Il supporto OVH e il firewall inutile contro gli altri server interni

Questo post parla della possibilità di saltare il firewall di OVH semplicemente usando un server all'interno di OVH stessa. Lezioni imparate in breve: 1) OVH non ha alcun tipo di isolamento della rete interna, quindi ogni altro cliente OVH può contattare direttamente i tuoi server (!!!) semplicemente puntando il tuo IP pubblico. Questo piccolo "dettaglio" non lo troverai riportato da nessuna parte. 2) Installare e mantenere un firewall sul tuo sistema operativo (windows o linux non importa) è assolutamente obbligatorio: mai, mai, mai affidarsi esclusivamente al firewall di OVH. Sì, è abbastanza potente da fermare attacchi DDoS, attivare mitigazioni e reindirizzamenti BGP, ma è totalmente trasparente (forse non è coinvolto nel routing ?) quando l'IP attaccante arriva dall'interno di OVH. Quindi è inutile persino per fermare un banale attacco RDP "tipo wannacry" diffuso da qualche altro cliente OVH. 3) Il supporto OVH non sa necessariamente come funzionano le cose dal loro lato. Potrebbero venirti incontro con una risposta a caso. Sta a te scoprire come funzionano davvero le cose, a prescindere da quello che ti dicono. 4) L'"Abuse Team" non è in grado di FERMARE altri server che ti attaccano, tranne, immagino, quando l'attacco comporta un enorme traffico di rete che fa lampeggiare un grosso pulsante rosso da qualche parte. Almeno spero. Quello che l'Abuse Team è in grado di fare, di sicuro, è semplicemente contattare l'IP segnalato nel "modulo di abuso" per chiedere gentilmente all'IP incriminato di "smettere" qualsiasi azione, anche SENZA VERIFICARE se stia davvero succedendo qualcosa di sbagliato (!!!) tra chi ha segnalato il presunto abuso. Qui sotto trovi la cronologia completa dei ticket di supporto... dal primo all'ultimo... 29/06/17 18:40 Da me al supporto OVH: Salve, potreste dirmi se OVH ha una pianificazione che apre 3-4 tentativi di connessione RDP simultanei, cercando di accedere a tutti i miei server virtuali del mio private cloud, usando ADMINISTRATOR come nome utente e una password sbagliata, ogni singolo minuto, 24 ore su 24 ? Grazie.

29/06/17 23:01 da OVH:

Salve,

Mi scuso per il ritardo nella risposta. Non sono a conoscenza di nulla, così su due piedi, che possa fare questo. Può inviarmi dei log che mostrino che sta succedendo e vedrò cosa posso fare per scoprire se siamo noi e se possiamo risolvere il problema.

Mi faccia sapere e cercherò di risolvere la cosa il più in fretta possibile.

Grazie,

Craig

30/06/17 06:43 da me: Caro Craig, sono riuscito a catturare dei pacchetti di alcune richieste ricevute da uno dei miei server, le ultime sono arrivate dall'IP 37.187.48.9 e dall'IP 51.254.79.9 e hanno provato diversi accessi RDP cercando di connettersi al mio server virtuale con IP XX.XX.XX.XX usando "ADMINISTRATOR" come nome utente con una password sbagliata. Non so come riescano a raggiungere i miei server, considerando che le regole del firewall OVH sono impostate per negare qualsiasi tipo di traffico e permettere RDP solo dal mio indirizzo IP di casa. Vorrei capire cosa sta succedendo. Cordiali saluti, Luis.

30/06/17 10:39 da OVH:

Salve, grazie per le informazioni. Sono stato in contatto con il nostro team PCC e mi hanno detto con sicurezza che questo non ha alcun legame con noi. La prego di contattare abuse@ovh.net e la assisteranno per fermare tutto questo. Cordiali saluti, Craig

01/07/2017 18:15 da me: Caro Craig, ho inviato un'email a loro come da sua richiesta, in attesa della loro risposta. Nel frattempo, potrebbe confermarmi che ogni altro cliente all'interno della rete OVH può raggiungere la rete dei miei server virtuali "saltando" le regole del firewall esterno di OVH e facendo scansioni di rete TCP e di porte ? Perché ho bisogno di prendere le giuste misure per migliorare la mia sicurezza e mi chiedo davvero come questi IP raggiungano i miei server. Questo è un dettaglio di sicurezza molto importante che avrei bisogno di conoscere. Grazie.

