[Resuelto] Posible intrusion en mi sistema

Que tal, hace poco instale el panel con un nuevo dominio y demás, es decir la web todavía no tiene instalada ninguna web o cms, solamente el panel, fail2ban y poca cosa mas.

Hoy revisando los logs me doy cuenta de esto, y es como si estuvieran realizándome peticiones y consultas a la base de datos para sacar el user y pass de los usuarios, además por fuerza bruta con diccionario, se puede ver aquí en este código:

Así se repite y es un continuo que lleva además unas semana o así por lo menos, instale el panel el día 17 y el 19 empezó el asunto por lo que veo en los logs.

Según he visto el sqlpluging es lo mismo que uso el panel para crearme a mi el user y mis cuentas de correo.

Esto me paso a los dos días de instalar el panel, y solo tengo el panel es decir ninguna web todavía subida ni nada, quería arreglar un tema de que me manda a spam Hotmail y no quise instalar ninguna web hasta dejarlo resuelto.

Esto mismo me paso hace unos meses también y pensé que era alguna web que me había traido porquería y pare ese servidor. Monté este nuevo y ahora me pasa lo mismo y no tengo webs, no se si es cosa del panel o de OVH que es donde tengo este VPS.

Es un debían actualizado, pero me temo que sea alguna vuln, pues han conseguido hacer como si fuera localhost y realizar las peticiones, o le hacen las consultas al sql pluging de alguna forma y este les responde.

Nadie le pasa algo parecido ??? alguna sugerencia ??? ahora me toca investigar sobre el sql plugin ;).

Nota: antes me lo hacia con mi hostname, pero ahora me lo hace con este no se por que

Saludosss

Que tal, como te comento no tengo ningún dominio actualmente por eso pienso que pudiera ser algo del panel, alguna vuln o algo, solo tengo el dominio que ya sabes pero solo el dominio que uso para los correos y pruebas nada montado de cms ni web.

Es una maquina solo con el panel instalado y fail2ban y poco nada mas.

Alguna sugerencia ??? gracias saludosss

Que tal, a ver te comento, la maquina está recién instalada, tiene lo básico de debían mas el panel, solo apunta a el un dominio y ese dominio no tiene ninguna web.

A ver yo he puesto snifer en el puerto 80 externo, y en el interno que usaba el para comunicarse con sql, el 3306.

en el externo no pasaba nada, es decir desde el puerto 80 no llegaban los intentos de login.

Luego en el de sql local en mi "lo", no veía tampoco esas consultas por el sniffer, y en cambio si veía los intentos constantes en el autlog. ¿¿ No tendría que apareces esa comunicación en el sniffer si esta haciendo las consultas ???

Por ahora el ataque a cesado, es decir por un problema de configuración y cambio que había realizado en mi servidor no a podido sacar el user y pass bueno de la bd, no comento lo que es para no dar pistas si es un ataque, pero afortunadamente no han podido sacar user y pass del correo.

A ver lo comento aquí por si pudiera ser algo del panel y fuera yo el primero en darme cuenta, o igual pudiera ser algo de ovh y por eso hacen as consultas como si estuvieran en mi red interna, no se.

Mi cuestión es enterarme que hace ese plugging y como alguien a podio acceder desde fuera y hacer las preguntas a la bd como si estuviera dentro, pero ahora ya no me atacan y no puedo seguir investigando.

Se supone que si esta haciendo bruteforce a mi base de datos es por que no conoce el pass de root y quiere buscar como acceder a ella, con lo cual dentro de mi maquina no está o esta con user sin privilegios.
Se que sabe el hostname de mi maquina y con eso intenta formar combinaciones para sacarme el user y pass de los emails, y con ello supongo intentaría acceder a la maquina, o usar mis cuentas para mandar spam, cosa que no a realizado de momento.

He pensado en que como es un vps de ovh pudiera estar en el nodo y desde una maquina conectarse a otras y demás, por que otra cosa no se me ocurre.

Respecto a lo de desactivar la función mail del dominio no sabia como hacérselo al panel, coméntame desde donde pls, mas que nada pasa saberlo en futuras ocasiones.

Bueno seguiré investigando y a ver que pasa y si se repite, mantendré informado y seguiré revisando logs, gracias por tu ayuda como siempre, espero no sea cosa del panel y me pasara a mi de casolidad y estén tratando con algún zeroday.

Saludossssss

Que tal, ante todo cuando digo del panel no me refiero por el panel en si, si no por alguna aplicación relacionada con el mismo o configuración errónea.

Como te comento sabemos que por el puerto 80 o alguna web no generaba las consultas por que el snifer no dio ningún resultado, cuando estaba en el 80.

Lo curioso es que en le puerto de la bd tampoco veía nada el snifer, eso es lo mas raro, en el autlog se veía claramente como hacia las consultas y en cambio al puerto con el snifer no pillaba nada, pero después de hacer una prueba hoy, veo que pongo el sniffer, y hago login a el panel del mail y veo que hace lo mismo que hace cuando me atacaban, es decir veo que hace la consulta, pero no veo que le pase mi pass ni mi user, asi que supongo que la autentificación lo hace comparando con lo que el tiene en la bd. es decir no pasa los parámetros, pero si veo como acceder al vhost mio.

aquí veo que se le indica que es para mi hosting, el único dominio que tengo vamos.

Por algún motivo el ataque a realizado el bruteforce sobre mi dominio, y otro que era wp.com, y una vez a terminado el ataque por diccionario lo ha dejado por lo que veo.

He probado poniendo el snifer en el puerto web haciendo bruteforce y el resultado es evidente y se ve claramente así que por el puerto web no era.

Por el smtp es por donde no mire mucho, pero a ver tengo mis dudas, la cuestión es que creo que hace las consultas al sql plugin de alguna forma desde fuera, el realiza las consultas legales por que se cree que está dentro, y le devuelve el resultado.

La cuestión es que yo me pongo a hacerle bruteforce al panel de web de mi email y no veo ese resultado, es decir no estaba atacando al puerto del webmail.

Otro detalle interesante es que sabe mi hostname, el interno propio, servidor.midominio.es

Ahora me gustaría cazarlo, a ver si tengo suerte y regresa, ya estoy con la duda jejej ;).

Bueno espero estas pistan te sirvan a ti, yo de dominios y web estoy mas verde pero de maquina y cosas a abajo nivel puedo ayudar mas ;).

De todas formas tengo todos los logs, si me comentas algo interesante que pudiésemos mirar.

Venga gracias por todo saludosss.

El tema podemos dejarlo como cerrado, al final resulto ser todo normal, y esos mensajes no es mas que el bruteforce pero es el panel el que consulta a ver la base de datos, y da esos mensajes no es que alguien como yo pensaba pudiera estar haciando las consultas directamente sobre la base de datos.

Un susto, menos mal por que no encontraba nada por mas que miraba jejejeej normal, es cosa del panel así que tranquilos.

Gracias como siempre kurgans ;), un abrazo.