Сервер взломан/используется для добычи биткоинов — как это остановить?

Question 1

Я бы сначала заблокировал подключение к внешним адресам с помощью iptables

iptables -A OUTPUT -d IP_Address -j DROP

Убедившись, что все IP-адреса заблокированы, сохраните iptables: # /sbin/service iptables saveзатем удалите файлы, размещенные злоумышленником.

Возможно, вам стоит взглянуть на него /etc/var/log/messagesи /etc/var/log/secureпосмотреть, нет ли каких-либо записей, оставленных злоумышленником, которые могли бы указать на то, как он/она мог закрепиться на вашем сервере.

Если у вас есть веб-сайт, убедитесь, что на нем нет веб-страниц, позволяющих пользователям загружать файлы, например оболочки PHP.

Это должно помочь вам начать. Вы также можете попросить своего хостинг-провайдера выполнить антивирусное сканирование, чтобы найти любые скрипты/файлы, которые разрешают доступ.

Answer

Я бы сначала заблокировал подключение к внешним адресам с помощью iptables

iptables -A OUTPUT -d IP_Address -j DROP

Убедившись, что все IP-адреса заблокированы, сохраните iptables: # /sbin/service iptables saveзатем удалите файлы, размещенные злоумышленником.

Возможно, вам стоит взглянуть на него /etc/var/log/messagesи /etc/var/log/secureпосмотреть, нет ли каких-либо записей, оставленных злоумышленником, которые могли бы указать на то, как он/она мог закрепиться на вашем сервере.

Если у вас есть веб-сайт, убедитесь, что на нем нет веб-страниц, позволяющих пользователям загружать файлы, например оболочки PHP.

Это должно помочь вам начать. Вы также можете попросить своего хостинг-провайдера выполнить антивирусное сканирование, чтобы найти любые скрипты/файлы, которые разрешают доступ.

Question 2

Ваши боты-майнеры не подключаются, поэтому он снова и снова запускает эксплойт и загружает майнеры.

Недавно мы увидели попытку эксплуатации неверных настроек cgi-bin, которая выглядит связанной.

Он пытался загрузить

74.208.228.113 / a

и выполнить его как скрипт оболочки.

Этот скрипт делает несколько вещей, когда мы его рассмотрели, он стер запись в crontab и заменил ее попыткой запустить скрипт, извлеченный из

74.208.228.113 / update

Он также помещает тот же скрипт в /etc/cron.hourly

Этот скрипт делает 'ps x' и greps для успешного подключения майнера. Если он его не видит, он снова загружает скрипт и перезапускается.

В самом конце скрипта он захватывает

74.208.228.113 / clamav

и

74.208.228.113 / sh

которые выглядят как по-разному скомпилированные версии minerd. Он переименовывает clamav в bash, а затем запускает оба майнинга на 216.230.103.42.

Итак, если вас эксплуатировали подобным образом, вам необходимо:

отключить cgi-bin
проверьте crontab на предмет того, какой пользователь запускает httpd (вероятно, root или apache) и удалите запись «update»
Проверьте /etc/cron.hourly/ на наличие файла с именем update и посмотрите, ссылается ли он на 216.230.103.42, к которому майнеры не могут подключиться. Удалите его, чтобы

Это те записи обновления, которые используют полосу пропускания. Crontab запускается раз в минуту, каждую минуту.

Однако я думаю, что лучшим ответом будет сбросить его с орбиты. Если ваш cgi-bin настроен на разрешение удаленных эксплойтов, которые запускают скрипты, нет никакой гарантии

Answer