Meine Odysee mit einem gesperrten #Hetzner #server
Hetzner sperrte mir einen Server, weil sie von ihm einen Portscan entdeckten. Laut dump den ich bekam, probierte der Server IP Adressen von 235.185.x.x jeweils auf Port 443 durch, ob jemand zuhört. Portscans sind von Hetznerservern aus nicht erlaubt. Also wird die IP gesperrt. Der Server war mein Wireguard Endpunkt, also erstmal suchen, wo der Fehler liegt. Ein vermuteter Plasterouter wurde von mir aus dem VPN genommen, Server wieder entsperrt. Wenige Tage passiert das nochmal, und die IP wird wieder gesperrt.
Nur dieses mal will Hetzner den Server nicht mehr entsperren, auch wenn er komplett neu aufgesetzt ist, alle Keys fürs Wireguard neu erstellt, etc. Nein, da muss ja irgendwo noch ein Fehler sein, den soll ich gefälligst erstmal finden. Das war auch kein Scan mit hunderten parallelen Anfragen, es wurden in etwas mehr als 3 Minuten ein paar Hundert IP Adressen auf Port 443 angeklopft. Es war halt genug, dass die Erkennung bei Hetzner ansprang, aber es wurde keine Netzwerkkapazität beeinträchtigt.
Da ich mein VPN gerne wieder gehabt hätte geht die Suche also weiter. Die IP Adressen gehören Criteo, Online Werbung. Ah-ha, hat sich irgendwer Werbesoftware im VPN eingetreten? Zeitstempel des Dumps von Hetzner angeschaut. Siehe da, zeitgleich war ich mit meinem Rechner bei wetteronline.de
Eine kurze Suche nach Criteo und wetteronline bringt folgendes hervor: criteo.com/de/success-stories/…
"WetterOnline verdoppelt die App-Umsätze mit Criteo Direct Bidder." Ah, ha. scannt sich da criteo etwa selbst? Also schnell ohne Überzieher, also Adblocker, auf wetteronline gesurft, und parallel einen TCPdump laufen lassen. Plötzlich kommt eine komische DNS Abfrage vorbei nach "gbc1.nl3.eu.criteo.com". Diese liefert 28 IP Adressen aus der gescannten range zurück. ( gbc2.xxxx bis gbc8.xxx liefern alle eine ähnliche Anzahl IPs zurück) Dann probiert irgendein Script auf der Homepage ein paar davon durch auf 443, bis es sich irgendwo verbindet.
Sprich criteo scannt sich selbst zum load balancing, und ich darf mich dafür rechtfertigen. Und so etwas findet man auch nicht in fünf Minuten raus, die Zeit hätte ich gerne anders genutzt.
Nachdem ich Hetzner mitgeteilt habe, dass eine Werbeschleuder sich selbst scannt, und versichert habe, dass ich den kompletten Criteo Adressblock per UFW ausgehend geblockt habe wurde mein Server wieder entsperrt.
Also, falls jemand UFW am laufen hat und keinen Bock auf criteo hat:
edited: UFW Regel nach Hinweis aus Kommentaren angepasst.
ufw deny out from any to 185.235.84.0/22
Hetzner sperrte mir einen Server, weil sie von ihm einen Portscan entdeckten. Laut dump den ich bekam, probierte der Server IP Adressen von 235.185.x.x jeweils auf Port 443 durch, ob jemand zuhört. Portscans sind von Hetznerservern aus nicht erlaubt. Also wird die IP gesperrt. Der Server war mein Wireguard Endpunkt, also erstmal suchen, wo der Fehler liegt. Ein vermuteter Plasterouter wurde von mir aus dem VPN genommen, Server wieder entsperrt. Wenige Tage passiert das nochmal, und die IP wird wieder gesperrt.
Nur dieses mal will Hetzner den Server nicht mehr entsperren, auch wenn er komplett neu aufgesetzt ist, alle Keys fürs Wireguard neu erstellt, etc. Nein, da muss ja irgendwo noch ein Fehler sein, den soll ich gefälligst erstmal finden. Das war auch kein Scan mit hunderten parallelen Anfragen, es wurden in etwas mehr als 3 Minuten ein paar Hundert IP Adressen auf Port 443 angeklopft. Es war halt genug, dass die Erkennung bei Hetzner ansprang, aber es wurde keine Netzwerkkapazität beeinträchtigt.
