サーバーがハイジャックされた / ビットコインマイナーとして使用されています - これを止めるにはどうすればいいですか?

Question 1

まずiptablesを使って外部アドレスへの接続をブロックします

iptables -A OUTPUT -d IP_Address -j DROP

すべての IP アドレスがブロックされていることを確認したら、iptables を保存し、# /sbin/service iptables saveハイジャッカーによって配置されたファイルをクリーンアップします。

ハイジャッカーがサーバーに足がかりを得た方法を示すエントリが残されているかどうか確認してみると/etc/var/log/messagesよいでしょう。/etc/var/log/secure

ウェブサイトを運営している場合は、PHP シェルなどのファイルをユーザーがアップロードできるウェブページがないことを確認してください。

これで作業は開始できるはずです。また、ホスティングプロバイダーにウイルス対策スキャンを実行して、アクセスを許可するスクリプトやファイルを探すように依頼することもできます。

Answer

まずiptablesを使って外部アドレスへの接続をブロックします

iptables -A OUTPUT -d IP_Address -j DROP

すべての IP アドレスがブロックされていることを確認したら、iptables を保存し、# /sbin/service iptables saveハイジャッカーによって配置されたファイルをクリーンアップします。

ハイジャッカーがサーバーに足がかりを得た方法を示すエントリが残されているかどうか確認してみると/etc/var/log/messagesよいでしょう。/etc/var/log/secure

ウェブサイトを運営している場合は、PHP シェルなどのファイルをユーザーがアップロードできるウェブページがないことを確認してください。

これで作業は開始できるはずです。また、ホスティングプロバイダーにウイルス対策スキャンを実行して、アクセスを許可するスクリプトやファイルを探すように依頼することもできます。

Question 2

ボットのマイナーは接続していないため、エクスプロイトが再実行され、マイナーが何度もダウンロードされ続けます。

最近、関連していると思われる不正な cgi-bin 設定の悪用試行を確認しました。

ダウンロードしようとしていました

74.208.228.113 / a

それをシェルスクリプトとして実行します。

そのスクリプトは、私たちが調べたところ、crontabエントリを消去し、それをスクリプトの実行に置き換えていました。

74.208.228.113 / update

また、同じスクリプトを/etc/cron.hourlyにも配置します。

このスクリプトは「ps x」を実行し、成功したマイナー接続を grep します。見つからない場合は、スクリプトを再度ダウンロードして再実行します。

スクリプトの最後で、

74.208.228.113 / clamav

そして

74.208.228.113 / sh

これらは、minerd の異なるコンパイルバージョンのようです。clamav の名前を bash に変更し、216.230.103.42 で両方のマイニングを開始します。

したがって、同様の方法で悪用された場合は、次のことを行う必要があります。

cgi-binを無効にする
crontabでhttpdを実行しているユーザー（rootまたはapache）を確認し、「update」エントリを削除します。
/etc/cron.hourly/でupdateというファイルをチェックし、マイナーが接続できない216.230.103.42を参照しているかどうかを確認します。そのファイルを削除するには

帯域幅を使用しているのは、これらの更新エントリです。crontab は 1 分ごとに 1 回実行されています。

しかし、もっと良い方法は軌道上から核爆弾を落とすことだと私は思います。cgi-binがスクリプトを実行するリモートエクスプロイトを許可するように設定されている場合、保証はありません。

Answer