Jump to content

Ataques ou tentativas de acesso


Recommended Posts

Semanalmente uma certa pessoa ou script tenta acessar meus servidores via FTP, SMTP ou cPanel, usando outros servidores ou proxys de outros países ou do CloudUOL.

Vejam exemplos:

[2016-05-22 18:17:23 -0300] info [cpsrvd] 87.117.219.25 - chinatra "POST /login/?login_only=1 HTTP/1.1" FAILED LOGIN cpaneld: invalid cpanel user chinatra (loadcpdata failed)
2016-05-22 13:37:23 dovecot_login authenticator failed for 200-98-130-3.clouduol.com.br (ylmf-pc) [200.98.130.3]:64122: 535 Incorrect authentication data (set_id=carla)
2016-05-22 23:57:30 dovecot_login authenticator failed for (BSN-MAIL) [27.50.18.77]:41768: 535 Incorrect authentication data (set_id=account)

Esses são só alguns exemplos, porém a grande maioria das tentativas vêm deste host/PC ylmf-pc, conforme observado na 2ª linha. Alguns clientes meus, que tem servidores em outros datacenters também sobrem com tentativas de acesso vindas deste mesmo PC.

Alguém aqui tem passado por isso ou tem alguma pista sobre esse host?

 

 

Gerenciamento e otimização de servidores: Centos, Debian, Ubuntu, Cpanel e VestaCP.
Cloud otimizado e otimização para: Wordpress e Magento.
Virtualização: Implementação e gerenciamento Virtualizor, Proxmox, Openstack e VMware.

Link to post
Share on other sites
  • Replies 5
  • Created
  • Last Reply

Top Posters In This Topic

Top Posters In This Topic

Popular Posts

Utilize o seguinte tutorial para bloquear os acessos do ylmf-pc: https://www.redy.host/knowledgebase/how-block-ylmf-pc-connections-cpanel-exim Página em cache: https://webcache.googleusercon

Computadores e servidor invadidos rodando bootnet. YLMF-PC é um clássico.

É normal e não significa vulnerabilidade no teu servidor, um fail2ban e CSF resolve isto efetuando os bloqueios dos IPs.

Link to post
Share on other sites
  • Like 1
 Hospedagem de Sites, Revenda de Hospedagem, Servidores Virtuais, Registro de Domínios
Link to post
Share on other sites
27 minutos atrás, Rodrigo Baldasso disse:

Computadores e servidor invadidos rodando bootnet. YLMF-PC é um clássico.

É normal e não significa vulnerabilidade no teu servidor, um fail2ban e CSF resolve isto efetuando os bloqueios dos IPs.

De vez em quando o CSF me envia essa notificações e é esse tal de ylmf-pc  hehehehe

Sempre bloqueia o IP depois de x tentativas. Agora eu sempre fiquei curioso pois na maioria das vezes ele usa nomes de usuário que existem em alguma conta no servidor, e sem falar que pode ser que uma hora acabe acertando algum login e consiga acessar.

Link to post
Share on other sites
1 hora atrás, PedroHenrique disse:

De vez em quando o CSF me envia essa notificações e é esse tal de ylmf-pc  hehehehe

Sempre bloqueia o IP depois de x tentativas. Agora eu sempre fiquei curioso pois na maioria das vezes ele usa nomes de usuário que existem em alguma conta no servidor, e sem falar que pode ser que uma hora acabe acertando algum login e consiga acessar.

Simples: ele pega os domínios dos clientes, faz um split e remove o .com.br, .com, www., etc. Pode olhar que muitas vezes ele pega exatamente o nome do domínio, e não o usuário exato.

Exemplo: www.madeirastatus.com.br

Tentativa de login com usuário: madeirastatus ao invés de madeiras (que é o usuário certo).

Dificilmente o bot vai conseguir acertar uma senha dificil em apenas 5 tentativas por vez em cada bot. Se a sua configuração de segurança de senha do cPanel estiver num nível bom, as chances são ínfimas..

Link to post
Share on other sites

Create an account or sign in to comment

You need to be a member in order to leave a comment

Create an account

Sign up for a new account in our community. It's easy!

Register a new account

Sign in

Already have an account? Sign in here.

Sign In Now
  • Recently Browsing   0 members

    No registered users viewing this page.


Chat

Chat

    You don't have permission to chat.
    ×
    ×
    • Create New...