synology.forum архив спільноти · 2005–2022
ai.synology.forum →
ГлавнаяУстановка, Загрузка и Настройка › Идентификация странного трафика

Идентификация странного трафика

Mr.Kaa001 · 01.12.2015

Привет!

Являюсь счастливым обладателем нескольких NAS от Synology, но недавно на одном из ни заметил, что периодически по виджету статистики он показывает входящий трафик на уровне 6-8МБит http://joxi.ru/Y82QlddtddxGmd Хотя НАС должен быть холодным Пытался понять кто и что льет на NAS - безрезультатно. Причем журнал изменения файлов - пустой. Отключал всех пользователей и все веб-службы и порты по-очереди - так и не нашел виновных.

 

Подскажите, пожалуйста, как локализовать и идентифицировать зловреда? В самом NASе не нашел вменяемого мониторинга, чтобы понять кто занял входящих канал.

 

Модель: DS215j

Прошивка последняя: DSM 5.2-5644 Update 1

olegf2 · 01.12.2015

Чисто уточнить... :huh:

А что у Вас там на NASе?

Торренты есть, через что качаются?

Фотки/видео с периодической индексацией?

Антивирус?

 

Сколько по времени идёт этот "входящий трафик" и загрузка процессора, периодичность/постоянно?

Есть наружная индикация работы - периодическое мигание диодов, звук ЖД и т.п..?

 

 

Mr.Kaa001 · 01.12.2015
Чисто уточнить... :huh:

А что у Вас там на NASе?

Торренты есть, через что качаются?

Фотки/видео с периодической индексацией?

Антивирус?

 

Сколько по времени идёт этот "входящий трафик" и загрузка процессора, периодичность/постоянно?

Есть наружная индикация работы - периодическое мигание диодов, звук ЖД и т.п..?

 

Нас использую чисто для рабочих целей. Там поднят файловых сервер и FTP-сервер. Когда наблюдаю такие симптомы никто ничего не льет на NAS. Процессор холодный. Периодичность - сложно сказать. По наружней посмотрю вечерком.

 

Просто я думал что в комплекте будет какой-то софт или приложение в маркетплейсе, которое поможет показать какой пользователь\служба занимает канал, но перерыв все, ничего не нашел вменяемого...

 

 

polanat · 01.12.2015
Подскажите, пожалуйста, как локализовать и идентифицировать зловреда?

На Вашем скриншоте загрузка процессора составляет 99% - это простое совпадение или сопутствующий фактор? Идентифицируйте для начала ресурсосжирающий процесс ...

Siroc-co · 01.12.2015
Привет!

Являюсь счастливым обладателем нескольких NAS от Synology, но недавно на одном из ни заметил, что периодически по виджету статистики он показывает входящий трафик на уровне 6-8МБит http://joxi.ru/Y82QlddtddxGmd Хотя НАС должен быть холодным Пытался понять кто и что льет на NAS - безрезультатно. Причем журнал изменения файлов - пустой. Отключал всех пользователей и все веб-службы и порты по-очереди - так и не нашел виновных.

 

Подскажите, пожалуйста, как локализовать и идентифицировать зловреда? В самом NASе не нашел вменяемого мониторинга, чтобы понять кто занял входящих канал.

 

Модель: DS215j

Прошивка последняя: DSM 5.2-5644 Update 1

Последнюю неделю наблюдаю тоже самое. У меня микротик с экраном, отображает WAN трафик. Раньше там были только пики в виде горбов, сейчас на фоне пиков ВСЕГДА есть не нулевой трафик, а 3-5 мегабит. Раньше такого небыло. Выяснил, что это идёт только по LAN порту, в который Syno воткнут. Остановил на Syno DownloadStation, а трафик продолжает идти... Настроил микротик так, что он отображает только трафик с LAN определённого порта на WAN, локальный при этом игнорируется - и всёравно, трафик идёт... Продолжаю расследование...

85% Tx, передача, то есть выкачивание из NAS.

DSM6.0

Siroc-co · 01.12.2015

В общем выяснил только это:

У меня постоянно в коннекте только одно соединение, на IP адрес 185.22.33.15

http://i11.pixs.ru/storage/1/8/4/proJPG_3631526_19714184.jpg

 

Есть десятки и сотни других адресов, но они временные, то появляются, то пропадают... А этот есть ВСЕГДА, и трафик на нём практически один ~1MB/s, иногда подскакивая до 8.

Кто может пробить что это такое?

Всё что я узнал мне ни о чем не говорит:

 

http://i11.pixs.ru/storage/0/6/8/shzJPG_6456059_19714068.jpg

inetnum: 185.22.32.0 - 185.22.35.255
netname: LB-THGLOBALVISION-20130325
descr: T.H. Global Vision SARL
country: LB
org: ORG-TGVS1-RIPE
admin-c: TH4649-RIPE
tech-c: TH4649-RIPE
status: ALLOCATED PA
mnt-by: RIPE-NCC-HM-MNT
mnt-lower: TH46057-MNT
mnt-routes: TH46057-MNT
created: 2013-03-25T13:34:24Z
last-modified: 2013-03-25T13:34:24Z
source: RIPE # Filtered

organisation: ORG-TGVS1-RIPE
org-name: T.H. Global Vision SARL
org-type: LIR
address: Barbour, Star Center 5th Fl.
address: 00961
address: Beirut
address: LEBANON
phone: +9613472345
fax-no: +9611819817
abuse-c: AR16035-RIPE
mnt-ref: TH46057-MNT
mnt-ref: RIPE-NCC-HM-MNT
mnt-by: RIPE-NCC-HM-MNT
abuse-mailbox: [email protected]
created: 2013-03-20T12:20:09Z
last-modified: 2015-07-01T10:36:30Z
source: RIPE # Filtered

person: Toufic Hisso
address: Star BLDG.; Barbour
address: Beirut; Lebanon
phone: +9613472345
nic-hdl: TH4649-RIPE
mnt-by: TH46057-MNT
created: 2013-03-20T15:14:20Z
last-modified: 2013-03-20T15:14:20Z
source: RIPE # Filtered

route: 185.22.33.0/24
descr: GlobalVision ISP
origin: AS59989
mnt-by: TH46057-MNT
created: 2014-12-03T11:07:52Z
last-modified: 2014-12-03T11:07:52Z
source: RIPE # Filtered

 

Есть идеи?

