Servidor sequestrado/usado como minerador de bitcoin - como faço para impedir isso?

Question 1

Eu primeiro bloquearia a conexão com os endereços externos usando o iptables

iptables -A OUTPUT -d IP_Address -j DROP

Depois de ter certeza de que todos os endereços IP estão sendo bloqueados, salve o iptables: # /sbin/service iptables saveem seguida, limpe os arquivos colocados pelo sequestrador.

Você pode querer dar uma olhada /etc/var/log/messagese /etc/var/log/securever se há alguma entrada deixada pelo sequestrador que possa indicar como ele/ela pode ter conseguido uma posição segura em seu servidor.

Se você estiver administrando um site, certifique-se de não ter nenhuma página da web que permita aos usuários fazer upload de arquivos como shells PHP.

Isso deve começar. Você também pode pedir ao seu provedor de hospedagem para realizar uma verificação antivírus para procurar scripts/arquivos que permitam acesso.

Answer

Eu primeiro bloquearia a conexão com os endereços externos usando o iptables

iptables -A OUTPUT -d IP_Address -j DROP

Depois de ter certeza de que todos os endereços IP estão sendo bloqueados, salve o iptables: # /sbin/service iptables saveem seguida, limpe os arquivos colocados pelo sequestrador.

Você pode querer dar uma olhada /etc/var/log/messagese /etc/var/log/securever se há alguma entrada deixada pelo sequestrador que possa indicar como ele/ela pode ter conseguido uma posição segura em seu servidor.

Se você estiver administrando um site, certifique-se de não ter nenhuma página da web que permita aos usuários fazer upload de arquivos como shells PHP.

Isso deve começar. Você também pode pedir ao seu provedor de hospedagem para realizar uma verificação antivírus para procurar scripts/arquivos que permitam acesso.

Question 2

Seus mineradores de bots não estão se conectando, então ele continua executando novamente o exploit e baixando os mineradores indefinidamente.

Recentemente, vimos uma tentativa de exploração de configurações incorretas do cgi-bin que parece relacionada.

Estava tentando baixar

74.208.228.113 / a

e execute isso como um script de shell.

Esse script faz algumas coisas quando olhamos para ele, ele apagou a entrada do crontab e a substituiu por uma tentativa de executar um script extraído de

74.208.228.113 / update

Também coloca o mesmo script em /etc/cron.hourly

Esse script faz um 'ps x' e greps para uma conexão de mineração bem-sucedida. Se não o vir, ele baixa o script novamente e executa novamente.

No final do script a, ele pega

74.208.228.113 / clamav

e

74.208.228.113 / sh

que parecem ser versões compiladas de maneira diferente do Minerd. Ele renomeia o clamav para bash e então inicia a mineração em 216.230.103.42.

Então, se você foi explorado de maneira semelhante, você precisa:

desabilitar cgi-bin
verifique o crontab para qualquer usuário que execute o httpd (provavelmente root ou apache) e exclua a entrada "update"
verifique /etc/cron.hourly/ para um arquivo chamado update e veja se ele faz referência ao 216.230.103.42 ao qual os mineradores não conseguem se conectar. Exclua aquele para

São essas entradas de atualização que estão usando a largura de banda. O crontab está rodando uma vez por minuto, a cada minuto.

No entanto, acho que uma resposta melhor é tirá-lo da órbita. Se o seu cgi-bin estiver configurado para permitir explorações remotas que executam scripts, não há garantia

Answer