DSM 7.2 Angriff nach Update?

[stevenfreiburg]

Es ist völlig normal dass russische Server kontaktiert werden!

Synology:

....Passen Sie gut auf sich auf und einen wunderbaren Tag noch!

Hat Synology da vielleicht einen Praktikanten mit Textbausteinen Supportanfragen beantworten lassen?

 

[Hagen2000]

Nachdem ich auch Python2 deinstalliert habe, hören die Verbindungsversche Outbound auf. Es hat nicht genügt, die Download Station zu deaktivieren. Man muss beide Pakete löschen!

Hast Du auch einen Test gemacht, Download Station zu deinstallieren (also nicht nur zu deaktivieren) während Python2 noch installiert war?
Python ist ja erst einmal nur eine Sprache und da sollte m. E. nichts Aktives laufen, wenn das Paket lediglich installiert ist.

 

[Uwe96]

Ich kann Python 2 gar nicht löschen. Hatte allerdings Download Station noch nie installiert.

 

[Recalion]

Man kann das über SSH machen:

Pakete auflisten:
sudo synopkg list --name

Abhängigkeiten prüfen:
sudo synopkg list --name --depend-on Python2

Paket löschen:
sudo synopkg stop Python2
sudo synopkg uninstall Python2


Das scheint es aber nicht die finale Lösung zu sein, da ich immer noch alle paar Stunden und dann 5 Versuche auf einmal an:
IP 194.1.238.165, Port 80/tcp
habe.
Interessanterweise nur an die eine IP. Ich werde versuchen, über die DS herauszufinden mittels Netzwerk-Tools, was der Ursprung ist. Kann aber ein paar Tage dauern und so fit bin ich darin auch nicht.

Ich sehe in meinen Unifi Logs, dass es bis Mininum 21.11.2025 zurückreicht, dass bedeutet, es hängt schon mal nicht mit dem per Github installierten R8152-Treiber zusammen.
Dann kann es aber nur an der Synology oder deren Standard-Paketen liegen, da ich sonst keine Drittanbieter Lösungen laufen habe.
Oder es ist einer der Docker-Container, wobei ich außer Portainer, jdownloader2 und einem anderen, der zudem in einem anderen VLAN liegt, nichts drauf habe. Den Docker jdownloader2 habe jetzt ich gestoppt und werde schauen, ob die Outbound Pings aufhören.

 

[Hagen2000]

Das scheint es aber nicht die finale Lösung zu sein

Hab ich mir schon gedacht.

 

[Recalion]

Der Synology will von mir Remote Zugang auf die Synology haben plus Administrator-Rechte.
Nein Danke!

You will find brief instructions on how to set up remote access, along with the option to submit the required information, in the module we are sending to you separately.
Remote access instructions:
Once open, please navigate to the Support Services menu, and tick the "Enable remote access" option and Apply the changes. Once applied, this will show an expiration date on it, shown below in the example provided.
Please use the remote access form provided previously to provide us with the Support Key, as well as a set of administrator credentials that can be used to access the device. Please also ensure that 2-factor authentication is removed from this account, and the enforcement of this is not enabled in the security settings in Control Panel >> User >> Advanced, disabling the option "Enforce 2 step verification for the following users".
Once the Support Key and account have been provided, we can connect to this to check the issue further.

 

[Lok000]

Der Synology will von mir Remote Zugang auf die Synology haben plus Administrator-Rechte.
Nein Danke!

You will find brief instructions on how to set up remote access, along with the option to submit the required information, in the module we are sending to you separately.
Remote access instructions:
Once open, please navigate to the Support Services menu, and tick the "Enable remote access" option and Apply the changes. Once applied, this will show an expiration date on it, shown below in the example provided.
Please use the remote access form provided previously to provide us with the Support Key, as well as a set of administrator credentials that can be used to access the device. Please also ensure that 2-factor authentication is removed from this account, and the enforcement of this is not enabled in the security settings in Control Panel >> User >> Advanced, disabling the option "Enforce 2 step verification for the following users".
Once the Support Key and account have been provided, we can connect to this to check the issue further.

Ja würde ich nicht als unsicherer einstufen vor allem wenn dein NAS sowieso regelmäßig updates bekommt und somit am internet hängt. Hätte da gleich wenig Vertrauen also überrascht mich nicht. Zu dem IP Thema gibt es auch Diskussionen auf reddit.

