Telekom DNS Server löst falsch auf

[#1]

Hallo allerseits,

unter dem Titel gibt es bereits einige Einträge, allerdings unterscheidet sich mein Fall von denen. Ich habe bei no-ip.com eine Domain registriert. Lief auch immer wunderbar, allerdings lösen die Telekom DNS Server 217.237.150.115 und 217.237.148.70 die plötzlich falsch auf, und zwar auf eine IP, die ich nie hatte, und zwar auf die 208.91.197.208. Wenn man diese IP per Webbrowser aufruft landet man bei einem http://securesearchnow.com/ Die Seite scheint laut Google-Ergebnissen bekannt für Browser Hijacking zu sein.

Laut no-ip.com (zu sehen in meinen Einstellungen) stand meine Domain unverändert auf der richtigen IP und Server wie 8.8.8.8 lösen die auch die ganze Zeit richtig auf (getestet per nslookup). Das ist mir vor allem aufgefallen, weil mein privat gehosteter Cloudserver plötzlich ein falsches Zertifikat hatte, offensichtlich wenn ich auf eine falsche IP umgeleitet werde. Das kommt mir wie ein Hacker-Angriff vor, allerdings ja offensichtlich bei der Telekom?

[#2 · Accepted solution]

Tatsache, jetzt lösen sie wieder korrekt auf... ich behalte das mal im Auge heute

[#3 · Accepted solution]

217.0.43.177 scheint wohl gerade in diesen Minuten wieder eine autorative Antwort bekommen zu haben. Dieser antwortet nun "korrekt".

nslookup
> server 217.0.43.177
Default server: 217.0.43.177
Address: 217.0.43.177#53
> sytes.net
Server: 217.0.43.177
Address: 217.0.43.177#53
Non-authoritative answer:
Name: sytes.net
Address: 8.23.224.108

@ci.v.ic, @alex213 

Wie ist das denn mit euren Hostnamen bei sytes.net? Werden diese auch wieder korrekt aufgelöst?

[#4]

Hallo @ci.v.ic ,

das ist ja merkwürdig.

Die IP-Adresse 208.91.197.208 gehört zu einem Adressblock welcher in den USA registriert ist. https://whois.domaintools.com/208.91.197.208

Auf der IP Adresse läuft auch ein Webserver, welcher aber nichts anderes tut, als beim Aufruf eine Weiterleitung zu http://securesearchnow.com veranlassen.

Kannst du deine Domäne mal bei https://check-host.net/check-dns prüfen? Dort werden verschiedene DNS Server in verschiedenen Ländern befragt.

Wird hier überall deine IP-Adresse zurückgegeben welche bei no-ip.com registriert ist?

Falls du willst kannst mir auch deine Domäne per PN schicken, dann kann ich evtl. auch etwas mehr dazu sagen.

Viele Grüße,

[#5]

Hallo,

diesem Problem muss ich mich anschließen, bin von einem ähnlichen Phänomen betroffen. Von einem privaten VDSL-Anschluss löst der Speedport bestimmte Domains falsch auf, in meinem Fall ***.sytes.net auf die oben genannte 208.91.197.208. Der Speedport verwendet 217.0.43.177 und 217.0.43.161 als DNS-Server.

Habe es mit mehreren .sytes.net-Subdomains versucht, ohne Erfolg. Andere DNS-Server lösen korrekt auf, z.B. 1.1.1.1 (Cloudflare).

Das Problem trat nach meinem Wissen erstmalig gestern (24.04.) gegen 18 Uhr auf, besteht seitdem dauerhaft.

Habe mal bei  check-host.net geschaut, es lösen nur zwei Server falsch auf: Limburg und Singapur. Alle anderen lösen korrekt auf...

[#6]

Hallo @alex213 ,

kann man bei no-ip.com eine Historie einsehen, welche IP-Adresse zu welchem Zeitpunkt für den Hostname im DNS registriert wurde?