Da ich mein VPN gerne wieder gehabt hätte geht die Suche also weiter. Die IP Adressen gehören Criteo, Online Werbung. Ah-ha, hat sich irgendwer Werbesoftware im VPN eingetreten? Zeitstempel des Dumps von Hetzner angeschaut. Siehe da, zeitgleich war ich mit meinem Rechner bei wetteronline.de
Eine kurze Suche nach Criteo und wetteronline bringt folgendes hervor: criteo.com/de/success-stories/…
"WetterOnline verdoppelt die App-Umsätze mit Criteo Direct Bidder." Ah, ha. scannt sich da criteo etwa selbst? Also schnell ohne Überzieher, also Adblocker, auf wetteronline gesurft, und parallel einen TCPdump laufen lassen. Plötzlich kommt eine komische DNS Abfrage vorbei nach "gbc1.nl3.eu.criteo.com". Diese liefert 28 IP Adressen aus der gescannten range zurück. ( gbc2.xxxx bis gbc8.xxx liefern alle eine ähnliche Anzahl IPs zurück) Dann probiert irgendein Script auf der Homepage ein paar davon durch auf 443, bis es sich irgendwo verbindet.
Sprich criteo scannt sich selbst zum load balancing, und ich darf mich dafür rechtfertigen. Und so etwas findet man auch nicht in fünf Minuten raus, die Zeit hätte ich gerne anders genutzt.
Nachdem ich Hetzner mitgeteilt habe, dass eine Werbeschleuder sich selbst scannt, und versichert habe, dass ich den kompletten Criteo Adressblock per UFW ausgehend geblockt habe wurde mein Server wieder entsperrt.
Also, falls jemand UFW am laufen hat und keinen Bock auf criteo hat:
edited: UFW Regel nach Hinweis aus Kommentaren angepasst.
ufw deny out from any to 185.235.84.0/22
like this
reshared this
Manawyrm | Sarah
in reply to Sven222 • • •Werbe/Trackinganbieter, echt die _Pest_ auf diesem Planeten.
Alles einstampfen :<
Sven222 likes this.
~n
in reply to Manawyrm | Sarah • • •@manawyrm This.
…und wetteronline sind eh Scharlatane.
Keine Überraschung hier.
twitter.com/Kachelmann/status/…
~n
in reply to ~n • • •@manawyrm
…und was criteo angeht, gibts da noch mehr netblocks die man nullrouten oder filtern kann, um die welt eine bessere zu machen:
whois -i or AS44788|grep route
Danke für den Hinweis, gerade hier in den globalen Schmutzfilter eingeworfen.
Sven222
in reply to ~n • •Skyr
in reply to ~n • • •~n
in reply to Skyr • • •👾 Rene Rehme
in reply to Skyr • • •@skyr @nblr @manawyrm hab ich nie verstanden. Da der DWD eine Bundesoberbehörde ist, haben wir alle die Finanzierung der App, sowie die Bereitstellung der Daten mit Steuergeld gesichert.
Demnach "bezahlen" wir für die App bereits und sollte daher kostenlos für die Nutzung zur Verfügung gestellt werden können.
teefax reshared this.
Skyr
in reply to 👾 Rene Rehme • • •Chris Vogel
in reply to Skyr • • •@DeutscherWetterdienst
2018 habe ich versucht die #DWD App auf einem Tablett mit LineageOS ohne Google Dienste und Playstore weiterhin zu n
utzen und bat darum
Antwort damals war:
Passiert scheint seitdem nichts:
Auch hier könnte #PublicMoney → #PublicCode sehr helfen - danke an die @fsfe für diese wichtige Initiative!
dwd.de/DE/leistungen/warnwette…
Wetter und Klima - Deutscher Wetterdienst - FAQ zur WarnWetter-App - Wo kann ich die Vollversion der WarnWetter-App kaufen und was kostet sie? Wird der Beitrag wirklich nur einmalig berechnet?
www.dwd.deChris Vogel
in reply to Chris Vogel • • •...und es ist nicht so, dass der DWD nicht Schlüssel ohne Google anbieten könnte:
dwd.de/DE/leistungen/warnwette…
Wetter und Klima - Deutscher Wetterdienst - Vollversion für den Katastrophenschutz
www.dwd.deraspberryswirl
in reply to Manawyrm | Sarah • • •kevin 🦣 ✨ (he/him)
in reply to Sven222 • • •Der mit den Ballons
in reply to Sven222 • • •Tobias Klausmann
in reply to Sven222 • • •Sven222
in reply to Tobias Klausmann • •Tobias Klausmann
in reply to Sven222 • • •Bei mir ist nftables statt ufw, ich hab dann das hier gemacht:
ip daddr 185.235.84.0/22 tcp dport 443 jump rd
ip daddr 185.235.84.0/22 tcp dport 80 jump rd
"rd" it eine chain, die normal rejectet (also wie "port ist zu" aussieht), aber bei hohen Paketraten zu "drop" wechselt.
Sven222 likes this.
