Gezielter Angriff auf Emule-Netz

[koenig]

Hallo erst mal.

Ich bin neu hier und entschuldige mich jetzt schon mal, dass ich einen neuen Thread öffne, wo dieses Thema schon in einigen anderen diskutiert wird - nur auf anderer Basis.

Ich bin sicher, dass es sich bei der momentanen Krise NICHT nur um ein abschalten der Server handelt, sondern um einen massiven Angriff auf das Emule-Netz:

1. Die Server brechen offensichtlich zusammen.
Schaut Euch mal die Details von Silent-Bob an. Hier sieht man einen Rückgang der CPU-Last, einen erhöhten Speicheraufwand aber KEINE rückläufigen Userzahlen!!! Der Outgoing Emule-Traffic geht dagegen gegen null. http://www.der-stille-bob.de/content...ik&seite=stats

2. Gehäuft seltsame Abstürze der Clients.
Also mein Client (wechselnde Versionen .30a) verabschiedet sich UND den gesamten Rechner (XP alle HotFixex, kein bek. Virus) mit einem Schlag. Zuvor werden noch einige Dienste gestartet oder beendet - so auch "intelligenter Nachrichtenhintergrunddienst" wobei ich nicht genau weiss, ob dieser missbraucht werden kann, denke aber schon.
Jedenfalls ist teilweise nach dem Neustart die Festplatte in mitleidenschaft gezogen: Beispiele: defekte boot.ini und nicht lesbares Userprofil(beim ersten Versuch).

Meiner Meinung nach gibt es für dieses Phänomen nur eine Erklärung:
Nach dem kürzlich veröffentlichten Sicherheitsleck hat sich ein böser Mensch daran gemacht und hat ein noch bestehendes Sicherheitsloch gefunden.
Mit dem "alten" Bug konnte man die komplette Kontrolle des Rechners über das Emule-Protokoll erlangen. Dies erklärt, dass meine Firewall (Astaro) nichts besonderes bemerkt hat.
Weiter scheint sich dieser Protokollmissbrauch auch an die Server fortzupflanzen in dem sie durch fehlerhafte Pakete blockiert werden.
Der Erschaffer muss also gute Kenntnisse von Client- UND Serversoftware haben.
Die Gerüchte um Sobig.F kann man wohl vergessen, da es hier eher um ein Exploit im Emule/Donkeynetz geht.

Dazu noch:
Gestern Abend, als alles begann, häuften sich bei mir im Client-Protokoll die Meldungen über unbekannte opcodes und Protokollverletzungen. Teils mit recht langen Hex-Strings.
Es ist also was im Busch.

Wir müssen jetzt zusammenarbeiten um das Problem schnell zu finden und zu eliminieren bevor das Netz stirbt. Genauer müssen wir es wiederbeleben, bevor alle Nutzer auf andere Systeme wechseln.

Die Frage nun:
1. Wer kann den Emulecode auf ein weiteres Exploit untersuchen - ich selbst bin dran, jedoch noch nicht ganz vertraut mit dem Emule-Code.
2. Wer hat ähnliche Feststellungen, insbesondere einer fremden Rechnerkontrolle, gemacht.

Lasst uns unsere Erfahrungen zusammenwerfen, damit wir schnell wieder ein Netz aufbauen können.

Hoffe Ihr könne uns helfen
König

[Xman]

koenig,
Du hast wahrscheinlich gar nicht so unrecht, doch bei 2 Punkten muß ich was los werden:
1. Silent Bob ist grad abgeschalten. Insofern treffen die Statistiken gerade nicht zu.
2. Ich hab nichts festgestellt, daß ich ungewöhnliche Opcodes bekam. Falls Du lange Opcode-Ketten bekommst sind das meistens Hybriden die versuchen Dich als Horde-Partner zu gewinnen.

Mal so nebenbei: gestern Nacht hatte ich im Log eine ungewhnliche Message die ich zum ersten mal bekam "blablabla irgendeine Klasse: Out of memory". Ansonsten hatte ich nichts ungewöhnliches bemerkt. Weiß bis jetzt nicht ob das nur am Mod (den ich noch nicht so lang teste) oder am BS (was manchmal nicht zu stabli läuft) liegt oder etwas im Busch ist. Als ich heute emule schloß bekam ich auch nen emule-crash und die clients.met war zerschossen.
Ob dies nun was mit den beschriebenen Phänomenen zu tun hat oder nicht weiß ich nicht. Wir sollten das Ganze aber mal im Auge behalten.

[koenig]

Hallo

Zitat von Xman

Du hast wahrscheinlich gar nicht so unrecht, doch bei 2 Punkten muß ich was los werden:
1. Silent Bob ist grad abgeschalten. Insofern treffen die Statistiken gerade nicht zu.
2. Ich hab nichts festgestellt, daß ich ungewöhnliche Opcodes bekam. Falls Du lange Opcode-Ketten bekommst sind das meistens Hybriden die versuchen Dich als Horde-Partner zu gewinnen.

Zu 1: Dann kann man dem Log aber soweit trauen, dass die Abschaltung etwa gegen 18:00/18:30 stattfand. (Zwei Instanzen?) Das kommt ziemlich genau mit der Zeit hin, in der die üblen Client-Abstürze begannen. Abschaltung etwa 2 Stunden nachher...

Zu 2: Dann haben sich die Hybriden aber stark vermehrt.
(Schade dass ich keine Logs gespeichert habe)

Wäre interessant zu wissen obs ein Emule-Problem ist oder der Donkey/Hybrid auch betroffen ist. (Natürlich meine ich nicht die Folgen der Serverausfälle.)

[Frizz]

Mein Hybrider läuft einwandfrei, findet zunehmend mehr Quellen.
Emule ist offline, findet keinen Server mehr. (Heimnetzwerk mit mehreren PCs)

Es sieht mir danach aus, daß bei diesem Serverproblem der Verbindungsaufbau des Edonkey besser programmiert ist als der des Emule.

[D'Hn]

Ich hab Heute Morgen Server verbindung verlohren und seither keinen Server mehr gefunden. Dachte es läge an mir... aber vielleicht brechen die Server ja tatsächlich zusammen

[Frizz]

Schaut doch hier rein:

http://www.emule-web.de/board/viewtopic.php?t=5465