Falls hier die 208.91.197.208 nie auftaucht muss es fast so sein, dass ein nicht-authorativer Nameserver, bei welchem sich die Telekom Nameserver für die Zone *.sytes.net bedienen einen falschen Eintrag enthalten. Möglicherweise wurden diese Server angegriffen.

Falls die 208.91.197.208 dort auftauchen sollte, dann wäre möglicherweise dein no-ip Account komprommitiert und wurde missbräuchlich verwendet.

[#7]

Hallo @amon273 ,

nachdem selbst die Hauptdomain sytes.net in besagte 208.91.197.208 auflöst, gehe ich nicht von einem Account-spezifischem Problem aus. Dennoch habe ich bei no-ip nachgeschaut, leider gibt es keine Historie. Nachdem einige meiner Hosts jedoch seit fast 10 Tagen kein Update mehr hatten, gehe ich hier nicht von einem Problem mit meinem Account aus.

Trotzdem danke für den Tipp!

Auffällig ist auch dass die Server in Limburg und Singapur beide ein TTL von 5min angeben, alle anderen max. 60s.

[#8]

Hallo @alex213 

ich habe nun mal versucht, mit den mir zur Verfügung stehenden Möglichkeiten, den Vorgang etwas einzugrenzen.

Von den beiden genannten Telekom DNS Servern 217.0.43.177 und 217.0.43.161 liefert nur 217.0.43.177 kein korrekte Namensauflösung für sytes.net.

Der DNS Server hält für die Domain sytes.net eine TTL von 300 Sekunden. Nach Ablauf der 300 Sekunden muss er erneut bei einem anderen DNS Server (Upstream, oder rekursiv beim Root-DNS) fragen, da er die Antwort selbst nicht kennt.

Aktuell wird wohl ein Upstream-Server befragt, welcher ihm nicht-autorative Antwort erneut mit der IP 208.91.197.208 antwortet.

Ich schätze hier müssen die DNS Administratoren der Telekom tätig werden und den Upstream-Server (evtl. auch dessen Upstream-Server) prüfen, alternativ autorative Abfragen erzwingen (dauert aber natürlich länger um eine Antwort zu bekommen).

Du kannst im Router natürlich auch die Verwendung eines anderen DNS Servers konfigurieren.

Viele Grüße,

[#9]

Ich kann bestätigen, dass es sich bei mir auch um die sytes.net Domain handelt, die falsch aufgelöst wird. Interessanterweise löst im Moment 217.237.150.115 richtig auf, 217.237.148.70 nicht.

Wenn man die falsch aufgelöste Domain aufruft kommt übrigens nicht http://securesearchnow.com, sondern eine Seite, die sich als meine ausgibt, aber natürlich Spam als Inhalt hat. Definitiv also ein Hacker-Angriff.

[#10]

Hallo @amon273 ,

vielen Dank für deine ausführliche Recherche und Zeit! Da müssen wohl wirklich die Admins ran...

Jetzt löst Moskau auch falsch auf, ich werd verrückt

Ich verwende jetzt erstmal den Cloudflare-DNS.

Schönen Sonntag euch allen!

[#11 · Accepted solution]

217.0.43.177 scheint wohl gerade in diesen Minuten wieder eine autorative Antwort bekommen zu haben. Dieser antwortet nun "korrekt".

nslookup
> server 217.0.43.177
Default server: 217.0.43.177
Address: 217.0.43.177#53
> sytes.net
Server:		217.0.43.177
Address:	217.0.43.177#53

Non-authoritative answer:
Name:	sytes.net
Address: 8.23.224.108

@ci.v.ic, @alex213 

Wie ist das denn mit euren Hostnamen bei sytes.net? Werden diese auch wieder korrekt aufgelöst?

[#12 · Accepted solution]

Tatsache, jetzt lösen sie wieder korrekt auf... ich behalte das mal im Auge heute