DNS Anfragen nach "ipfs.adatools.io"

Hallo zusammen,

ich habe ein kurioses Phänomen auf meinem QuTS TS-h886.

Seit ein paar Tagen (konkret seit dem 28.12.2021) beobachte ich massenhafte DNS-Anfragen nach dem A-Record von ipfs.adatools.io ProTag kommen so um die 150.000 Anfragen (!) zusammen, es ist mir nur aufgefallen, weil ich meinen eigenen DNS-Resolver betreibe. Aber alle Anfragen kommen von der IPv6-Adresse des NAS. Bisher konnte ich den Grund nicht ausfindig machen. In Verdacht hatte ich virtuelle Maschinen bzw. Docker-Container. Aber selbst ein Stop aller virtuellen Instanzen ändert das Verhalten mit den Unmengen an DNS-Anfragen nicht. Ich finde das Verhalten aber überaus suspekt.

Es gibt auch kein auffälliges I/O-, CPU- oder RAM-Verhalten auf dem TS-h886. Die CPU geht selten über 18%. Ich konnte bei verschiedenen Stichproben auch keine verdächtigen TCP-Verbindungen finden, alle Verbindungen zu den Zeitpunkten der Stichproben waren legitim. Es gibt auch allgemeinen keinen Auffälligen Netzwerk-Traffic von oder zum NAS. Sieht man von den komischen DNS-Anfragen nach diesem einen Record ab.

Das einzige was entfernt mit dem Auftreten des Phänomens zusammenhängt... am 28.12.2021 habe ich ein Firmware-Update auf QuTS h5.0.0.1892 eingespielt.

Vielleicht hat ja noch einer von Euch eine Idee.

Danke.

War auch meine Vermutung... aber sollte man das nicht auch gerade an der CPU merken?

Das macht mich ein wenig stutzig, dass ich keine erhöhte CPU Last finden kann.

Der Malware-Remover läuft bei mir täglich. Das App-Center steht auf Auto-Update. Der Malware-Remover hat seit dem 28.12.2021, seit dem tritt das auf, noch nichts gefunden.

Die Liste der laufenden Prozesse (ps) bin ich zweimal komplett durchgegangen, auch da für meinen Geschmack nichts auffälliges; außer das QuTS, aber das hat es vorher auch schon getan, eine Unmenge aktiver Prozesse hat im Vergleich zu QTS. Bei beiden Stichproben liefen so ca. 3.500 Prozesse.

Ich bin ja selbst total am Rätseln, was und wieso.

An einen Miner hatte ich auch schon gedacht, aber dann wieder frage ich mich, wie der draufkommen sollte. Ich gebe keine listening ports des NAS ins Internet raus.

Ich bin nicht mehr der Einzige. <jubel> </jubel> Sorry, garderobier

Jetzt müssen wir nur noch die Ursache finden.. Okay, Du hast am 27.12.2021 Deine Firmware geupdated... Ist es Dir vorher vielleicht nicht aufgefallen und jetzt reichen die Logs nicht mehr weit genug zurück?

Bei mir hat es am 28.12.2021 angefangen; genau an dem Tag habe ich die neue Firmware QuTS 5.x eingespielt.

tiermutter Danke für den Link auf den Post, den kannte ich noch nicht.

Was mich nur wundert, wenn es mit der Firmware zusammenhängt... Es haben doch sicher schon viel mehr Leute auf 5.0.0.1892 upgedated.

Das müssten die doch auch haben?! Ich kann mir nicht vorstellen, dass niemand den Outgoing DNS-Traffic monitored in seinem Netzwerk.

Ich habe auch mal ein "offizielles Ticket" beim QNAP Support aufgemacht und direkt Logfiles usw. mitgeliefert.

Das Ticket wurde vom 1st Level auch schon angenommen und ich erhielt die Antwort:

Mod: Nicht deklariertes Zitat ohne Quellenangabe ... korrigiert! Forenregeln beachten und Die Zitat Funktion des Forums richtig nutzen

Zitat von QNAP Support

"ich habe die Kollegen von der Entwicklung informiert."

garderobier

!! Heuraka !! Ich habe die Malware gefunden...

Dein Tipp war Gold wert. Die DNS-Anfragen hören sofort auf, wenn man QuFirewall stoppt. Und die DNS Requests kommen sofort wieder, wenn man QuFirewall wieder startet! Es ist also die QNAP eigene Firewall die pro Tag ca. 150.000 (!) DNS-Anfragen an diese ominöse DNS erzeugt.