☰

サーバー上で現在実行されている悪意のあるポート スキャナーをブロックするにはどうすればよいですか?

tag-icon • tag-icon linux security botnet
サーバー上で現在実行されている悪意のあるポート スキャナーをブロックするにはどうすればよいですか?

現在、pnscan が動作しているサーバーをクリーンにして保護しようとしています。この pnscan のインスタンスは、ポート スキャン ボットネットの一部として当社のサーバーを使用する可能性が高い外部のパーティによってインストールされました。バイナリを /dev/shm および /tmp に書き込むことができるようです。

「lsof | grep pnscan」の出力は次のとおりです。

[email protected]:/home/bitnami# lsof | grep pnscan
pnscan     9588     daemon  cwd       DIR    8,1      4096      647169 /tmp
pnscan     9588     daemon  rtd       DIR    8,1      4096      2      /
pnscan     9588     daemon  txt       REG    8,1      18468     647185 /tmp/pnscan
pnscan     9588     daemon  mem       REG    8,1      42572     418331 /lib/tls/i686/nosegneg/libnss_files-2.11.1.so
pnscan     9588     daemon  mem       REG    8,1    1421892     418349 /lib/tls/i686/nosegneg/libc-2.11.1.so
pnscan     9588     daemon  mem       REG    8,1      79676     418329 /lib/tls/i686/nosegneg/libnsl-2.11.1.so
pnscan     9588     daemon  mem       REG    8,1     117086     418343 /lib/tls/i686/nosegneg/libpthread-2.11.1.so
pnscan     9588     daemon  mem       REG    8,1     113964     402913 /lib/ld-2.11.1.so
pnscan     9588     daemon    0r      CHR    1,3        0t0     705    /dev/null
pnscan     9588     daemon    1w      CHR    1,3        0t0     705    /dev/null
pnscan     9588     daemon    2w     FIFO    0,8        0t0     37499  pipe
pnscan     9588     daemon    3r      REG    8,1        203     516243 /opt/bitnami/apache2/cgi-bin/php-cgi
pnscan     9588     daemon    4u      REG    0,15         0      37558 /dev/shm/.x
pnscan     9588     daemon    5u     IPv4    37559      0t0     TCP  domU-12-31-39-14-41-41.compute-1.internal:52617->lab1.producao.uff.br:www (ESTABLISHED)
pnscan     9588     daemon    6u     IPv4    3688467    0t0     TCP  domU-12-31-39-14-41-41.compute-1.internal:55926->200.25.69.27:www (SYN_SENT)

「ps aux | grep pnscan」の出力は次のとおりです。

daemon    9588  2.3  0.1 3116204 3272 ?        Sl   21:42   1:55  /tmp/pnscan -rApache -wHEAD / HTTP/1.0\r\n\r\n 200.0.0.0/8 80

この原因を見つける方法についてアドバイスをいただければ幸いです。

ありがとう！

答え1

通常、侵害されたサーバーは

  1. 閉鎖された研究室でのさらなる調査のために画像としてバックアップされた
  2. 生産を継続するために、イメージの再作成または再インストール/復元を行う

たとえクリーンアップしたように見えても、侵害されたマシンを本番環境に放置するのは安全な方法ではない。

答え2

この「pnscan」コードは UID 9588 から実行されているようです。

この UID に一致する iptables ディレクティブを設定して、すべての送信トラフィックをドロップすることができます。または、送信 tcp/80 と tcp/22 のみにロックダウンすることもできます。

関連情報