Unbekannte Logins via SSH auf dem NAS

[SaschaK94]

Guten Tag,

ich habe das komische Problem, das wohl von meinem NAS aus versucht wird, sich per SSH auf dem NAS anzumelden.

2017-04-12 10:17:01 Warning NAS-Server SYSTEM Connection User [usuario] from [127.0.0.1] failed to log in via [SSH] due to authorization failure.
2017-04-12 09:23:42 Warning NAS-Server SYSTEM Connection User [prueba] from [127.0.0.1] failed to log in via [SSH] due to authorization failure.

Das komische ist, das dies von localhost 127.0.0.1 passiert, nicht - wie üblich - mit IP-Adressen aus dem Internet.
Kann sich dies jemand erklären?

Besten Dank.

 

[TheGardner]

Sieht sich für mich fast so an, als ob da wirklich jemand versucht bei Dir einzubrechen. Allerdings müsstest Du dann den Port 22 nach außen hin (durch den Router durch) freigegeben haben! Meine Frage wäre dann: Wieso hast Du das gemacht? Das kann fatal enden!

 

[SaschaK94]

Ich gehe nicht von Angriffen von außen aus, sondern von welche, die von der DS an die DAS gehen, weil, wie gesagt, es von localhost passiert.

 

[rednag]

Das macht mich auch etwas stutzig. Hast Du evtl. eine Malware auf der Syno?

 

[SaschaK94]

Soweit ich weiß nicht, die Frage ist ja, wie man dies herausfindet. Leider steht dort ja nicht bei, woher der SSH-Login versucht wird, außer der IP.

 

[rednag]

Hast Du die Web Station aktiviert? Befinden sich unter /web etwaige Scropts/Dateien welche dort nicht hingehören, bzw. Dir unbekannt sind?
Hast Du Zugriff auf die Konsole?
Evtl. mal das Log unter var/log/auth.log durchforsten.

 

[SaschaK94]

WebStation habe ich nicht installiert.

Um 22:17 wurde laut Protokoll wieder ein Login versucht. In der Datei steht folgendes zu diesem Zeitpunkt:

ash-4.3# tail -n 1000 auth.log | grep 22:17
2017-04-12T22:17:01+02:00 NAS-Server sshd[13039]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=127.0.0.1
2017-04-12T22:17:03+02:00 NAS-Server sshd[13215]: pam_unix(sshd:session): session opened for user admin by (uid=0)
2017-04-12T22:17:03+02:00 NAS-Server sshd[13215]: pam_unix(sshd:session): session closed for user admin
2017-04-12T22:17:16+02:00 NAS-Server sshd[13300]: fatal: ssh_dispatch_run_fatal: no matching MAC found [preauth]
2017-04-12T22:17:16+02:00 NAS-Server sshd[13300]: error: mm_request_receive: socket closed
2017-04-12T22:17:19+02:00 NAS-Server sshd[13039]: error: mm_request_receive: socket closed
2017-04-12T22:17:19+02:00 NAS-Server sshd[13039]: PAM 2 more authentication failures; logname= uid=0 euid=0 tty=ssh ruser= rhost=127.0.0.1
2017-04-12T22:17:31+02:00 NAS-Server sshd[13546]: fatal: ssh_dispatch_run_fatal: no matching MAC found [preauth]
2017-04-12T22:17:31+02:00 NAS-Server sshd[13546]: error: mm_request_receive: socket closed
2017-04-12T22:17:41+02:00 NAS-Server sshd[13744]: fatal: ssh_dispatch_run_fatal: no matching MAC found [preauth]
2017-04-12T22:17:41+02:00 NAS-Server sshd[13744]: error: mm_request_receive: socket closed
ash-4.3#

2017-04-12 22:18:13 Information NAS-Server admin Connection User [admin] from [192.168.178.30] logged in successfully via [SSH].
2017-04-12 22:17:13 Warning NAS-Server SYSTEM Connection User [usuario] from [127.0.0.1] failed to log in via [SSH] due to authorization failure.
2017-04-12 22:17:07 Warning NAS-Server SYSTEM Connection User [usuario] from [127.0.0.1] failed to log in via [SSH] due to authorization failure.

 

[BigRonin]

Solange nicht geklärt ist wer oder was bei dir versucht sich per SSH einzuloggen, würde ich entweder den SSH Dienst deaktivieren oder zumindest einen anderen Port zuweisen. Eine eventuelle Portweiterleitung im Router vorrübergehend löschen bzw. ganz löschen.

Die beiden Benutzernamen „usuario“ und „prueba“ stammen wahrscheinlich aus dem spanischem und bedeuten auf Deutsch „Benutzer“ und „Test“. Ist möglicherweise ein Hinweis.

- Auf deiner DS gibt es keine Benutzer mit diesen Namen?
- Auch keine internen Systembenutzer?
- Kannst du ausschließen das in deinem Netzwerk was läuft was zur geloggten Zeit an war?

Hast du mal geschaut ob ein fremder Dienst oder Prozess bei dir auftaucht?

Die IP 127.0.0.1 wird zwar üblicherweise für interne Zwecke verwendet ich kann aber ohne Probleme z.B. einem Tablet diese IP zuweisen. Ich würde also nicht zwangsweise einen externen Anmeldeversuch ausschließen.

 

[SaschaK94]

- Auf deiner DS gibt es keine Benutzer mit diesen Namen?
- Auch keine internen Systembenutzer?

Nein, keine Systembenutzer und auch keine normalen.

- Kannst du ausschließen das in deinem Netzwerk was läuft was zur geloggten Zeit an war?

Im Netzwerk laufen parallel folgende Geräte:
- Raspberry
- FritzBox
- Drucker
- Handys, Tablets, usw.

Hast du mal geschaut ob ein fremder Dienst oder Prozess bei dir auftaucht?

Gehe mal davon aus, das der Prozess eh nur dann läuft, wenn die Loginversuche stattfinden, aber nein, sonst kein ungewöhnlicher Prozess.