Garip SSH, Sunucu güvenliği, saldırıya uğramış olabilirim

Saldırılıp atılmadığımdan emin değilim.

SSH üzerinden giriş yapmaya çalıştım ve şifremi kabul etmedi. Kök girişi devre dışı bırakıldı, bu yüzden kurtarmaya gittim ve kök girişini açtım ve kök olarak giriş yapabildim. Kök olarak, etkilenen hesabın parolasını daha önce oturum açmaya çalıştığım parola ile değiştirmeye çalıştım, passwd"parola değiştirilmedi" yanıtını kullandım. Daha sonra şifreyi başka bir şeyle değiştirdim ve giriş yapabildim, daha sonra şifreyi orijinal şifreyle değiştirdim ve tekrar giriş yapabildim.

auth.logParola değişikliklerini kontrol ettim ama işe yarar bir şey bulamadım.

Ayrıca virüs ve rootkit taraması yaptım ve sunucu şunu verdi:

ClamAV:

"/bin/busybox Unix.Trojan.Mirai-5607459-1 FOUND"

RKHunter:

"/usr/bin/lwp-request Warning: The command '/usr/bin/lwp-request' has been replaced by a script: /usr/bin/lwp-request: a /usr/bin/perl -w script, ASCII text executable

Warning: Suspicious file types found in /dev:"

Sunucumun yaygın olarak bilinmediği belirtilmelidir. Ayrıca SSH portunu değiştirdim ve 2 adımlı doğrulamayı etkinleştirdim.

Saldırıldığım için endişeleniyorum ve birisi beni kandırmaya çalışıyor, "her şey yolunda endişelenme".

J Rock gibi, bence bu yanlış bir pozitif. Aynı deneyime sahibim.

Kısa sürede 6 farklı, ayrı, coğrafi olarak ayrılmış sunucudan bir alarm aldım. Bu sunucuların 4 tanesi sadece özel bir ağda mevcuttu. Ortak bir şey son bir daily.cld güncelleme oldu.

Bu nedenle, bu trojanın tipik sezgisel özelliklerinden bazılarını kontrol etmeden kontrol ettikten sonra, bilinen temiz temel çizgime sahip bir serseri kutuyu açtım ve yenice koştum. Bu kaptı

"daily.cld güncel (sürüm: 22950, ​​işaret: 1465879, f seviyesi: 63, oluşturucu: neo)"

Daha sonra clamav /bin/busybox, orijinal sunucularda aynı "/ bin / busybox Unix.Trojan.Mirai-5607459-1 FOUND" uyarısını verdi.

Sonunda, iyi bir önlem almak için Ubuntu'nun resmi kutusundan serseri bir kutu yaptım ve aynı "/ bin / busybox Unix.Trojan.Mirai-5607459-1 FOUND" 'u da aldım. varsayılan 512 MB veya istiridye 'öldürüldü' ile başarısız oldu)

Taze Ubuntu 14.04.5 serseri kutusundan tam çıktı.

root@vagrant-ubuntu-trusty-64:~# freshclam
ClamAV update process started at Fri Jan 27 03:28:30 2017
main.cvd is up to date (version: 57, sigs: 4218790, f-level: 60, builder: amishhammer)
daily.cvd is up to date (version: 22950, sigs: 1465879, f-level: 63, builder: neo)
bytecode.cvd is up to date (version: 290, sigs: 55, f-level: 63, builder: neo)
root@vagrant-ubuntu-trusty-64:~# clamscan /bin/busybox
/bin/busybox: Unix.Trojan.Mirai-5607459-1 FOUND

----------- SCAN SUMMARY -----------
Known viruses: 5679215
Engine version: 0.99.2
Scanned directories: 0
Scanned files: 1
Infected files: 1
Data scanned: 1.84 MB
Data read: 1.83 MB (ratio 1.01:1)
Time: 7.556 sec (0 m 7 s)
root@vagrant-ubuntu-trusty-64:~#

Dolayısıyla bunun yanlış bir pozitif olacağına da inanıyorum.

Ben rkhunter did diyecekler değil , belki kineziterapistler Kuantum birden fazla sorunu yaşayan, "/ usr / bin / LWP-istek Uyarı" referansı: bana ver.

EDIT: Sadece açıkça açıkça bu sunucuların tümünün Ubuntu 14.04 olduğunu söylemediğimi farkettim. Diğer sürümler değişebilir mi?

Unix.Trojan.Mirai-5607459-1 için ClamAV imzası kesinlikle çok geniştir, bu nedenle J Rock ve cayleaf tarafından belirtildiği gibi muhtemelen yanlış bir pozitif olabilir.

Örneğin, aşağıdaki özelliklerin tümüne sahip olan herhangi bir dosya imza ile eşleşecektir:

• bu bir ELF dosyası;
• tam olarak iki kez "bekçi köpeği" dizesini içerir;
• en az bir kez "/ proc / self" dizesini içerir;
• en az bir kez "busybox" dizesini içerir.

(Tüm imza biraz daha karmaşık, ancak yukarıdaki koşullar bir maç için yeterli.)

Örneğin, şöyle bir dosya oluşturabilirsiniz:

$ echo 'main() {printf("watchdog watchdog /proc/self busybox");}' > innocent.c
$ gcc -o innocent innocent.c
$ clamscan --no-summary innocent
innocent: Unix.Trojan.Mirai-5607459-1 FOUND

Herhangi bir meşgul kutusu oluşturma (Linux'ta) genellikle yukarıda listelediğim dört özellikle eşleşir. Açıkçası bir ELF dosyası ve kesinlikle "busybox" dizesini içerecektir. Bu "/ proc / self / exe" yürütür belli uygulamaları çalıştırmak için. Son olarak, "bekçi köpeği" iki kez oluşur: bir kez uygulama adı olarak ve bir kez de "/var/run/watchdog.pid" dizgesinin içinde.

Bu sadece bugün benim için ve / bin / busybox için ClamAV taramamda ortaya çıktı. Güncelleştirilmiş veritabanında bir hata olup olmadığını merak ediyorum.

SSH üzerinden giriş yapmaya çalıştım ve şifremi kabul etmiyordu. Kök girişi devre dışı bırakıldı, bu yüzden kurtarmaya gittim ve kök girişini açtım ve kök olarak giriş yapabildim. Kök olarak, etkilenen hesabın parolasını daha önce giriş yapmaya çalıştığım parola ile değiştirmeye çalıştım, passwd "parola değiştirilmedi" ile yanıt verdi. Daha sonra şifreyi başka bir şeyle değiştirdim ve giriş yapabildim, daha sonra şifreyi orijinal şifreyle değiştirdim ve tekrar giriş yapabildim.

Bu süresi dolmuş şifre gibi geliyor. Şifrenin root tarafından (başarılı bir şekilde) ayarlanması şifre son kullanma saatini sıfırlar. Sen olabilir kontrol / var / log / güvenli (veya Ubuntu eşdeğerdir neyse), şifreniz neden reddedildiğini öğrenmek.