Servidor secuestrado/utilizado como minero de bitcoins: ¿cómo puedo detener esto?

Question 1

Primero bloquearía la conexión a las direcciones externas usando iptables.

iptables -A OUTPUT -d IP_Address -j DROP

Una vez que se haya asegurado de que todas las direcciones IP estén bloqueadas, guarde las iptables: # /sbin/service iptables saveluego limpie los archivos colocados por el secuestrador.

Es posible que desees mirar /etc/var/log/messagesy /etc/var/log/securever si el secuestrador dejó alguna entrada que pueda indicar cómo pudo haberse afianzado en tu servidor.

Si está ejecutando un sitio web, asegúrese de no tener ninguna página web que permita a los usuarios cargar archivos como shells PHP.

Esto debería ayudarte a empezar. También puede pedirle a su proveedor de alojamiento que realice un análisis antivirus para buscar scripts/archivos que permitan el acceso.

Answer

Primero bloquearía la conexión a las direcciones externas usando iptables.

iptables -A OUTPUT -d IP_Address -j DROP

Una vez que se haya asegurado de que todas las direcciones IP estén bloqueadas, guarde las iptables: # /sbin/service iptables saveluego limpie los archivos colocados por el secuestrador.

Es posible que desees mirar /etc/var/log/messagesy /etc/var/log/securever si el secuestrador dejó alguna entrada que pueda indicar cómo pudo haberse afianzado en tu servidor.

Si está ejecutando un sitio web, asegúrese de no tener ninguna página web que permita a los usuarios cargar archivos como shells PHP.

Esto debería ayudarte a empezar. También puede pedirle a su proveedor de alojamiento que realice un análisis antivirus para buscar scripts/archivos que permitan el acceso.

Question 2

Los mineros de sus robots no se conectan, por lo que sigue ejecutando el exploit y descargando los mineros una y otra vez.

Recientemente vimos un intento de explotación de configuraciones incorrectas de cgi-bin que parece relacionado.

Estaba intentando descargar

74.208.228.113 / a

y ejecutarlo como un script de shell.

Ese script hace algunas cosas cuando lo miramos, borró la entrada crontab y la reemplazó con un intento de ejecutar un script extraído de

74.208.228.113 / update

También coloca el mismo script en /etc/cron.hourly

Ese script hace un 'ps x' y busca una conexión minera exitosa. Si no lo ve, descarga el script nuevamente y lo vuelve a ejecutar.

Al final del guión, aparece

74.208.228.113 / clamav

y

74.208.228.113 / sh

que parecen ser versiones compiladas de manera diferente de minerd. Cambia el nombre del clamav a bash y luego inicia ambas operaciones de minería en 216.230.103.42.

Entonces, si usted fue explotado de manera similar, necesita:

desactivar cgi-bin
verifique en el crontab cualquier usuario que ejecute httpd (probablemente root o apache) y elimine la entrada "actualizar"
verifique /etc/cron.hourly/ para ver si hay un archivo llamado actualización y vea si hace referencia al 216.230.103.42 al que los mineros no pueden conectarse. Borra ese para

Son esas entradas de actualización las que utilizan el ancho de banda. El crontab se ejecuta una vez por minuto, cada minuto.

Sin embargo, creo que una mejor respuesta es bombardearlo desde la órbita. Si su cgi-bin está configurado para permitir exploits remotos que ejecutan scripts, no hay garantía

Answer