Hacker Angriff auf meinen MacPro?

[frank.lukas]

Ich vermute das ich ein Opfer eines Hacker Angriffes auf meinen MacPro bin …

Meine IP etc. beziehe ich über DHCP von meiner Fritzbox (192.168.2.1), der Rechner ist über einen 10Mbit Hub über ein Lan Kabel verbunden ...

Normalerweise habe ich die IP 192.168.2.114 ...

Seit gestern Abend war plötzlich das Internet langsam und ich hatte eine neue IP mit 169.254.49.235 und 255.255.0.0, Routerangabe ist Leer, habe zuerst mal auf feste IP umgestellt 192.168.2.14 da die fritzbox die DHCP Adressen erst ab .100 vergibt. Aber das Internet war total langsam und lief nicht richtig …

Habe jetzt erstmal auf Wlan umgeschaltet, das ist sauber, gefällt mir aber nicht da zu langsam …

Hier mal die Ausgabe über "netztet -nr"

mac-pro:~ frank$ netstat -nr

Routing tables

Internet:

Destination Gateway Flags Refs Use Netif Expire

default 192.168.2.1 UGSc 14 0 en2
default link#4 UCSI 0 0 en0
127 127.0.0.1 UCS 0 0 lo0
127.0.0.1 127.0.0.1 UH 6 1293 lo0
169.254 link#4 UCS 1 0 en0
169.254.49.235 127.0.0.1 UHS 1 0 lo0
169.254.255.255 ff:ff:ff:ff:ff:ff UHLWb 0 25 en0
192.168.2 link#6 UCS 4 0 en2
192.168.2.1 9c:c7:a6:13:b7:89 UHLWIi 12 8 en2 1151
192.168.2.108 8:ed:b9:82:9d:ed UHLWIi 0 0 en2 1087
192.168.2.115 127.0.0.1 UHS 1 63 lo0
192.168.2.255 ff:ff:ff:ff:ff:ff UHLWbI 0 25 en2

Internet6:

Destination Gateway Flags Netif Expire
::1 link#1 UHL lo0
fe80::%lo0/64 fe80::1%lo0 UcI lo0
fe80::1%lo0 link#1 UHLI lo0
fe80::%en0/64 link#4 UCI en0
fe80::217:f2ff:fe07:a1c%en0 0:17:f2:7:a:1c UHLI lo0
fe80::%en2/64 link#6 UCI en2
fe80::222:68ff:febf:6314%en2 0:22:68:bf:63:14 UHLI lo0
ff01::%lo0/32 fe80::1%lo0 UmCI lo0
ff01::%en0/32 link#4 UmCI en0
ff01::%en2/32 link#6 UmCI en2
ff02::%lo0/32 fe80::1%lo0 UmCI lo0
ff02::%en0/32 link#4 UmCI en0
ff02::%en2/32 link#6 UmCI en2
----------
In welchen Dateien hat da jemand rumgemacht ?

Ich hatte leider einen zweiten User ohne Passwort, ich will aber das System unter keinen Umständen neu aufsetzen, sondern den Fehler lieber beseitigen ...

 

[ottomane]

Schwer zu sagen, was da los ist. Aber die 169er-Adresse gibt sich der Rechner selbst, wenn er vom DHCP keine bekommen hat (zeroconf).

 

[Atelis]

Ich weiß nicht was du mit deinem Rechner so an Services im Internet bereitstellst, aber an einen Angriff glaube ich erstmal nicht.

Wie bereits erwähnt hat dein Rechner keine IP vom Router bekommen und stellte deswegen selbstständig die 169.-Adresse ein. Da hat also niemand etwas verändert, das passiert automatisch.

Hast du den Router schon mal vom Strom getrennt und nach ein paar Sekunden wieder eingeschaltet?

 

[echo.park]

Schwer zu sagen, was da los ist. Aber die 169er-Adresse gibt sich der Rechner selbst, wenn er vom DHCP keine bekommen hat (zeroconf).

Das hört sich ja dann so an, als sei von der Fritzbox einfach keine IP vergeben worden. Das muss also nicht gleich ein "Angriff" gewesen sein. Vielleicht einfach nur ein Fehler.

Den Router mal neu gestartet?

 

[SilentCry]

Zuerst mal würde ich den Hub aus der Kette nehmen. Ich vermute dort das Problem.

 

[CommanderTom66]

Sind bei manuellem Eintragen der IP-Adresse auch DNS und Gateway richtig konfiguriert und eingetragen ?

 

[Scotch]

Falls du 1&1 Kunde bist: Bei denen hatten sich gestern primärer und sekundärer DNS aufgehängt. Zumindest meine FB hat dann den lokalen DNS & DHCP daemon abgeschossen (wenn ich mein abrupt endendes Log anschaue vmtl. weil /var voll war) und das würde deine Beobachtung erklären.

Sollte das bei dir zutreffen: FB neu starten, vmtl. musst du einen Kaltstart machen.

 

[CommanderTom66]

Falls du 1&1 Kunde bist: Bei denen hatten sich gestern primärer und sekundärer DNS aufgehängt. Zumindest meine FB hat dann den lokalen DNS & DHCP daemon abgeschossen (wenn ich mein abrupt endendes Log anschaue vmtl. weil /var voll war) und das würde deine Beobachtung erklären.

Sollte das bei dir zutreffen: FB neu starten, vmtl. musst du einen Kaltstart machen.

Dies ließe sich auch testen, indem man als prim. und sek. DNS in den Netzwerkeinstellungen mal die 8.8.8.8 und die 8.8.4.4 für IP4 oder 2001:4860:4860::8888 und 2001:4860:4860::8844 für IP6 einträgt (das sind die beiden Google-Public DNS) und danach mal surft. Wenn das dann wieder normal geht, dann scheinen tatsächlich die DNS Deines Anbieters betroffen zu sein. Ich habe bei mir in der Fritzbox gleich die beiden Google-DNS hinterlegt, denn die Wahrscheinlichkeit, dass die beiden nicht funktionieren, halte ich persönlich für relativ klein (siehe auch hier bzgl. Performance und Security)

 

[frank.lukas]

Vielen Dank für die ganzen Hilfen und Antworten, war nur Panik im Hirn von mir, wir haben in jeder Etage je einen Hub und in der ersten Etage hat ein Troll den Netzteilstecker aus der Steckdose gezogen …

Meine Welt ist wieder in Ordnung …

 

[CommanderTom66]

Prima, wenn es jetzt wieder funktioniert. Nun weißt Du jetzt wenigstens, wo Du in der Kette als Erstes suchen musst, wenn das Problem wieder mal auftaucht

 

[ottomane]

Was anderes: Sind das wirklich Hubs? Sowas gibt es kaum noch und mit Switches wäret ihr wahrscheindlich deutlich besser unterwegs. Und könntet euch nicht gegenseitig belauschen übrigens.

 

[echo.park]

Typisch Mac-User, eine kleine Anomalie und schon wird ein Angriff vermutet.

Ich bin da genauso.

 

[SilentCry]

[...]wir haben in jeder Etage je einen Hub und in der ersten Etage hat ein Troll den Netzteilstecker aus der Steckdose gezogen …[...]

Zuerst mal würde ich den Hub aus der Kette nehmen. Ich vermute dort das Problem.

Ha. Ich bin einfach großartig. Tausend Kilometer weit weg, ein Posting und ich habe voll ins Schwarze getroffen.