dodo83]

eventuell hast du (oder er) mal den Proxy irgendwo im Forum gepostet ohne die Daten unkenntlich zu machen, das reicht schon um Fremden Zugang zu gewähren,
änder die DYN und beobachte ob es wieder zu dem Fall kommt

 

[bimmler]

Als DDNS nutz ich den MYFritz Dienst, da kann man ohne weiteres glaube die Adresse nicht ändern Glaube nicht das ich so doof war hier (wenn nur hier), meine Oscam Files samt DDNS Adresse nieder zu schreiben....gibt es noch ne andere Möglichkeit wie der da dran gekommen sind? Hab mal nach den zwei IPs gegoogelt, eine kommt aus Lettland, die andere aus den USA.

edit: Habe gerade die Zugangsdaten per Teamviewer geändert. Nun sehe ich im Log natürlich das sich die zwei IP Adresse sich weiter einwählen wollen, was wegen den nun alten Zugangsdaten natürlich nicht funktioniert. Kann man das auch noch irgendwo unterbinden?

 

[Derek Buegel]

Es gibt automatische Portscanner. Aber gleich zwei Eindringlinge?
Ich glaube, unterbinden kannst Du es ; so weit ich weiß, nicht wirklich. Deine einzige Möglichkeit ist ein anderer DYN-Anbieter und das ändern der Zugangsdaten.
Daran das Seder abgefragt wurden die Du nicht hast, erkennst Du doch das es versuche sind, von Leuten die es austesten.

MfG

 

[Smiley007]

Ändere auch den Oscam Port im Server und den Client‘s und der Fritzbox

 

[bimmler]

Wenn es wieder passieren sollte, müsste ich tatsächlich die Ports und den DDNS Anbieter wechseln. Aber fürs erste würde ich gerne die IP Bereiche sperren. Auf meinem Server läuft Open WRT. Darin scheint eine Mächtige Firewall zu sein. Doch sind mir die Einstellungen zu hoch, kennst sich damit jemand aus ganze Portbereiche in Open WRT auszusperren?

 

[Osprey]

Du kannst unter oscam.user in hostname = die richtige IP bzw. Dyndns Adresse des Client reinschreiben dann landen die anderen autom. im Failban.

 

[bimmler]

Danke @Osprey Aber seine Ip wechselt täglich und und nen DDNS Dienst hat er nicht. Kann man dort auch einen Hostbereich eingeben? Ansonsten muss ich mich mal in die Materie der Firewall von Open WRT reinknieen, denn dort geht es angeblich. Wobei in meinem Hauptrouter (Fritzbox) bereits die Sperre zu setzen natürlich noch geiler wäre. Dies geht aber nicht so wie ich gelesen habe.

 

[Vigor]

Aber er könnte sich einen DDNS Dienst einrichten,...ist doch schnell gemacht.
Vielleicht hat er ja auch eine Fritzbox, dann wäre MyFritz die Lösung.
Dient ja schließlich auch deiner Sicherheit, wenn du ihm schon Zugang zu deinen Daten gewährst.

Gruß
Vigor