Server gekapert / als Bitcoin-Miner missbraucht – wie kann ich das verhindern?

Question 1

Ich würde zunächst die Verbindung zu den externen Adressen mit iptables blockieren.

iptables -A OUTPUT -d IP_Address -j DROP

Nachdem Sie sichergestellt haben, dass alle IP-Adressen blockiert werden, speichern Sie die Iptables und # /sbin/service iptables savebereinigen Sie anschließend die vom Hijacker platzierten Dateien.

Sie sollten nachsehen /etc/var/log/messages, /etc/var/log/secureob der Hijacker Einträge hinterlassen hat, die Aufschluss darüber geben, wie er/sie sich möglicherweise Zugang zu Ihrem Server verschafft hat.

Wenn Sie eine Website betreiben, achten Sie darauf, dass Sie keine Webseiten haben, die es Benutzern ermöglichen, Dateien wie PHP-Shells hochzuladen.

Damit haben Sie den Anfang gemacht. Sie können Ihren Hosting-Anbieter auch bitten, einen Antivirenscan durchzuführen, um nach Skripten/Dateien zu suchen, die Zugriff gewähren.

Answer

Ich würde zunächst die Verbindung zu den externen Adressen mit iptables blockieren.

iptables -A OUTPUT -d IP_Address -j DROP

Nachdem Sie sichergestellt haben, dass alle IP-Adressen blockiert werden, speichern Sie die Iptables und # /sbin/service iptables savebereinigen Sie anschließend die vom Hijacker platzierten Dateien.

Sie sollten nachsehen /etc/var/log/messages, /etc/var/log/secureob der Hijacker Einträge hinterlassen hat, die Aufschluss darüber geben, wie er/sie sich möglicherweise Zugang zu Ihrem Server verschafft hat.

Wenn Sie eine Website betreiben, achten Sie darauf, dass Sie keine Webseiten haben, die es Benutzern ermöglichen, Dateien wie PHP-Shells hochzuladen.

Damit haben Sie den Anfang gemacht. Sie können Ihren Hosting-Anbieter auch bitten, einen Antivirenscan durchzuführen, um nach Skripten/Dateien zu suchen, die Zugriff gewähren.

Question 2

Die Miner Ihres Bots stellen keine Verbindung her, sodass der Exploit immer wieder neu ausgeführt wird und die Miner immer wieder heruntergeladen werden.

Wir haben vor Kurzem einen Exploit-Versuch mit fehlerhaften CGI-Bin-Einstellungen beobachtet, der damit in Zusammenhang zu stehen scheint.

Es wurde versucht, herunterzuladen

74.208.228.113 / a

und führen Sie das als Shell-Skript aus.

Dieses Skript macht ein paar Dinge, als wir es uns ansahen, löschte es den Crontab-Eintrag und ersetzte ihn durch einen Versuch, ein Skript auszuführen, das gezogen wurde aus

74.208.228.113 / update

Es platziert das gleiche Skript auch in /etc/cron.hourly

Dieses Skript führt ein „ps x“ aus und sucht nach einer erfolgreichen Miner-Verbindung. Wenn es diese nicht findet, lädt es das Skript erneut herunter und führt es erneut aus.

Ganz am Ende des Skripts greift es

74.208.228.113 / clamav

Und

74.208.228.113 / sh

die wie unterschiedlich kompilierte Versionen von Minerd aussehen. Es benennt Clamav in Bash um und startet dann beide Mining-Programme unter 216.230.103.42.

Wenn Sie auf ähnliche Weise ausgebeutet wurden, müssen Sie:

cgi-bin deaktivieren
Überprüfen Sie die Crontab für den Benutzer, der httpd ausführt (wahrscheinlich root oder Apache), und löschen Sie den Eintrag „update“
Suchen Sie in /etc/cron.hourly/ nach einer Datei namens update und prüfen Sie, ob sie auf die 216.230.103.42 verweist, mit der die Miner keine Verbindung herstellen können. Löschen Sie diese Datei, um

Es sind diese Update-Einträge, die die Bandbreite beanspruchen. Der Crontab-Eintrag wird einmal pro Minute ausgeführt, jede Minute.

Ich denke jedoch, dass es eine bessere Lösung ist, es aus dem Orbit zu bombardieren. Wenn Ihr CGI-Bin so eingestellt ist, dass Remote-Exploits, die Skripte ausführen, zugelassen werden, gibt es keine Garantie

Answer