Jump to content
  • Sign Up
Sign in to follow this  
RevendaHost

Ataques ou tentativas de acesso

Recommended Posts

Semanalmente uma certa pessoa ou script tenta acessar meus servidores via FTP, SMTP ou cPanel, usando outros servidores ou proxys de outros países ou do CloudUOL.

Vejam exemplos:

[2016-05-22 18:17:23 -0300] info [cpsrvd] 87.117.219.25 - chinatra "POST /login/?login_only=1 HTTP/1.1" FAILED LOGIN cpaneld: invalid cpanel user chinatra (loadcpdata failed)
2016-05-22 13:37:23 dovecot_login authenticator failed for 200-98-130-3.clouduol.com.br (ylmf-pc) [200.98.130.3]:64122: 535 Incorrect authentication data (set_id=carla)
2016-05-22 23:57:30 dovecot_login authenticator failed for (BSN-MAIL) [27.50.18.77]:41768: 535 Incorrect authentication data (set_id=account)

Esses são só alguns exemplos, porém a grande maioria das tentativas vêm deste host/PC ylmf-pc, conforme observado na 2ª linha. Alguns clientes meus, que tem servidores em outros datacenters também sobrem com tentativas de acesso vindas deste mesmo PC.

Alguém aqui tem passado por isso ou tem alguma pista sobre esse host?

 

 


Gerenciamento e otimização de servidores: Centos, Debian, Ubuntu, Cpanel e VestaCP.
Cloud otimizado e otimização para: Wordpress e Magento.
Virtualização: Implementação e gerenciamento Virtualizor, Proxmox, Openstack e VMware.

Share this post


Link to post
Share on other sites
Guest

Computadores e servidor invadidos rodando bootnet. YLMF-PC é um clássico.

É normal e não significa vulnerabilidade no teu servidor, um fail2ban e CSF resolve isto efetuando os bloqueios dos IPs.

Share this post


Link to post
Share on other sites
27 minutos atrás, Rodrigo Baldasso disse:

Computadores e servidor invadidos rodando bootnet. YLMF-PC é um clássico.

É normal e não significa vulnerabilidade no teu servidor, um fail2ban e CSF resolve isto efetuando os bloqueios dos IPs.

De vez em quando o CSF me envia essa notificações e é esse tal de ylmf-pc  hehehehe

Sempre bloqueia o IP depois de x tentativas. Agora eu sempre fiquei curioso pois na maioria das vezes ele usa nomes de usuário que existem em alguma conta no servidor, e sem falar que pode ser que uma hora acabe acertando algum login e consiga acessar.

Share this post


Link to post
Share on other sites
Guest
1 hora atrás, PedroHenrique disse:

De vez em quando o CSF me envia essa notificações e é esse tal de ylmf-pc  hehehehe

Sempre bloqueia o IP depois de x tentativas. Agora eu sempre fiquei curioso pois na maioria das vezes ele usa nomes de usuário que existem em alguma conta no servidor, e sem falar que pode ser que uma hora acabe acertando algum login e consiga acessar.

Simples: ele pega os domínios dos clientes, faz um split e remove o .com.br, .com, www., etc. Pode olhar que muitas vezes ele pega exatamente o nome do domínio, e não o usuário exato.

Exemplo: www.madeirastatus.com.br

Tentativa de login com usuário: madeirastatus ao invés de madeiras (que é o usuário certo).

Dificilmente o bot vai conseguir acertar uma senha dificil em apenas 5 tentativas por vez em cada bot. Se a sua configuração de segurança de senha do cPanel estiver num nível bom, as chances são ínfimas..

Share this post


Link to post
Share on other sites

Tive mesmo problema só que com esse  IP 200.98.129.68

IP Reverse DNS (Host):    200-98-129-68.clouduol.com.br

Unica solução que tive foi bloquear o IP no CPHulk 

Entrar em contato com UOL sem chance.

Share this post


Link to post
Share on other sites

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.

Guest
Reply to this topic...

×   Pasted as rich text.   Paste as plain text instead

  Only 75 emoji are allowed.

×   Your link has been automatically embedded.   Display as a link instead

×   Your previous content has been restored.   Clear editor

×   You cannot paste images directly. Upload or insert images from URL.

Sign in to follow this  

  • Recently Browsing   0 members

    No registered users viewing this page.


×
×
  • Create New...