Har jag blivit hackad eller är de virus?

Orkade inte detaljgranska bilderna, men det jag såg var några interna IP-adresser – och det är fullständigt harmlöst att “exponera” sådana. Det gäller egentligen även publika IP-adresser. De är inte hemliga – de måste vara publika för att man ska kunna kommunicera över internet.

Den enda egentliga anledningen till att inte skriva ut sin publika IP här på Sweclockers är att den då kan knytas till ens användarnamn, och man kan få en ungefärlig geografisk position. Men säkerhetsmässigt är det ganska ointressant. IP-adresser följer en given struktur, så det är bara att loopa igenom dem – vilket botar och skript gör dygnet runt ändå.

Så nej, att skriva “jag har IP 213.x.x.x” innebär inte att man plötsligt blir synlig för botarna. Man är redan i deras sikte i samma sekund man kopplar upp sig.

Jag tänker lite att om man skriver ut sin (publika) ip-adress på ett forum som sweclockers, och dessutom talar om att man kör en server på den, så är det som att be om att någon ska försöka "hacka" dig?

Kan ha helt fel dock men det känns som att en riktig person har större chans att ta sig in, än en bot som bara passerar som hastigast...

Risken är nog större att bli hackad av en bot, av den enkla anledningen att dom är så många fler och kör så många fler försök.

Men så länge man inte har felkonfigurerat tjänsterna fullständigt och/eller använder extremt enkla inloggningsuppgifter, så är risken väldigt liten att bli hackad. Extremt liten till och med. Däremot ökar risken rejält om man inte håller tjänsterna uppdaterade gällande kända säkerhetshål.

Vadå inga externa källor? Varken sonarr eller radarr finns i Debians egna repos, inte ens i trixxie.

Jag bad dig i mitt förra inlägg att utveckla installationsförfarandet. Det känns ännu mer motiverat nu.

Vid närmare eftertanke känns min första teori ändå inte helt rätt då du skulle varit ägd i första läget, och då behövs inte scriptet i onTorrentAdded-event. Jag tror mer på antingen:

1. En sårbarhet i någon av de komponenter du kör (qbit, sonarr, radarr (eller plugins till dem)

2. Att webbgränssnittet exponerats och någon tagit sig in och konfigurerat eventet därifrån

3. Du har googlat dig fram till något som givit dig evil instruktioner eller smugit in nåt, trots allt

Jag känner fortfarande att du är väldigt otydlig i dina beskrivingar av vad du satt upp och hur.

För att bekräfta 1 behövs mer info om exakt vilka komponenter/plugins du kör + versionsnummer.
För att bekräfta 2 behövs mer info om din brandvägg/router (upnp?), plus att du nämner regler som tillåter trafik till från din bror, och vpn.
För att bekräfta 3 behövs mer info om installationsförfarandet.

Vad som helst att detta (eller något annat jag inte tänkt på) kan vara felkonfigurerat.

Det är väl inte ovanligt att man kör arrstacken som Docker containers.
Har man då använt en icke-officiell källa till någon image kan man ganska lätt ha fått in malware på det viset.

Jag upplever det eller felplacrd:s punkt 2 som ganska vanliga orsaker till att man plötsligt sitter med en ovälkommen miner (i bästa fall), även om punkt 1 och 3 också förekommer.