Ataques SSH, puerto 22, a través del router

[chemag]

Estos días atrás he estado sufriendo una oleada de ataques via SSH, puerto 22, a un servidor NAS en mi red interna.

Cuando empezó, tenía redirigidos unos puertos externos a los puertos 21, 22.

Tan pronto como advertí el ataque, desabilité el redireccionamiento a esos puertos en el router.

El problema, y mi pregunta es ¿Como puede ser que estando desabilitado el redireccionamiento a los puertos 22 y 21, continuasen llegando los intentos al servidor, según se puede constatar en el log del servidor?

He hecho un primer intento de soporte a través de nemesys, enviandoles extracto de los log, pero para el tema de como puede ser que las llamadas SSH pasasen a través del router, me remiten a que plantee el problema en el foro de soporte técnico.

Eso hago.

El hilo al que hago referencia es https://comunidad.movistar.es/t5/Spam-Hacking-Centro-N%C3%A9mesys/Ataques-via-SSH/m-p/4309776

Si necesitán una ampliación de información, por favor, haganmelo saber.

Un saludo.

[Técnico-Movistar]

Buenas tardes @chemag

Para poder ayudarte, envíanos por mensaje privado los siguientes datos, por favor: 
- Número de teléfono afectado
- Nombre, apellidos y NIF de la persona titular la línea
- Teléfono y persona de contacto, por si fuera necesario
- Dirección completa (provincia, localidad, nombre y número de la calle)

Para facilitarnos estos datos por tu seguridad, coloca el cursor del ratón o puntero sobre nuestro avatar de Técnico-Movistar y en la ventana que emerge, selecciona mensaje privado, de esta manera esa información no será pública.

Un saludo 

Silvia 

[chemag]

Hecho

Un saludo.

[Técnico-Movistar]

Buenas tardes @chemag

Lamentamos la demora en contestar, hemos recibido los datos correctamente, en este momento hemos pasado consulta respecto a la duda que nos planteas.

En cuanto tengamos novedades te informaremos.

Un saludo 

Victoria 

[Técnico-Movistar]

Hola @chemag

Seguimos a la espera de recibir más información, en cuanto tengamos más datos te informamos.

Un saludo.

Fernando.

[chemag]

@Técnico-Movistar

Gracias.

Saludos.

[Técnico-Movistar]

Hola @chemag

Lamentamos la demora , estamos a la espera de que nos contesten a tu consulta, en cuanto dispongamos de información te lo comunicamos.

Un saludo 

Soraya

[chemag]

@Técnico-Movistar 

Gracias, Soraya, por mantenerme informado.

Un saludo

[Técnico-Movistar]

Hola @chemag

Se ha revisado la linea y consta correcta. En cuanto a la información de los ataques que planteas, desde aquí no tenemos la posibilidad de saber porqué se ha seguido produciendo, esperamos que los compañeros del servicio Nemesys tras revisar el log facilitado te puedan aportar más datos al respecto de la información de ese ataque sufrido. Lamentamos todas las molestias.

Un saludo.

Nieves

[Técnico-Movistar]

Buenos días @chemag,

Comprobamos que se han estado efectuando configuraciones sobre tu equipo que ha dejado al mismo fuera de gestión, por lo que no tenemos acceso remoto al mismo y en esta estado no podemos ayudarte a revisar las reglas que has establecido.

Te recomendamos efectuar un reste de fábrica y posterior configuración de puertos según tus necesidades, para comprobar si se siguen produciendo dichos ataques.

Ten en cuenta que, dependiendo de qué tipo de configuración, al ser personalizada y ajena a Movistar, puede exponer sobremanera su seguridad.

Muchas gracias, un saludo

Irene

[chemag]

@Técnico-Movistar

¿Debo entender que no pueden entrar Vds. en remoto debido a cambios que se han efectado en el router?.

Que yo sea consciente solo se he efectuado cambios en las reglas de redireccionamiento, y modificado las claves de wi-fi.  No he hecho ningún cambio mas, entre otras casos porque desconozco su posible repercusión.

Me preocupa, porque desde que vino su técnico, hace meses, a revisar el router debido a que, ocasionalmente dejaba de reconocer las conexiones en la banda de 2,4 (según reporté en varios hilos en este foro), y seguí sus recomendaciones, el problema no se me ha vuelto a repetir, aunque como digo, se producia aleatoriamente, y no he hecho ningún cambio, salvo desactivar la regla del puerto 22 cuando detecté los ataques, y estos seguian entrando.

Los ataques dejaron de producirse cuando, por problemas con el decodificador de TV, tuve que apagar, siguiendo indicaciones del soporte, el router unas cuantas veces para solucionar el problema.

Esto debió cambiar la IP publica, y no he vuelto a detectar ataques, al menos en mi log no aparecen. Así pues, debo pensar que el ataque era a la IP y no a mi equipo específico.

Si están interesados en ver que cambios ha podido sufrir mi router, puedo tomar un respaldo y se lo puedo enviar por privado. Si solo necesitan ver la configuración de los puertos, puedo tomar una captura y se la puedo enviar, siempre que se fien de mi palabra de que no la he modificado.