03/07/2017 10:10 da OVH:

Salve,

Non dovrebbero poterlo fare. Le persone su OVH dovrebbero passare attraverso il firewall pubblico se cercano di accedere al suo server. Se ci riescono, sarebbe un bug da parte nostra.

Il team abuse potrà fornirle maggiori informazioni sul suo problema e risolverlo per lei.

Grazie per aver scelto OVH,

Craig

14/07/2017 12:25 da me: Gentile supporto, vi segnalo che: - Come da vostro suggerimento, ho inviato un'email ad abuse@ovh.net riguardo ai due IP da cui ricevevo tentativi di connessione RDP, ma a oggi, dopo 14 giorni, nessuno ha ancora risposto - tuttavia, dopo poche ore da quando ho inviato l'email, senza che io facessi nulla, di colpo non ci sono più stati tentativi di connessione RDP a tutti i miei server, nello stesso momento. - Anche se dite che "non dovrebbero poterlo fare" (e sono d'accordo con voi), vi informo che purtroppo al momento è possibile farlo... e penso che sia un enorme problema di sicurezza di OVH perché **al momento è possibile** raggiungere il server di qualsiasi cliente OVH, saltando il firewall di OVH, semplicemente puntando l'IP pubblico delle macchine, senza fare nulla di speciale. Ho appena riprovato proprio adesso con un amico che ha un server in OVH Spagna, e può avviare una sessione RDP verso tutti i miei server, anche se la porta RDP è chiusa sul firewall di OVH (!!!!). È molto facile da testare. Provate... Vi prego di dirmi se questo è considerato "comportamento normale" per OVH, così posso prendere le misure appropriate da parte mia per proteggere meglio i miei server. In attesa di notizie, Luis Il 03/07/2017 11:10, OVH Customer Support Service ha scritto: > Salve, > Non dovrebbero poterlo fare. Le persone su OVH dovrebbero passare attraverso il firewall pubblico se cercano di accedere al suo server. > Se ci riescono, sarebbe un bug da parte nostra. > Il team abuse potrà fornirle maggiori informazioni sul suo problema e risolverlo per lei. > > Grazie per aver scelto OVH, > > Craig

14/07/17 15:07 da OVH:

Salve,

Può inviarmi l'email che ha mandato al team abuse e li contatterò per risolvere la cosa più rapidamente. Per quanto riguarda le richieste RDP che passano attraverso il firewall. Non dovrebbe succedere. Può inviarmi qualche prova e farò il possibile per risolvere la cosa.

Cordiali saluti,

Craig

14/07/17 15:08 da me: Caro Craig, trovi qui sotto l'email che ho inviato il 30 giugno ad abuse. Per quanto riguarda la connessione RDP: - Screenshot delle attuali impostazioni del firewall OVH per l'IP del mio server XX.XXX.XX.XXX https://www.dropbox.com/s/XXXXXX - Screenshot di telnet da un computer FUORI dalla rete OVH che prova a connettersi alla porta TCP RDP (la connessione si blocca, va bene, il firewall OVH sta bloccando correttamente): https://www.dropbox.com/s/XXXXXXX - Screenshot di telnet da un computer DENTRO la rete OVH che ottiene una risposta da RDP (questo non va bene, il firewall OVH viene saltato) - funziona anche da IP di diversi paesi OVH, come quando il mio amico ha provato dalla Spagna. https://www.dropbox.com/s/XXXXXXXX - Cattura dei pacchetti dove si vedono le connessioni RDP che raggiungono il mio server (cerca per esempio l'IP 37.187.48.9 e l'IP 51.254.79.9) https://www.dropbox.com/s/XXXXXXXX Luis. -------- Messaggio Inoltrato -------- Oggetto: security issue trough firewall Data: Fri, 30 Jun 2017 16:59:10 +0200 Mittente: Luis Dragotto XXXXX@XXXX.XX A: abuse@ovh.net Salve, Come da richiesta del vostro collega tramite il ticket che ho aperto dal mio pannello, vi inoltro queste informazioni. Vi segnalo che sto ricevendo su quasi tutti i miei server virtuali ospitati nel mio private cloud su OVH (per esempio, l'IP di uno dei miei server è XX.XX.XX.XX) diversi tentativi di connessione RDP con nome utente "ADMINISTRATOR" e una password sbagliata a un ritmo di quasi 4 richieste al minuto dall'IP 37.187.48.9 e dall'IP 51.254.79.9, che mi sono sconosciuti, ed entrambi appartengono a OVH. In attesa di notizie, Luis. Luis.Il 14/07/2017 16:07, OVH Customer Support Service ha scritto: > Salve, > > Può inviarmi l'email che ha mandato al team abuse e > li contatterò per risolvere la cosa più rapidamente. > > Per quanto riguarda le richieste RDP che passano attraverso il firewall. Non > dovrebbe succedere. Può inviarmi qualche prova e > farò il possibile per risolvere la cosa. > > > Cordiali saluti, > > Craig