 

P.S. Внёс этот адрес в список блокировок в Synology, пофиг, трафик идёт дальше, только IP теперь 0.0.0.0, ваще не пойму что это значит:

http://i10.pixs.ru/storage/2/9/8/0658JPG_6554388_19714298.jpg

ishtvan · 01.12.2015

Я бешено извиняюсь,но там не 185.22.33.15,а совсем даже 185.33.22.15.

А это таки большая разница.Думаю - на том конце синеложковский сервак должен быть.

Siroc-co · 01.12.2015
Я бешено извиняюсь,но там не 185.22.33.15,а совсем даже 185.33.22.15.

А это таки большая разница.Думаю - на том конце синеложковский сервак должен быть.

Да. Попутал, видимо спать пора. НО! Заблокировал в файрволе Syno я правильный адрес, а трафик продолжает идти...

А чего бы это там быть другому Synology? Да ещё и в Швейцарии?

http://i11.pixs.ru/storage/4/0/3/ukeJPG_3984907_19714403.jpg

 

Ну ok, допустим это какая-то служба Synology, но тогда, простите, какого хрена? Чё за трафик такой нескончаемый и не блокируемый?

Отрубил от сети, на случай всякий, до выяснения. После бекапа подрублю заново.

ishtvan · 01.12.2015
Да. Попутал, видимо спать пора. НО! Заблокировал в файрволе Syno я правильный адрес, а трафик продолжает идти...

 

Ну ok, допустим это какая-то служба Synology, но тогда, простите, какого хрена? Чё за трафик такой нескончаемый и не блокируемый?

Отрубил от сети, на случай всякий, до выяснения. После бекапа подрублю заново.

 

Большой брат наблюдает за нами из Швейцарии!

 

Может адрес файрволом роутера блокировать?

А идентифицировать что за процесс этим занимается так и не удалось?

Siroc-co · 01.12.2015
Большой брат наблюдает за нами из Швейцарии!

 

Может адрес файрволом роутера блокировать?

А идентифицировать что за процесс этим занимается так и не удалось?

Ну на Syno я почти все пакеты остановил, трафик продолжает идти.

Правда сейчас инет вырубил для Syno, потом врубил, трафик не возобновляется пока что. На всякий случай бахнул всю подсеть в роутере, бекап за ночь сольётся, потом днём попробую ещё по экспериментировать.

 

P.S. Чёрт подери, в эти моменты невольно осознаю, а чего бы я делал если бы не микротик!? Скорее всего даже и не узнал бы о проблеме.

sidor_ii · 02.12.2015
P.S. Внёс этот адрес в список блокировок в Synology, пофиг, трафик идёт дальше

Конекшены пробовал очищать после блокировки ?

Без чистки все равно будет трафик, т.к. соединение уже установлено.

Siroc-co · 02.12.2015
Конекшены пробовал очищать после блокировки ?

Без чистки все равно будет трафик, т.к. соединение уже установлено.

Мне это непонятно. Я запретил трафик на данный адрес, почему он должен идти? Правила файрвола применяются только после очистки коннектов?

Но по факту вы правы. Пока инет не перезагрузил трафик продолжал идти.

sidor_ii · 02.12.2015
Мне это непонятно. Я запретил трафик на данный адрес, почему он должен идти? Правила файрвола применяются только после очистки коннектов?

Но по факту вы правы. Пока инет не перезагрузил трафик продолжал идти.

IP/Firewall/Connections

Выделяешь все ( Ctr+A) потом на "-" жмешь

все соединения удаляются.

Те что нужны создаются сразу, заблокированные не создаются.

Если соединение уже есть, оно не попадает под правило фаервола, пока его не удалишь.

Siroc-co · 02.12.2015
IP/Firewall/Connections

Выделяешь все ( Ctr+A) потом на "-" жмешь

все соединения удаляются.

Те что нужны создаются сразу, заблокированные не создаются.

Если соединение уже есть, оно не попадает под правило фаервола, пока его не удалишь.

Я тут смотрел Tools -> Torch. А блокировал по началу в Syno - не помогло.

olegf2 · 02.12.2015
Последнюю неделю наблюдаю тоже самое...

...85% Tx, передача, то есть выкачивание из NAS...

 

У автора темы наоборот - входящий трафик (и загрузка процессора).

 

В любом случае:

Компания Synology приносит искренние извинения за любые проблемы и неудобства, вызванные у своих пользователей данными обстоятельствами. По мере постоянного роста и распространения киберпреступности, появления все более сложных вредоносных программ, Synology продолжает выделять ресурсы для снижения рисков возникновения угроз и старается предоставлять пользователям надежные решения. Если после установки последней версии DSM были замечены странности в работе устройства, свяжитесь с

[email protected]

 

А так много чего было... и вирус SynoLocker, и какие-то Х-атаки, и даже генерирование криптовалют на наших НАСах. :(

http://www.securitylab.ru/news/454036.php