Espero su contestación antes de resetear el router.

Un saludo.

PD: Acabo de hacer un intento de acceso externo, con un amigo. No ha podido acceder, y mi log no lo ha registrado.

[Técnico-Movistar]

Hola @chemag

Te pedimos disculpas por las molestias , no es necesario que nos envíes el respaldo .Comprueba por favor si con el reset y   posterior configuración de puertos se soluciona.

Esperamos tu respuesta.

Un saludo 

Soraya

[chemag]

@Técnico-Movistar 

Hecho, pero no creo que esto aporte mucho mas conocimiento porque los ataques cesaron días atras, coincidiendo con un apagado/encendido del router.

Sobre la dificultad para entrar en remoto en el router, quizás sea debido a que hace bastantes/muchos meses me cambiarón el router, por un problema, ocasional, que tenía con el reconocimeinto en la banda de 2,4, y el nuevo router los restauré de un backup del antiguo, con lo cual heredó el password del antiguo. (De esto me he dado cuenta al resetear el router).

Un saludo.

[Técnico-Movistar]

Buenas tardes @chemag

Disculpa por las molestias. Ya nos ha permitido acceder a la configuración del router y nos consta que tienes una serie de puertos abiertos. Esperamos que ya no se produzcan esos ataques.

¿Podemos ayudarte en algo más?

Un saludo.

Nacho.

[chemag]

@Técnico-Movistar 

Entiendo que ahora poco pueden hacer, pero es una lástima, haber dejado pasar la oportunidad de investigar como podía ser que pasasen, a través de router, unos intentos de conexión a un puerto cuya regla estaba desabilitada.

En fin, como dice Vd., esperemos que no se repita.

Un saludo.

[Técnico-Movistar]

Hola @chemag
 

Si más adelante tienes cualquier otra consulta o persiste  solo tienes que volver a publicarlo en la Comunidad, estaremos encantados de ayudarte.

Si consideras que tu consulta está resuelta, te agradeceríamos que en el hilo que has abierto, pulsases en el botón “Aceptar como solución” del post en el que se te ha resuelto tu caso. Es importante para nosotros que vuestras consultas queden resueltas y para otros usuarios es útil utilizar estas respuestas para sus dudas.

Un saludo

Soraya

[Técnico-Movistar]

Hola @chemag

Como no hemos recibido mas comunicaciones por tu parte, creemos que ya no necesitas mas ayuda desde el foro.Si más adelante tienes cualquier otra consulta, solo tienes que volver a publicarlo en la Comunidad, estaremos encantados de ayudarte.

Un saludo 

Soraya

[chemag]

@Técnico-Movistar 

Sobre su mensaje de si se ha solucionado el problema, mi opinión es que no.

He dejado de recibir ataques, Si.

¿Se conoce o se ha investigado como puede ser que pasen llamadas al puerto 22 cuando la regla está desactivada?. No me consta, aunque esa era la razón de mi consulta.

Localizar el problema, se que es muy dificil, pero  mi intención era, que si se repite esta situación no a mi, sino al otro/s usuario/s, no se parta de cero.

Si creo que ahora pueden hacer algo mas. No.

Se puede cerrar la tarea, Si, pero no se resolvió, ni se actuó con diligencia.

Lo siento.

Un saludo

[Técnico-Movistar]

Buenas tardes @chemag

Lamentamos las molestias que te estamos ocasionado, hemos vuelto a trasladar tu consulta, en cuanto tengamos respuesta te lo haremos saber.

Un saludo 

Victoria 

[Técnico-Movistar]

Hola @chemag

En cuando a la consulta que nos planteas, según nos comentan en caso de que la regla esté desactivada, no tendría que pasar. Si pasó, lo que nosotros no tenemos forma de poder comprobarlo, se deba a alguna configuración que hayas podido realizar o bien un problema de seguridad de algún equipo afectado por algún virus en la red privada. 

Aunque hayan cesado los ataques, la recomendación sería resetear el router de fábrica y configurar el router de cero. 

De nuevo, sentimos mucho estos problemas que estás teniendo. 

Un saludo

Griselda

[chemag]

@Técnico-Movistar 

Por puntos.

Totalmente de acuerdo en que no deberia de pasar estando la regla desactivada.

¿Cual es o ha sido el problema? Completamente de acuerdo en que ahora, después de resetear, a fabrica, el router y volverlo a configurar no se puede hacer nada.

Se debería haber investigado antes de resetear. Seguramente, se asumió que debia ser un problema de ignorancia o mala actuación por mi parte, y no se le prestó atención o diligencia, o simple falta de tiempo y medios. Todo es posible.

Observando, evaluando y expeculando sobre los hechos conocidos para aprender ante otra incidecia de este tipo,

Posibilidad 1. Un equipo, de dentro de mi red infectado,

   Simplemente por la topologia de la red, un pc permanente, otro ocasional, servidores NAS, y uno o varios móviles, no parece propio, desde mi punto de vista, sobre todo que el ataque se realize al servidor NAS que referencia la regla, que se trate de un virus / infeción interna, aunque es posible, desde mi punto de vista, remoto.