19/07/17 15:20 da OVH:

Salve,

Mi scuso per il ritardo nella risposta. Sto ancora aspettando una risposta dal nostro team abuse per sapere se il problema è risolto.

Sta ancora ricevendo i tentativi di connessione? In tal caso, può inviarmi gli indirizzi IP che fanno le richieste e indagherò ulteriormente.

Cordiali saluti,

Craig

19/07/17 15:35 da me: Caro Craig, grazie per l'aggiornamento, spero che rispondano presto perché sembra un gravissimo problema di sicurezza per OVH. Ho attivato un firewall di windows per bloccare le richieste quindi ora sono a posto, ma nel momento in cui lo spengo, nel giro di un paio d'ore i tentativi di connessione con "administrator" ricominciano, quasi 4 alla volta insieme, ogni minuto. Per riuscire a catturare gli indirizzi IP dovrei avviare una cattura di pacchetti e filtrare in mezzo a tutto l'altro traffico, perché windows non registra automaticamente l'IP (purtroppo) nei fallimenti RDP... se le servono altri IP sorgente posso fare una cattura di pacchetti e analizzare i risultati durante il weekend. Mi faccia sapere, Luis.

19/07/17 15:54 da OVH:

Ciao Luis,

Se hai il tempo di fare una cattura di pacchetti sarebbe perfetto. Una volta che so da dove arrivano le richieste e se sono nella nostra rete, posso fare qualcosa. Per favore inviameli quando puoi. Grazie,

Craig

19/07/17 16:11 da me: Caro Craig, ho appena creato un log del firewall dei pacchetti scartati, viene aggiornato circa una volta al minuto, quando il firewall svuota il buffer. Lo trovi qui: http://XX.XX.com/fwdrops.txt Lì puoi già vedere alcuni IP che raggiungono il mio server, saltando il firewall di OVH (non devi considerare i tentativi di traffico UDP verso 224.0.0.252 che sono "normali" per windows). Per esempio, in pochi minuti sto già ricevendo tentativi di connessione alla porta TCP 445 dagli IP: 46.105.42.91 37.187.71.195 158.69.151.73 178.33.108.220 147.135.228.100 Nota anche che un mese fa un mio server è stato colpito da un "ransomware NSA", non ho mai capito da dove arrivassero, ora lo so. In quel caso avevo un backup e sono riuscito a ripristinare il server e a installare tutti gli aggiornamenti per prevenire problemi futuri. Saluti, Luis.

19/07/17 17:10 da OVH:

Ciao Luis,

Sì, sembra proprio che arrivi attraverso la rete. È un problema molto strano.

Ho contattato il team abuse e mi hanno detto che dovresti compilare questo modulo: https://www.ovh.ie/abuse/

E incollare i log di ciascun IP. Una volta fatto, scrivimi e lo faccio sistemare.

Grazie,

Craig

19/07/17 17:32 da me: Ok, fatto. Riferimento della segnalazione di abuso #PVRKZWNFXB Grazie, Luis.

20/07/17 09:43 da OVH:

Ciao Luis,

Grazie. Ho parlato con il team abuse e verrà indagato e riparato con alta priorità.

