Encontrar a fonte do malware?

Question

Eu tenho um servidor que estava executando uma versão mais antiga do lighttpd (1.4.19 em uma máquina freebsd 6.2-RELEASE (sim, antiga)) e o Google me alertou que havia encontrado malware incorporado em uma das páginas do meu servidor. Acontece que era nossa página de índice. Imediatamente removi o malware e comecei a examinar os logs do servidor para saber como ele chegou lá. Sem nenhum vestígio em nenhum dos logs dos arquivos que estão sendo editados, notei que o proprietário da página de índice foi alterado para www, que é o usuário lighttpd. Concluí então que deveria existir algum tipo de vulnerabilidade para aquela versão do software e atualizei imediatamente para 1.4.26.

Agora o malware está de volta. Comecei alguns registros de servidor bastante detalhados com ftp, lighttpd e todas as tentativas de login para tentar ver como esse script está entrando.

Answer 1

Seu site foi comprometido/defigurado e quando isso acontece, normalmente é muito difícil recriar todas as etapas do invasor e a melhor solução é reinstalar os servidores comprometidos. Por outro lado, você precisa realizar algumas análises forenses para descobrir o que possivelmente aconteceu e evitar que aconteça novamente.

Aqui está uma lista de coisas que vale a pena verificar:

• veja se existem vulnerabilidades conhecidas em seu servidor web e nas versões do seu servidor FTP
• dê uma olhada em todos os arquivos de log que puder, especialmente o servidor web, o servidor ftp e os do sistema. Nos arquivos de log do servidor web, verifique as postagens
• há algum serviço em execução que você não precisa? Eles são acessíveis pela Internet? Feche-os agora, verifique seus logs e verifique possíveis vulnerabilidades conhecidas.
• execute verificadores de rootkit. Eles não são infalíveis, mas podem levá-lo na direção certa. chkrootkit e especialmente rkhunter são as ferramentas para o trabalho
• execute o nmap de fora do seu servidor e verifique se há algo escutando em alguma porta que não deveria estar.
• se você tiver um aplicativo de tendências rrdtool (como Cacti, Munin ou Ganglia), dê uma olhada nos gráficos e procure um possível período de tempo do ataque.

Além disso, sempre tenha isso em mente:

• desligue todos os serviços que você não precisa
• faça backup de tudo que você precisa para reconstruir seu servidor e teste backups regularmente
• siga o princípio do menor privilégio
• atualize seus serviços, principalmente em relação às atualizações de segurança
• não use credenciais padrão

Espero que isto ajude!