 

[Benie]

Zu dem IP Thema gibt es auch Diskussionen auf reddit.

Da wäre halt ein Link gut dazu

 

[Recalion]

Ich habe dem Support geschrieben, dass ich Ihnen aus Datenschutzgründen keinen Admin-Zugang geben kann.
Ich soll jetzt Logs senden, werde ich machen.

Die o.g. IP 194.1.238.165 sei nicht von ihnen (This IP address is not used by Synology.)
jdownloader-2/jlesage ist es auch nicht, den Container habe ich gestoppt.

 

[Benares]

Schnell weg, die Russen kommen (s. hier)

 

[plang.pl]

@Recalion Hier handelt es sich aber nicht zufällig um Seeding, wie es bei Torrents gerne gemacht wird?

 

[Recalion]

Kann ich mir nicht vorstellen, da ich alles deaktiviert habe, was mit Bittorrent zu tun hat.

 

[Recalion]

Da wäre halt ein Link gut dazu

Gib in der Suche auf Reddit ein: synology suspicious IP
Da findest Du etliche Threads.

 

[Benie]

Da bin ich doch tatsächlich von alleine drauf gekommen, ein link schadet trotzdem nicht wenn mann etwas auf ....x.... anspricht / erwähnt.

 

[Recalion]

Ich habe den Schuldigen gefunden.
Ich habe via SSH mit netstat -a mir alle Verbindungen angeguckt und bin dann zufällig auf eine Paketquelle aufmerksam geworden...
In der Auflistung habe ich auch meine komische Verbindung gesehen mit Status = SYN_SENT.

Ich habe dann unter meinen Quellen u.a. http://synology.acmenet.ru/ gefunden und diese gelöscht, da ich diese schon ewig nicht mehr nutze (Unifi-Controller über Paketzentrum).
Nochmal netstat -a | grep "SYN" und die Verbindung war weg.
Wenn man den Link mittels whois auflöst, kommt eine andere IP zum Vorschein. Daher ist es merkwürdig, dass für den o.g. Link eine andere IP aufgerufen wird seitens NAS.
Seit gestern Abend sind jedenfalls keine merkwürdigen Outbound Verbindungen von dem NAS mehr im Unifi-Kontrollcenter aufgetaucht.

Mit dem Löschen von DownloadStation und dem Python2 Paket sind auch die Outbound Bittorrent-Verbindungen ausgeblieben.

 

[Benares]

Sag ich doch (s.#50). Keine Ahnung, was das sein soll

C:\>nslookup synology.acmenet.ru
Server:  fritz.box
Address:  fd58:...

Nicht autorisierende Antwort:
Name:    synology.acmenet.ru
Address:  194.1.238.165

 

[stealthT]

Bei mir ging es knapp 5 Stunden nach dem Synology Update los. Download Gedöns nutze ich gar nicht, daher muss es an dem Update des Systems oder der Pakete liegen.

Maria DB hat bei mir mehrfach gestartet, bis es dann los ging. Das war die einzige Auffälligkeit, die ich finden konnte. Die hat aber ja eigentlich keinen Systemzugriff.

 

[stealthT]

Ok. Jetzt wird es komisch. Seit ungefähr 5 Tagen, nach Deinstallation der Download Station war alles gut. Ich hatte zwischenzeitlich einen Linux Rechner komplett neu installiert. Den gab es vorher gar nicht. Gestern Abend habe ich in Zusammenhang mit diesem Gerät wieder eine Meldung erhalten; es handelt sich wieder um eine BitTorrent - Anfrage nach Frankreich. Pythen2 hatte ich über dass Terminal bislang nicht deinstalliert.

Ein weiteres Gerät meldete heute morgen 2x ausgehende Verbindungen, die geblocked wurden.

 

[Ronny1978]

Welche und wie viele Geräte melden denn inzwischen alles Bittorrent Verbindungen???

Was für Synology Apps sind denn alles installiert? Was hast du sonst noch im Netzwerk?

 

[stealthT]

Ich habe jetzt seit dem letzten Post Maria DB deaktiviert, seit dem kamen keine neuen Meldungen.