(Heim)Netzwerk auf Botnetzaktivitäten untersuchen

[XXXBold]

Hallo zusammen

Ich habe den Verdacht, dass ein Heimnetzwerk, welches ich betreue, eventuell Geräte enthält, welche einem Botnetz oder ähnlichem angehören könnten. Dies daher, dass angeblich von dieser IP über bestehende E-Mail Adressen (Welche den Benutzern desselben Netzwerks gehören) Spam versendet worden sei. Die Mailadressen resp. Server selber werden von jemand anderem betreut, darauf habe ich keinen direkten Einfluss. Von dieser Partei weiss ich auch wegen der Spammails Bescheid.

Ich hab zwar grundsätzliches Wissen darüber wie das Ganze funktioniert, allerdings keinen konkreten Plan wie ich am besten vorgehen soll, um dieser Sache auf den Grund zu gehen. Folgendes habe ich mal vorgesehen:

- Liveboot eines Kali-Linuxsystems, auf einem Gerät, welches an den Router via Kabel angeschlossen wird.
- Welche Tools dazu hat Kali an Bord? Dokumentationen/Wikis dazu?
- Überprüfung des Netzwerkverkehrs auf verdächtige Aktivitäten: Wie erkenne ich solches am besten?
- Dazu Wireshark mit ARP-Spoofing verwenden? Ich bin darin nicht wirklich geübt.

Ich habe vollen (auch physischen) Zugriff auf den Router und die Geräte.
Geräte im Netzwerk sind:

• Div. Mobiltelefone (Android)
• TV-Boxen
• Desktopcomputer, Laptops (mit Linux Mint/Windows 10)
• Ein Server mit Debian 10

Alle Geräte befinden sich hinter einem Standardrouter von UPC (Schweiz), auf den Server sind einzelne Ports weitergeleitet.

Erfahrung mit Debianbasierten Linuxdistributionen ist vorhanden, allerdings nicht mit Kali direkt.
Wäre froh um einige Tipps wie ich am besten vorgehen kann.

Werden genauere Informationen benötigt, werde ich diese auf Anfrage ergänzen.

Danke und Grüsse

XXXBold

 

[gaym0r]

Am besten machste einen Mirror-Port auf dem Switch und sniffst darüber den Traffic mit.
Wo steht denn der Mailserver? Sicher dass nicht der Mailserver das Problem ist?

 

[razzy]

Wie oben schon, mirrorport am switch, mitschneiden und dann per wireshark auswerten/analysieren.
Vorher aber unbedingt bei dem Verantwortlichen der Geräte hinter dem Port die Genehmigung einholen, da Datenschutz etc.

 

[Eishunter]

Zwei unterschiedliche Admins für das selbe Netzwerk ist ungewöhnlich, aber das soll nicht mein Problem sein.
Dann kommt der Admin1 dem Admin2 in die Quere.
Besser wäre es alles in die Hand von nur einem Admin zu geben, der sich dann auch rechrfertigen muss.
Dieser Haupt-Admin soll dann das mit dem Botnetz klären.

 

[gaym0r]

Zwei unterschiedliche Admins für das selbe Netzwerk ist ungewöhnlich, aber das soll nicht mein Problem sein.

Das ist vollkommen normal und alltäglich.

 

[Hayda Ministral]

Ich mag mich irren, gehe aber schwer davon aus das ein Botnetz Mails unter einer Adresse verschickt die ihm ein Command und Control Server vorgibt. Die werden wohl kaum die lokalen Emailadressen dafür abgreifen.

Folgerichtig würde ich an Deiner Stelle erstmal die Windows Geräte auf Viren scannen. Natürlich per Boot-CD/DVD.

 

[XXXBold]

Danke für die Antworten!

Am besten machste einen Mirror-Port auf dem Switch und sniffst darüber den Traffic mit.
Wo steht denn der Mailserver? Sicher dass nicht der Mailserver das Problem ist?

