31.5.2017
Hackerschauer über meinem Server
Ich sitze im Homeoffice und ärgere mich über mein andauernd brummendes Privathandy. Es kommen haufenweise Mails.
Mails von einem Wachhund, der meinen Webserver überwacht.
Server is down.
Server is up again.
Server is down.
Seit 22:00 Uhr gestern Abend. Im Minutenrhythmus.
Ich rufe mein Blog auf – connection rejected. Der Server mag mich nicht. Ich refreshe die Seite, nach endlosen 40 Sekunden ist sie aufgebaut.
Das sieht nicht gut aus.
Die Admin-Weboberfläche funktioniert halbwegs, nur ist dauernd die Datenbank abgestürzt, die auf dem Server läuft.
Login per Shell. Bis zur Passwortabfrage dauert es ungewohnte 20, 30 Sekunden. Login erfolgreich, Fork fehlgeschlagen.
Kein Hauptspeicher verfügbar. Eingeloggt bin ich, hab aber kein Programm, um Befehle abzusetzen.
Noch ein Versuch. Nach fünf oder sechs Minuten bin ich eingeloggt und handlungsfähig. Die Hauptlast auf dem Server stammt überraschenderweise von einem Dienst namens fail2ban, der nach fünf fehlerhaften Passworteingaben von derselben Netzwerkadresse diese für 24 Stunden komplett aussperrt.
Man sieht ihn normalerweise nicht.
Ich boote den Server neu (Boot tut gut, wie man so sagt) und nach weniger als fünf Minuten ist der Zustand wieder derselbe. Sogar eine Nuance schlimmer, ich komme nämlich gar nicht mehr per Shell rein.
Ich rufe den Support des Providers an. Mein Server ist virtuell und bekommt bestimmte Ressourcen zugeteilt: 8 GB Hauptspeicher sind mir vertraglich garantiert, einige zehntausend Netzwerksessions auch.
Seit dem Reboot vor inzwischen 20 Minuten hätte der Server schon 50.000 Überschreitungen der Anzahl der Netzwerksessions protokolliert und ungefähr genauso viele komplette Speicherauslastungen.
Ofenbar werde ich angegriffen. Nicht die üblichen zwei bis drei Loginversuche pro Minute, sondern was Großes.
fail2ban schickt mir für jede gesperrte Netzwerkadresse eine Mail. Normalerweise eine alle drei bis fünf Minuten, derzeit eher drei bis fünf pro Minute, und die Loginversuche kommen so schnell, dass die Sperrung laut Mail nicht mehr nach fünf Fehleingaben des Passwortes erfolgt, sondern in einigen Fällen erst nach über 300.
Der Login hat inzwischen wieder funktioniert.
Mit dem Befehl netstat versuche ich, mir die aktuellen Netzverbindungen anzeigen zu lassen. Das Speicherproblem hindert mich daran. Ich versuche es immer weiter.
Nach einer Weile klappt es und ich sehe deutlich über hundert Sessions von einem Server, der eine Domainadresse in Liechtenstein hat. Über nic.li, den dortigen Registraturdienst, frage ich den Inhaber ab.
Es ist ein Mann aus Dresden, für den Google mir sogar eine Handynummer liefert.
Ich entschließe mich spontan, ihn anzurufen.
“Sie sind der Inhaber der Domain xyz.li, sagt das Internet.”
“Äh, ja, wieso?”
“Ihr Server neu.xyz.li hat derzeit weit über hundert Sessions auf meinem Server.”
“Das ist doch nur so eine virtuelle Maschine, die hier irgendwie mitläuft.”
Er sieht keine Sessions, aber ich beweise ihm, dass sie da sind. Er fährt den Server runter und sperrt die Zugriffe aus seinem Netz auf meinen Server.
Ich muss nun ins Büro. Dort angekommen deaktiviere ich noch schnell alle Domains, die nicht wirklich gebraucht werden, und will mich abends weiter kümmern.
Abends ist alles wieder ok. Keine übermäßigen Zugriffe. Ich modifiziere die Firewall und mache sie zu einem nervigen Türsteher, der Logins verzögert. Dadurch wird die Last bei zukünftigen Loginstürmen gedeckelt.
Wurde ich gezielt angegriffen? Ich hatte am Vortag auf Twitter eine kleine Diskussion mit Besorgten Bürgern, und ein Serverbetreiber aus Dresden – man weiß ja nie!
Wahrscheinlich war sein Server aber nur von Malware befallen und Teil eines Botnetzes geworden, das auf meinen Server angesetzt war. Alleine kann er das jedenfalls nicht verursacht haben.
Ob das Botnetz meinen Server nun aus Rache aufs Korn genommen hatte oder man so verschiedene Server abgeklappert hat in der Hoffnung, diese während der Überlastung durch Systemfehler übernehmen zu können, werde ich wohl nie erfahren.
Das ganze erinnert mich an einen Hagelsturm. Es ist lästig und es kann dabei auch was kaputtgehen, aber man kann kaum was dagegen machen und muss halt eine Weile rechts ran fahren, bis es vorbei ist.
(Volker König)
