The Old Server which Strato shutdown

As you know, the old server got disabled on 29.Dec.2011.

I woke up and got this mail from them:

Quote from MAIL_FROM_STRATO

Sehr geehrter Herr ***,

hiermit möchten wir Sie informieren, dass uns unsere Techniker vom STRATO Rechenzentrum darüber in Kenntnis gesetzt haben, dass von Ihrem Server mit dem Hostnamen h1871779.stratoserver.net mit der Auftragsnummer: 3431003 eine DoS-Attacke (Denial of Service) ausgeht.

Dieser Vorgang beeinträchtigt die technische Infrastruktur der STRATO AG auf nicht akzeptable Weise und verstößt damit gegen die Regelbetriebsbedingungen unserer Allgemeinen Geschäftsbedingungen, die Sie jederzeit im Internet einsehen können unter: <http://strato.de/agb/index.html>

Es ist möglich, dass sich ein Dritter Zugang zu den root-Benutzerrechten auf Ihrem Server verschafft hat. In jedem Fall wird Ihr Server einer Teilsperrung unterzogen, um weiteren Schaden für alle Beteiligten zu vermeiden.

Wir fordern Sie hiermit auf, mit uns in Kontakt zu treten, um einen Termin für die Entsperrung Ihres Servers zu vereinbaren. Nach erfolgter Entsperrung bitten wir Sie, Ihren Server eingehend zu untersuchen und Gegenmaßnahmen zu ergreifen, sowie uns über diese per E-Mail (abuse-server@strato.de <mailto:abuse-server@strato.de>) zu informieren.

Eine Neu-Installation erscheint uns als die beste Möglichkeit diesen Vorfall abschließend zu bearbeiten.

Als Termin für Ihre Rückmeldung haben wir uns spätestens den 05.01.2011 vorgemerkt.

Falls Sie die Vermutung haben, dass ein Dritter Ihren Server gehackt hat, empfehlen wir Ihnen, Ihre persönlichen Daten zu sichern und dann über Ihren gesicherten Kundenservicebereich eine Neu-Installation zu beauftragen.

Anschließend sollten Sie Ihre gesicherten Daten auf Manipulationen von außen untersuchen, bevor Sie diese wieder aufspielen. Achten Sie hierbei speziell auf Veränderungen Ihrer Skripte und HTML-Dateien.

Beachten Sie auch bitte, dass Back-Ups mit großer Sicherheit bereits infiziert sind und sich daher nicht für eine Behebung dieser Ursache eignen. Es ist auch sehr wichtig, dass Sie alle verwendeten Passwörter ändern.

Für unsere Maßnahmen bitten wir um Ihr Verständnis. Wir müssen hier das Interesse aller Internetnutzer über das Interesse eines Einzelnen stellen.

Falls Sie noch weitere Fragen haben, stehen wir Ihnen selbstverständlich jederzeit gerne zur Verfügung.

I wasn't shocked at all ... but i knew it would bring me some extra work...

After some thinking and a bit research, i decided to reply to that mail, as it seemed the way to react properly, according to their clear mail and helpcenter.

Quote from MAIL_FROM_GIZ

Sehr geehrtes Strato Team,

Könnte dies durch ecxessives tcp-syslogging verursacht werden, welches
ich kürzlich eingerichtet habe?
Auch spiegel ich seit kurzem einen weiteren server via rsync auf meinen
strato server. Könnte dies die Ursache sein?


Mit bitte um zügige Rückmeldung
C. ***

An hour passed by, so i decided to phone their support.
19 cent per minute is not too much, and i only hung 5 minutes in their melodic waiting line, nicely matching with their "No waiting atm" showing in the fantastic helpcenter.

The support told me they don't have anything todo with the abuse, and i should reply to the mail ...

Well ... so i have sent another mail through their fabulous helpcenter:

Quote from MAIL_FROM_GIZMORE

Sehr geehrtes strato Team,

Bitte schalten sie meinen vserver schnellstmöglich wieder frei.

Ich vermute das mein rsync script verdächtiges datenvolumen erzeugt hat.

Mein rsync script werde ich vorsorglich abschalten. Desweiteren werde ich den server auf verdächtiges verhalten unterssuchen.

Bitte teilen sie mir auch weitere technische Informationen mit, was zur Sperrung meines Dienstes geführt hat.

Mit freundlichen grüßen
C.***

The hours passed by, no response except "We have forwarded your message" ...
Excellent.

At 20:00, 29th Dec, the same evening i decided to rent a new server and move all the stuff. Big Big thanks to Mr.BaiM who made this possible!
At 2:00am 30th Dec, WC5 was released in a horrible state, but we were back in business.


Then, on 3rd Jan, i wrote another mail asking about the state of my old server ... and the response:

"Your old server is up since 30th Dec again, we thought the support would inform you".

They cannot give any information what was wrong with it, i highly suppose it was the syslog and rsync.

If wanted i can post the mails for the 3rd Jan.