Ataques ou tentativas de acesso

[RevendaHost]

Semanalmente uma certa pessoa ou script tenta acessar meus servidores via FTP, SMTP ou cPanel, usando outros servidores ou proxys de outros países ou do CloudUOL.

Vejam exemplos:

[2016-05-22 18:17:23 -0300] info [cpsrvd] 87.117.219.25 - chinatra "POST /login/?login_only=1 HTTP/1.1" FAILED LOGIN cpaneld: invalid cpanel user chinatra (loadcpdata failed)
2016-05-22 13:37:23 dovecot_login authenticator failed for 200-98-130-3.clouduol.com.br (ylmf-pc) [200.98.130.3]:64122: 535 Incorrect authentication data (set_id=carla)
2016-05-22 23:57:30 dovecot_login authenticator failed for (BSN-MAIL) [27.50.18.77]:41768: 535 Incorrect authentication data (set_id=account)

Esses são só alguns exemplos, porém a grande maioria das tentativas vêm deste host/PC ylmf-pc, conforme observado na 2ª linha. Alguns clientes meus, que tem servidores em outros datacenters também sobrem com tentativas de acesso vindas deste mesmo PC.

Alguém aqui tem passado por isso ou tem alguma pista sobre esse host?

 

 

[Guest]

Computadores e servidor invadidos rodando bootnet. YLMF-PC é um clássico.

É normal e não significa vulnerabilidade no teu servidor, um fail2ban e CSF resolve isto efetuando os bloqueios dos IPs.

[Jefferson]

Utilize o seguinte tutorial para bloquear os acessos do ylmf-pc:

https://www.redy.host/knowledgebase/how-block-ylmf-pc-connections-cpanel-exim

Página em cache: https://webcache.googleusercontent.com/search?q=cache:FNllkmkOkG0J:https://www.redy.host/knowledgebase/how-block-ylmf-pc-connections-cpanel-exim+&cd=2&hl=pt-BR&ct=clnk&gl=us

[PedroHenrique]

27 minutos atrás, Rodrigo Baldasso disse:

Computadores e servidor invadidos rodando bootnet. YLMF-PC é um clássico.

É normal e não significa vulnerabilidade no teu servidor, um fail2ban e CSF resolve isto efetuando os bloqueios dos IPs.

De vez em quando o CSF me envia essa notificações e é esse tal de ylmf-pc  hehehehe

Sempre bloqueia o IP depois de x tentativas. Agora eu sempre fiquei curioso pois na maioria das vezes ele usa nomes de usuário que existem em alguma conta no servidor, e sem falar que pode ser que uma hora acabe acertando algum login e consiga acessar.

[Guest]

1 hora atrás, PedroHenrique disse:

De vez em quando o CSF me envia essa notificações e é esse tal de ylmf-pc  hehehehe

Sempre bloqueia o IP depois de x tentativas. Agora eu sempre fiquei curioso pois na maioria das vezes ele usa nomes de usuário que existem em alguma conta no servidor, e sem falar que pode ser que uma hora acabe acertando algum login e consiga acessar.

Simples: ele pega os domínios dos clientes, faz um split e remove o .com.br, .com, www., etc. Pode olhar que muitas vezes ele pega exatamente o nome do domínio, e não o usuário exato.

Exemplo: www.madeirastatus.com.br

Tentativa de login com usuário: madeirastatus ao invés de madeiras (que é o usuário certo).

Dificilmente o bot vai conseguir acertar uma senha dificil em apenas 5 tentativas por vez em cada bot. Se a sua configuração de segurança de senha do cPanel estiver num nível bom, as chances são ínfimas..

[F5Host]

Tive mesmo problema só que com esse  IP 200.98.129.68

IP Reverse DNS (Host):    200-98-129-68.clouduol.com.br

Unica solução que tive foi bloquear o IP no CPHulk 

Entrar em contato com UOL sem chance.