Hacker in meinem Asterisk Server

[Timmbo]

Hi,
ja das mit dem 1Mbit habe ich auch seit etwa 2 Tagen, vorher waren es etwa 500kbit, die da in eine Richtung geflossen sind, da ja die VoIP-Systeme keine Antwort mehr geben nach fail2ban
@Stefan
Ja, zumindest hatten sie mir das am Telefon bestätigt dass es sie interessiert, sonst hätte ich keine Mail verfasst, allerdings ist es so das die Intergenia dort auch häufig Anzeigen schaltet, mal sehn.

Grüße
Timm

 

[ThePet]

Bei mir haben sie aufgelegt wie ich anrief. Erst nachdem ich denen eine Mail geschickt habe mit Fristsetzung und Drohung einer Anzeige nach § 303b war nach einer Stunde Ruhe. Die Mail CC an Vorstand und Info.
Meine 2 vorherigen Mails nur an Abuse haben die ignoriert obwohl ich eine Rückmeldung wollte. Ist nicht meine Art ne Keule auszupacken aber anders passierte da nichts.
Auch wenn die Pakete an Fail2ban gefiltert werden klauen sie deine Bandbreite und das ist eine Beeinflussung deiner Infrastruktur.

gruß ThePet

 

[tifa]

Bei mir ist es auch passiert
[Fail2Ban] asterisk: banned 85.25.xxx.xxx PlusServer AG

 

[HobbyStern]

Ich sehe im Log immernoch täglich ~10 mal solche Anforderungen - alle auf deny. PlusServer hat ein derbes Sicherheitsleck und nicht wirkliches Interesse daran..

 

[HobbyStern]

role: NMC PlusServer AG
address: PlusServer AG
address: Daimlerstr. 9-11
address: 50354 Huerth
phone: +49 1801 119991
fax-no: +49 2233 612-53500
abuse-mailbox: [email protected]
remarks:
remarks: ********************************************************
remarks: * PLEASE READ CAREFULLY: *
remarks: * and choose the right addresses for contacting our *
remarks: * staff. *
remarks: * This will fasten up processing your request ! *
remarks: ********************************************************
remarks: * ABUSE-Complaints are only handled at: *
remarks: * [email protected] *
remarks: ********************************************************
remarks: * Auskunftsersuchen gemaess TKG werden nur unter *
remarks: * Fax: +49 2233 612 5150 *
remarks: * bearbeitet! *
remarks: ********************************************************
remarks: * Informational Contact: [email protected] *
remarks: * or http://www.plusserver.de *
remarks: ********************************************************
remarks:
remarks: ********************************************************
remarks: * If you really have a routing-related request or if *
remarks: * you are not able to read you may use the details *
remarks: * below for contacting us *
remarks: * *
remarks: * Phone: +49 1801 119991 *
remarks: * Fax: +49 2233 612-53500 *
remarks: * *
remarks: ********************************************************

Man bekommt anscheinend die ABUSEs und reagiert mit einem Neuen Hinweisfeld.

Warum auch die Ursache beheben wenn man die Wirkung bekämpfen kann?

Man kann nur hoffen das DIESEN THREAD viele Plusserver AG - Kunden lesen.

Plusserver ist billig, preiswert, sicherlich nett zu buchen und vorallem haben die ein dickes Sicherheitsleck auf gut und gerne 20 IP Nummern im Netz, die sich auch noch wacker halten.

Sorry Jungs, aber das ist das mindeste was ich für Euch tun kann, nach 4-6 Wochen Dauerangriffen von deutschen IPs.
Wenn man hier die whois abfragen durchsieht und findet europäische (!) IPs, kann man sich sicher sein das sie zu Plusserver gehören...kopfschüttel...

 

[Timmbo]

Hi,
ja die machen nichts, habe dazu nun ein eigenes Thread aufgemacht, und auf Xing darauf hingewiesen, evtl. kann das jemand von Euch auf Facbook und sonstigen Blogs usw. veröffentlichen, damit da Kunden informiert werden, denn so gehts ja wohl wirklich nicht.

