Хакеры Tesla атакуют мой сервер, потому что приняли его за свой
I'm being cyberattacked by Tesla, Inc
Робин, участник проекта NTP Pool, обнаружил в логах nginx постоянные атаки с трёх IP-адресов Amazon. Сканеры Assetnote, используемые Tesla для проверки уязвимостей, ошибочно приняли его сервер за внутренний ресурс Tesla из-за CNAME-записи pool-ntp.tesla.com, указывающей на pool.ntp.org. За две недели сервер получил более 50 000 запросов с эксплойтами, включая Log4Shell и SSRF. Робин написал в Tesla, но ответа пока нет.
Я написал в Tesla об этом и пока не получил ответа: «Привет! Не уязвимость в Tesla, и я ничего не прошу, но я просто хотел сообщить, что вы можете непреднамеренно создавать проблемы. Мой сервер является участником NTP Pool. За последние примерно два дня он получил ~8 000 запросов от двух ваших сканирующих хостов: <54.165.75.96> и <35.168.63.24>, UA <Assetnote/1.0.0 (ExposureScan)>, с множеством шаблонных эксплойт-пейлоадов. Каждый пейлоад использовал <pool-ntp.tesla.com> в качестве целевого хоста. Я предполагаю, что у вас есть внутренний поддомен, который разрешается по круговому алгоритму на серверы-участники NTP Pool, подавляющее большинство которых не принадлежит Tesla. Ваше обнаружение активов, по-видимому, непреднамеренно включает каждый IP-адрес, который может разрешить <pool-ntp.tesla.com>, в область активного сканирования. Здесь вреда не нанесено, но я хотел предупредить вас, что вы швыряете эксплойты по IP-адресам незнакомцев. Готов поделиться дословными логами, если это будет полезно. Робин, dreamstation.systems / 67.215.249.229»
- walrus01
Помните, в 2003 году Netgear захардкодил NTP-сервер одного университета в кучу своих продуктов? Ну вот...
https://www.google.com/search?&q=university+ntp+server+netge...
- simonjgreen
Я почти уверен, что то, как они захардкодили NTP, на самом деле противоречит ToS использования пула NTP.
То, как вендор, встраивающий NTP, _должен_ это делать, описано здесь:
https://www.ntppool.org/en/vendors.html
Кстати, когда я вёл бизнес по веб-хостингу, мы держали несколько NTP-серверов в пуле. Это такая простая вещь, чтобы отдать долг сообществу, и любой, кто может обеспечить стабильный вклад, стоит того, чтобы это делать.
- darwinlee
«Вы категорически не должны использовать имена зон pool.ntp.org по умолчанию в конфигурации вашего приложения или устройства по умолчанию.»
источник: https://www.ntppool.org/en/vendors.html
- buzer
CNAME'ить pool-ntp.tesla.com на что-то, что они не контролируют, уже довольно рискованно, так как это позволило бы кому-то, например, запросить сертификат для pool-ntp.tesla.com, хотя на это может уйти немало попыток.
- graypegg
К счастью, трафик, похоже, небольшой, но всё же... странно. Хотелось бы надеяться, что когда-нибудь эти странные ответы попадут в какой-нибудь лог и на них посмотрят, но я не буду задерживать дыхание, ха-ха.
Не по теме, но мне очень нравится дизайн вашего блога. Это до жути точно передаёт старый GNOME 2 Ubuntu, потрясающая работа.
- kjs3
Я бы попробовал связаться с Assetnote. Большинство (к сожалению, не все) компаний, занимающихся управляемым сканированием уязвимостей, довольно чувствительны к сканированию того, что не принадлежит их клиенту, и это может подвергнуть их риску ответственности, потому что у них нет разрешения.
- motbus3
Сделай ход в стиле Tesla и скажи, что это новая услуга, и им нужно платить 10000 в месяц, чтобы продолжать пользоваться сервисом, иначе ты оставляешь за собой право испортить ответы. :P конечно, это шутка, но именно так они и поступают
- andai
Мне очень нравится тема этого сайта. Я заметил это вчера, используя очень старую версию iOS: Shiny UI поднимает настроение.