Der Mailserver steht meines Wissens nach irgendwo in Deutschland, weiss ich aber nicht mit Sicherheit. Nein, da ich mit dem Mailserverbetreiber keinen direkten Kontakt habe weiss ich das nicht. Der Zugriff auf den Server fand allerdings immer per Pop3 und unverschlüsselt statt, auch ohne starke Kennwörter... Ich will mich aber meinerseits absichern und prüfen, ob meine Seite "sauber" ist.

Wie oben schon, mirrorport am switch, mitschneiden und dann per wireshark auswerten/analysieren.
Vorher aber unbedingt bei dem Verantwortlichen der Geräte hinter dem Port die Genehmigung einholen, da Datenschutz etc.

Hm, ich habe meine Zweifel, ob ich bei dem Router einen Mirror-Port erstellen kann. es handelt sich um dieses Gerät: https://de.wikipedia.org/wiki/Datei:Connectbox.jpeg
Das mit der Genehmigung versteht sich von selbst
Warum brauch ich denn einen Mirrorport dafür? Wenn ich die Mac-Adresse des Routers übernehme müsste das doch auch so funktionieren?

Ich mag mich irren, gehe aber schwer davon aus das ein Botnetz Mails unter einer Adresse verschickt die ihm ein Command und Control Server vorgibt. Die werden wohl kaum die lokalen Emailadressen dafür abgreifen.

Folgerichtig würde ich an Deiner Stelle erstmal die Windows Geräte auf Viren scannen. Natürlich per Boot-CD/DVD.

Ist auch eine Möglichkeit, das müsste dann aber ebenfalls bei einer Netzwerkanalyse auffallen, oder?
Ja, das wäre auch noch etwas was ich machen wollte bei den Windowsmaschinen. Hab das allerdings länger nicht mehr gebraucht, irgendwelche Empfehlungen, was dafür taugt?

Zwei unterschiedliche Admins für das selbe Netzwerk ist ungewöhnlich, aber das soll nicht mein Problem sein.
Dann kommt der Admin1 dem Admin2 in die Quere.
Besser wäre es alles in die Hand von nur einem Admin zu geben, der sich dann auch rechrfertigen muss.
Dieser Haupt-Admin soll dann das mit dem Botnetz klären.

Ich bin der alleinige Admin des betreffenden Netzwerkes, nur die Mailadressen/Domains werden von jemand anderem verwaltet, in einem ganz anderen Netzwerk womit ich nix zu tun habe.

 

[BFF]

Fangt mal an, die Passwoerter der MailAccounts zu aendern. Von einem Geraet was nicht in diesem Netz ist.
Und dann jedes einzelne Geraet im Netz offline nach Tierchen absuchen.

BFF

 

[gaym0r]

Warum brauch ich denn einen Mirrorport dafür? Wenn ich die Mac-Adresse des Routers übernehme müsste das doch auch so funktionieren?

Ja natürlich. Aber was genau siehst du dann? Der Versuch eines Clients den Mailserver zu kontaktieren. Mehr ist dann (ohne weiteres) nicht zu sehen, da die Verbindung nicht zustande kommt.

 

[XXXBold]

Fangt mal an, die Passwoerter der MailAccounts zu aendern. Von einem Geraet was nicht in diesem Netz ist.
Und dann jedes einzelne Geraet im Netz offline nach Tierchen absuchen.

Da bereits mehrmals Spam davon versendet wurde, sind die Mailaccounts aktuell deaktiviert. Eingehende Mails werden an alternative Adressen weitergeleitet.
Welche Software würdest du fürs absuchen empfehlen?

Ja natürlich. Aber was genau siehst du dann? Der Versuch eines Clients den Mailserver zu kontaktieren. Mehr ist dann (ohne weiteres) nicht zu sehen, da die Verbindung nicht zustande kommt.

Naja, die Daten müssen natürlich zum echten Gerät weitergeleitet werden

 

[BFF]

Desinfect, Kaspersky Rescue Disc, Malewarebytes AntiRootKit usw.

Ueberlegen, ob es auch ein IoT in dem Netzwerk erwischt haben kann.

BFF

 

[chrigu]

Einzelne pc absteckend und schauen ob der bot nicht mehr aktiv ist.
wie genau lautet die Meldung des providers