Posibilidad 2. Problema en el router.

 2a. Mala configuración de la regla. Solo tenéis mi palabra y la confianza en mi conocimiento. La regla, al menos visiblemente, estaba / está bien, y la desactivé en cuando detecté el ataque. Dejasteis escapar la posibilidad de comprobarlo por vosotros mismos. Si no pudisteis entrar en remoto, que era mi intención, podíais haber pedido o bien el password o bien un pantallazo, bien un volcado de router. Entiendo que centraisteis el foco, en la idea que era un problema mio, y que nos quitamos el problema de enmedio cuanto antes, que hay otros problemas mas importantes pendientes.

2b. El problema desapareció al encender y apagar el router. Estó indica, de mi punto de vista, que el problema estaba en el router y en la IP. Si hubiese sido un problema de infeción interna, el problema hubiese continuado o hubiese sido un problema con otras reglas, que tampoco hubiesen funcionado bien y aun sería peor.

2.c Como posibilidad, remota pero no descartable, la regla dice que está desabilitada, pero continua operativa. Me parece la que tiene mas posibilidad desde mi punto de vista, pero no soy experto en seguridad y menos en este router, y seguramente coincido con vosotros, que es dificil de asumir, pero los hecho estaban ahí

En fin, si se por experiencia, que para localizar o acotar problemas, hay que ir recogiendo y acumulando datos, para la siguiente vez, si no se resuelve o acaba de comprender, no partir de cero.

¿Problemas?, no me ha ocasionado graves problemas, si molestias. Yo por mi parte he aprendido algo, y, para compartir comocimiento, le planteé el problema, al fabricante del NAS, de como podia ser que el NAS siguiese informando de los intentos de conexión cuando yo habia desactivado el servicio SSH en cuanto se me informó de los intentos de conexión.

Me contestó, que además del SSH, habia otros procesos que también podrían hacian uso del puerto 22. Uno de los cuales seguía activado. En cuanto desabilité ese proceso, el NAS dejó de informame de los intentos fallidos de conexión.

¡¡¡Menudo discurso!!!

En fin, cerrar el tema, que no da mas de si.

Un saludo, y que todo vaya bien.

[Técnico-Movistar]

Hola @chemag

Lamentamos no haber podio darte más información en este caso, en todo caso agradecemos tu aportación que sin duda es muy relevante para el conjunto de la Comunidad por la información que aporta. En cualquier caso estamos a tú disposición para tratar de ayudarte ante cualquier duda o incidencia que pueda surgir.

Un saludo.

Fernando.

[chemag]

@Técnico-Movistar 

Se me vuelven a repetir los ataques al puerto 22.

Si le vais a dedicar atención, dejo la situación para que le echeis una ojeada a router y comprobeis, que según la configuración de los puertos, no deberian pasar esos intentos.

Si os lo vais a tomar con la calma de la vez anterior, decirmelo, y enciendo y apago el router para que cambie de IP externa. Acabamos antes, y desaparece, momentaneamente las molestias, y hasta la próxima vez.

Si necesitais algun dato, decirmelo.

Un saludo

[Técnico-Movistar]

Buenas tardes @chemag

Lamentamos que haya vuelto  a persistir, técnicamente el estado de la línea nos consta correcto, hemos efectuado una actualización del servicio, cuando tengas la posibilidad comprueba que no vuelva a ocurrir.

Quedamos a la espera de tu respuesta.

Un saludo 

Victoria 

[chemag]

@Técnico-Movistar 

Por delante, gracias por el interés.

Las últimas entradas que tengo en el fichero log, al respecto, corresponden a las 06:55 de hoy.

-----------------------------------

26/01/2021 6:55 hjx User [hjx] from [177.10.203.124] failed to log in via [SSH] due to authorization failure.
26/01/2021 6:55 zhuyi User [zhuyi] from [177.10.203.124] failed to log in via [SSH] due to authorization failure.
26/01/2021 6:47 yarn User [yarn] from [87.26.3.40] failed to log in via [SSH] due to authorization failure.
26/01/2021 6:47 cang User [cang] from [87.26.3.40] failed to log in via [SSH] due to authorization failure.

----------------------------------------------------------------

Antes hay 915 entradas mas. Desde las 25/01/2021 10:35.

Observo un cambio de la IP publica , que no he provocado yo, hoy a las 16:31. Supongo que estará relacionada con vuestra actuación.

He enviado una copia de todos logs a Nemesis, por si les puede ser de interés.

Por experiencias anteriores, supongo que al cambiar la IP, cesarán los ataques por un tiempo.

Yo puedo hacer que cesen las notificaciones cerrando el puerto, ya que actualmente no lo uso, pero creo que se estaría enmascarando un problema de seguridad. Por eso lo he dejado abierto, y lo superviso.

Si necesitais alguna información mas, decirmelo.

Un saludo.