Cordiali saluti,

Craig

25/07/17 16:08 da me: Ciao Craig, hai novità su questo problema ? Sto ancora ricevendo più di 650 tentativi di connessione al giorno da IP diversi, tutti provenienti dalla rete OVH... Cordiali saluti, Luis.

25/07/17 16:36 da OVH:

Ciao Luis,

Avrei supposto che fosse già risolto. Lascia che contatti il team abuse e veda se riesco a scoprire di più.

Spero di sistemarlo in fretta. Ti terrò informato.

Cordiali saluti,

Craig

25/07/17 16:39 da me: Grazie, nel caso ti serva ho spostato i log del firewall qui, sempre aggiornati ogni minuto. http://www.XXXXX.it/fwdrops.txt Cordiali saluti, Luis. Il 25/07/2017 17:36, OVH Customer Support Service ha scritto: > Ciao Luis, > > Avrei supposto che fosse già risolto. Lascia che contatti il team abuse > e veda se riesco a scoprire di più. > > Spero di sistemarlo in fretta. Ti terrò informato. > > > Cordiali saluti, > > Craig

26/07/17 13:51 da OVH

Ciao Luis,

Grazie. Sono stato in contatto con il team abuse e mi hanno detto che ti hanno scritto.

Se hai bisogno di aiuto da parte mia, fammelo sapere e farò il possibile per assisterti.

Cordiali saluti,

Craig

26/07/17 14:02 da me: Caro Craig, confermo che il team abuse mi ha contattato ... chiedendo a ME di indagare e di sistemare il comportamento di intrusione che sto facendo (!!!!) in violazione dei termini di servizio di OVH, e includendo come prova ... le stesse segnalazioni che ho inviato io a loro per dimostrare che sto ricevendo attacchi da un elenco di IP. Onestamente, non so se ridere o piangere. Cordiali saluti, Luis.

26/07/17 16:34 da OVH:

Ciao Luis,

Mi dispiace per questo. È davvero assurdo. Stavo parlando con uno dei nostri ingegneri di rete del problema e diceva che, poiché gli IP sono interni, non vengono bloccati dal firewall OVH, che protegge dal traffico esterno. La migliore linea d'azione per proteggersi da queste connessioni sarebbe disattivare RDP su queste macchine. Se RDP è necessario, metti in whitelist solo gli IP necessari. Questo risolverà il problema.

Indagheremo anche sugli IP che cercano di connettersi al tuo server e faremo in modo che vengano rimossi. Ma considererei davvero di spegnere il Desktop remoto se non è necessario.

Cordiali saluti,

Craig

26/07/17 16:48 Caro Craig, grazie per la risposta. È assurdo che chiunque abbia un server dentro OVH possa fare scansioni di porte TCP verso ogni altro server OVH e provare ad attaccarli tutti, e soprattutto è incredibile che il massimo che il team abuse possa fare sia ... inoltrare l'email al presunto attaccante chiedendogli gentilmente di smettere :-) Pensavo che la rete interna di OVH fosse molto più controllata, sicura e isolata... Ne prendo nota e alzerò regole di sicurezza adeguate sui miei server. Grazie e cordiali saluti, Luis.

27/07/17 15:40

Ciao Luis,

La nostra rete interna blocca gli attacchi malevoli. Il motivo per cui questa non è stata l'email più minacciosa inviata dal team abuse è che dobbiamo tenere conto del rischio che il cliente sia legittimo e abbia solo digitato un IP sbagliato. Se rileviamo qualcosa che rappresenta una seria minaccia per i nostri servizi o i nostri clienti, lo fermiamo immediatamente e chiudiamo l'account/i servizi del cliente. Penso che in questo caso, trattandosi di tentativi RDP senza tentativi di password, fossero meno dannosi.

Comunque, mi dispiace davvero che sia andata avanti così a lungo. Mi era stato detto di passarlo al team abuse e in futuro saprò che è meglio non farlo. Se in futuro dovessi avere altri problemi o inconvenienti, fammelo sapere e lo risolverò molto, molto più in fretta di così.

Cordiali saluti,

Craig