Sven222
in reply to Tobias Klausmann • •darix
in reply to Tobias Klausmann • • •@klausman
minor nitpick:
ip daddr 185.235.84.0/22 tcp dport { 80, 443 } jump rd
kmerz
in reply to Sven222 • • •isа :luna: :jules:
in reply to Sven222 • • •bgp.tools/prefix/185.235.0.0/1…
Sven222
in reply to isа :luna: :jules: • •rawe
in reply to Sven222 • • •Ohne Adblocker ist dieses Internetz nicht mehr auszuhalten.
Edit: Auf meinem wireguard endpoint läuft pihole, damit sind alle Geräte die das VPN nutzen gleichzeitig auch Werbung los und man spart mobile Daten.
teefax reshared this.
Felix
in reply to Sven222 • • •Sven222
Unknown parent • •Sven222
in reply to Sven222 • •RalphStark
in reply to Sven222 • • •@svenja
utzer [Pleroma]
in reply to Sven222 • • •danke, spannend.
Man will dann wohl besser einen Werbeblocker auf DNS Basis oder so auf dem Hetzner Server haben, dass verbessert das Surferlebnis aller VPN Nutzer und kann auch noch bei sowas helfen.
Sven222
in reply to utzer [Pleroma] • •utzer [Pleroma]
in reply to Sven222 • • •hab da keine Ahnung, aber schau doch mal ob Dein DNS auch Blocklisten kann und dann such nach einer für Deinen DNS die regelmässig Updates bekommt.
Erstes Suchergebnis ist auch "OK".
gnulinux.ch/adblocker-netzsper…
ADBlocker & Netzsperre auf DNS Ebene
GNU/Linux.chSven222
in reply to utzer [Pleroma] • •utzer [Pleroma]
in reply to Sven222 • • •Alexander Goeres
in reply to Sven222 • • •Sven222
in reply to Alexander Goeres • •like this
Alexander Goeres likes this.
Thomas Bornhaupt
in reply to Sven222 • • •Stefan Scholl
in reply to Sven222 • • •Tom :damnified:
in reply to Stefan Scholl • • •@Stefan_S_from_H
Der Ausschlag gebende Punkt könnte sein, dass sich alle Zieladressen im selben AS oder einen noch engereren Netz befinden. Ist aber nur eine Vermutung.
@sven222
Sven222 likes this.
mirabilos
in reply to Sven222 • • •Felix :thisisfine: Eckhofer
in reply to Sven222 • • •Sven222 likes this.
Carsten
in reply to Sven222 • • •Urwumpe
in reply to Sven222 • • •Lasagne
in reply to Sven222 • • •Benutze Hetzner nicht als Main VPN Exit. Aber manchmal für spezifische Apps und tests die public VPN Exits hassen.
DD0UL ✅
in reply to Sven222 • • •teefax reshared this.
WooShell
in reply to Sven222 • • •Ist zwar schon ein paar Jahre her, aber in meinem letzten Job habe ich quasi im Wochentakt Abuse-Mails an Hetzner geschickt dass ihre Kunden SIP-Bruteforce auf unsere Voiceserver fahren, aber ausser "Wir haben den Kunden verwarnt" und Wechsel auf eine andere IP war nie was passiert.
(nur OVH und HostEurope waren noch lethargischer..)
Cammel
in reply to Sven222 • • •Sven222
in reply to Cammel • •like this
Daniel Siepmann likes this.
Rob reshared this.
the kangaroo
in reply to Sven222 • • •Werbung ist einfach die PEST der Neuzeit. Und für so ziemlich jeden Mist verantwortlich oder zumindest begünstigend bzw. die Grundlage.
Danke für Deinen Bericht
Daniel Siepmann likes this.
chaosflo
in reply to Sven222 • • •Läßt mich Kopfschüttelnd zurück 🤦♂️
BTW du hast es zu Fefe geschafft 😉
blog.fefe.de/?ts=984bd1d3
Fefes Blog
blog.fefe.deTom :damnified: reshared this.
Sven222
in reply to chaosflo • •mbeddedDev
in reply to Sven222 • • •Was ist das denn für ein be***** load-balancing (oder was auch immer), das einen Portscan auf sich selbst durchführt, anstatt dass man einen gescheiten Load-Balancer hinter eine allgemeine Domain packt... Oh man. IT of doom.
Danke für die Story, dass man solche Fälle mal im Hinterkopf behält
rick[4667@38C3]
in reply to Sven222 • • •Manuel 'HonkHase' Atug
in reply to Sven222 • • •Sven222
Unknown parent • •Sven222
Unknown parent • •Alexander
in reply to Sven222 • • •@jens
Jens Finkhäuser
in reply to Alexander • • •