web-dev-qa-db-ja.com

Ubuntu 16.04からLINUX / EBURYを削除するにはどうすればよいですか？

私は数週間前にインストールしたUbuntu 16.04にウイルスがあると警告を受けました。 chkrootkitを使用してシステムを検証し、何かが検出され、実際に「LINUX/EBURY」が検出されたかどうかを確認しました。

このウイルスを駆除する方法に関する情報をGoogleで検索しましたが、何も見つかりませんでした。システムからそれを削除する方法を知っている人はいますか？

antiviruschkrootkit
3
nogueira13

LINUX/EBURYルートキットは簡単に見つけることができます。

libkeyutils.soのシンボリックリンクを作成し、libkeyutils.soのバージョンにマルウェアを追加します。

私は/lib/x86_64-linux-gnu/で私のものを見つけました、そしてそれはこのように見えます：

lrwxrwxrwx 1 root root    18 mrt  5  2015 /lib/x86_64-linux-gnu/libkeyutils.so.1 -> libkeyutils.so.1.5
-rw-r--r-- 1 root root 14256 okt 16  2014 /lib/x86_64-linux-gnu/libkeyutils.so.1.5

これは良さそうに見えますが、2行以上ある場合は問題があります。問題のあるファイルはlibkeyutils.so.1.5.0のようなもので、サイズは約32kです。

次のファイルは、このルートキットの影響を受けます。

audit_log_user_message
audit_log_acct_message
hosts_access
connect
__syslog_chk
write
syslog
popen
hosts_access
crypt
pam_start

そしてそれを仕上げます。これらは、感染のSHA-1ハッシュです。

09c8af3be4327c83d4a7124a678bbc81e12a1de4 – Linux/Ebury – Version 1.3.2
2e571993e30742ee04500fbe4a40ee1b14fa64d7 – Linux/Ebury – Version 1.3.4
39ec9e03edb25f1c316822605fe4df7a7b1ad94a – Linux/Ebury – Version 1.3.2
3c5ec2ab2c34ab57cba69bb2dee70c980f26b1bf – Linux/Ebury – Version 1.3.2
471ee431030332dd636b8af24a428556ee72df37 – Linux/Ebury – Version 1.2.1
5d3ec6c11c6b5e241df1cc19aa16d50652d6fac0 – Linux/Ebury – Version 1.3.3
74aa801c89d07fa5a9692f8b41cb8dd07e77e407 – Linux/Ebury – Version 1.3.2
7adb38bf14e6bf0d5b24fa3f3c9abed78c061ad1 – Linux/Ebury – Version 1.3.2
9bb6a2157c6a3df16c8d2ad107f957153cba4236 – Linux/Ebury – Version 1.3.2
9e2af0910676ec2d92a1cad1ab89029bc036f599 – Linux/Ebury – Version 1.3.3
adfcd3e591330b8d84ab2ab1f7814d36e7b7e89f – Linux/Ebury – Version 1.3.2
bf1466936e3bd882b47210c12bf06cb63f7624c0 – Linux/Ebury – Version 1.3.2
d552cbadee27423772a37c59cb830703b757f35e – Linux/Ebury – Version 1.3.3
e14da493d70ea4dd43e772117a61f9dbcff2c41c – Linux/Ebury – Version 1.3.2
f1ada064941f77929c49c8d773cbad9c15eba322 – Linux/Ebury – Version 1.3.2

welivesecurity.comからのこのリンクに基づく 。

-IF-感染している場合、感染を保持しないバックアップをフォーマットして再インストールし、復元するのが最善です。また、sshが関係しているため、ssh資格情報を削除し、いくつかの新しいキーを作成します。

Sshが感染しているかどうかを確認できます

ssh -G 2>&1 | grep -e illegal -e unknown > /dev/null && echo "System clean" || echo "System infected"
4
Rinzwind

おそらく誤検知です。 Chkrootkitは、このマルウェアに対して古いチェックを使用していますが、それはその後進化しています。おそらく何もありませんが、必要に応じてrkhunterで確認してください。それでも心配な場合は、ルートレベルのアクセス許可を取得している可能性が高いため、バックアップからシステムを再インストールしてください。

https://www.google.co.uk/search?q=linux+ebury&ie=UTF-8&oe=UTF-8&hl=en-gb&client=safari

https://www.cert-bund.de/ebury-faq

0
Chris