Fehler mit tausenden von Einträgen MSFTPSVC

[herakles99 10]

Hallo Gemeinde,

ein laufendes Windows 2003 System meldet seit 4 Tagen all morgendlich dieses hier:

Fehler MSFTPSVC ID 100

Es werden dann etwa 8000 Einträge generiert im Ereignis.

Die Fehlermeldung genau lautet auf "Der Server konnte das NT-Konto "xyz" aufgrund folgendes Fehlers nicht angemeldet werden. Anmeldung fehlgeschlagen. Unbekannter Benutezrname oder falsches Passwort.

Es folgen Konten wie - Guest, Test, oracle, master, postfix, access, festuser, ghost, adm, account, abc und so weiter und so weiter...

Das System läuft ohne Änderungen seit 7 Monaten und jetzt diese Meldungen morgendlich um 7.00 Uhr.

Eventid.net meldet eigentlich nur was zum FTP Server. Dieser wird nur mit PW Zugriff erlaubt und arbeitet so auch seit 7 Monaten ohne erkennbare Fehler.

Im Netz ist nicht wirklich was dazu zu finden. Maschine orgelt aber sonst einwandfrei vor sich hin und arbeitet brav alles ab.

Eine Idee?

herakles99

[ixus55fan 10]

Eine Idee?

Netzwerksniffer anwerfen?

[herakles99 10]

Netzwerksniffer anwerfen?

Meinst Du, da ist jeden Morgen einer unterwegs und versucht auf den Server zuzugreifen, mit unterschiedlichen Accounts und PW?

Daran habe ich nicht gedacht. Server ist mit F-Secure abgesichert, hier gibt es aber keinen Hinweis auf Fremdeinwirkung.

herakles99

[IThome 10]

Sehe ich auch so, da probiert einer ...

[nobex 10]

Haben wir hier auch in rauhen Mengen (pro Sekunde 3 bis 4 Versuche). Du solltest in dem Zusammenhang ein Auge auf die Kapazität der Platte mit den Logfiles haben.

[herakles99 10]

Haben wir hier auch in rauhen Mengen (pro Sekunde 3 bis 4 Versuche). Du solltest in dem Zusammenhang ein Auge auf die Kapazität der Platte mit den Logfiles haben.

Das Log zeigt dass der Versuch von folgender IP kommt:

 

IPv4-adress: 217.115.201.102

addr-out: 011.e-active.nl

 

In den letzten 3 Tagen hat das DAtenvolumen etwas mehr als 1 GB zugenommen.

Abwerhmaßnahmen?

Habt Ihr Vorschläge?

[ixus55fan 10]

Abwerhmaßnahmen?

die entsprechende abuse-emailadresse findest du unter Query the RIPE Database

[herakles99 10]

@alle,

habe mit den Holländern bereits Kontakt aufgenommen.

Die hatten offensichtlich einen Fehler irgenwo in Ihrem Server, so deren Kommentar, und wollen es abgestellt haben.

Werde mir das eine Weile ansehen.

herakles99