Grüße
Timm

 

[HobbyStern]

würdest Du mich kurz mit einem Link verarzten?

 

[Timmbo]

Hallo Hobbystern,

ach so ja ist ein interner. http://www.ip-phone-forum.de/showthread.php?t=246512
Hier der von Xing https://www.xing.com/net/pri606fa1x/voipphonesde/nachrichten-33226/voip-angriffe-von-plusserver-de-intergeniaag-40078822/40078822/?wsa=232067336.8ac93f#40078822

Grüße
Timm

 

[beowulf]

"Schoen" zu wissen, dass auch andere Anfang Februar das Problem mit Attacken von PlusServer hatten. Jetzt kommen Sie bei mir von von der IP 69.162.104.2 (Limestonenetworks in den USA). Gleiches Muster. Trotz eines Bans probieren die es weiter und produzieren traffic. Mehrere e-mails an [email protected] - natuerlich ohne Antwort.

-- niko

 

[HobbyStern]

Nun gut, USA u.a. Scfhönheiten sind natürlich mehr oder weniger egal...da nicht "greifbar"

 

[Manawyrm]

Ich hab heute mal aus Interesse mal in mein Log meiner Test & Lern Asterisk Installation geschaut:

http://skvcraft.de/extern/messages

Sehr nett. 3 MB Bruteforce & Dictionary....

=D

 

[rmh]

Primär Fehlermeldungen vom System...

 

[Manawyrm]

höö? scroll mal runter. das zeug davor, da war ich noch am testen und probieren

 

[ThePet]

Fail2ban ist dein Freund. Vorher sah es bei mir auch so aus. Jetzt ist nach 2 Versuchen Schluss.

 

[baloo1986]

Ich kann diese funktion die am anfang genannt wurde nicht machen. Weil wenn ich die sip.conf aufmache folgendes steht.

; Do NOT edit this file as it is auto-generated by FreePBX. All modifications to ;
; this file must be done via the web gui. There are alternative files to make ;
; custom modifications, details at: http://freepbx.org/configuration_files

Oder soll ich es einfach eintragen und fertig???

 

[wichard]

Steht die Antwort nicht in dem von Dir zitierten Ausschnitt?

 

[baloo1986]

Nun ja schon. Ich habe es trotz dem mal eingetragen aber dann bin ich von außen nicht mehr erreichbar.
Was kann ich tun, dass niemand mehr als Guest telefonieren kann aber ohne mich einzuschrenken????

 

[wichard]

Was hast Du wo eingetragen?


Gruß,
Wichard

 

[baloo1986]

allowguest=no

in sip.conf unter [general]

 

[xrated]

Ein paar Fragen:

1. Macht es Sinn im Trunk ein permit auf den Adressbereich vom Provider zu setzen oder reicht das bei den Nebenstellen (Telefoneinträge in sip.conf)?
2. Warum eigentlich immer bei den Nebenstellen type=friend, wenn type=peer auch geht? Neuerdings soll ja friend=peer+user sein.
3. Default steht in manager.conf als Passwort "insecure". Inwiefern ist das gefährlich? Ich habe keine Manageroberfläche drauf aber ein Telefonbuch benötigt das um auf Asterix zuzugreifen. Kann man damit die komplette Konfig auslesen?
4. Wenn ich in der Nebenstelle bei host, die IP Adresse vom Cisco ATA eingebe, dann kann ich nicht mehr telefonieren. Was gehört da rein? Ich habe noch in Erinnerung das das irgendwie im Zusammenhang mit canreinvite steht.
5. Tragen die Domainsettings (realm) zur Sicherheit bei?
6. Gehört hier eigentlich nicht hin, an welcher Position stellt man die Codecs ein. Bei den Trunks oder bei den Telefonen oder beidem? Wenn man die bei den Trunks einstellt, gelten die dann auch für die Nebenstellen?