Tengo un servidor que ejecutaba una versión anterior de lighttpd (1.4.19 en una máquina freebsd 6.2-RELEASE (sí, antigua)) y Google me alertó de que había encontrado malware incrustado en una de las páginas de mi servidor. Dio la casualidad de que era nuestra página de índice. Eliminé rápidamente el malware y comencé a buscar en los registros del servidor cómo llegó allí. Sin rastro en ninguno de los registros de los archivos que se estaban editando, noté que el propietario de la página de índice había sido cambiado a www, que es el usuario lighttpd. Luego concluí que debía existir algún tipo de vulnerabilidad para esa versión de software y actualicé rápidamente a 1.4.26.
Ahora el malware ha vuelto. Comencé un registro de servidor bastante detallado con ftp, lighttpd y todos los intentos de inicio de sesión para intentar ver cómo ingresa este script. ¿Hay alguna sugerencia sobre otros enfoques a seguir?
Respuesta1
Su sitio web fue comprometido/desfigurado y cuando esto sucede, normalmente es muy difícil recrear todos los pasos de los atacantes y la mejor solución es reinstalar los servidores comprometidos. Por otro lado, es necesario realizar algunos análisis forenses para descubrir qué pudo haber sucedido y evitar que vuelva a suceder.
Aquí hay una lista de cosas que vale la pena comprobar:
- vea si hay vulnerabilidades conocidas en su servidor web y en las versiones de su servidor ftp
- Eche un vistazo a todos los archivos de registro que pueda, especialmente el servidor web, el servidor ftp y los del sistema. En los archivos de registro del servidor web, busque publicaciones.
- ¿Hay algún servicio en ejecución que no necesites? ¿Son accesibles desde Internet? Ciérralos ahora, revisa sus registros y busca posibles vulnerabilidades conocidas.
- ejecutar comprobadores de rootkits. No son infalibles pero pueden guiarte en la dirección correcta. chkrootkit y especialmente rkhunter son las herramientas para el trabajo
- Ejecute nmap desde fuera de su servidor y verifique si hay algo escuchando en algún puerto que no debería estar.
- Si tienes una aplicación de tendencias de rrdtool (como Cacti, Munin o Ganglia), echa un vistazo a los gráficos y busca un posible período de tiempo del ataque.
Además, siempre tenga esto en cuenta:
- cierra todos los servicios que no necesitas
- haga una copia de seguridad de todo lo que necesita para reconstruir su servidor y pruebe las copias de seguridad periódicamente
- seguir el principio de privilegio mínimo
- tener sus servicios actualizados, especialmente en lo que respecta a las actualizaciones de seguridad
- no utilices credenciales predeterminadas
¡Espero que esto ayude!