Forum Debian Users Gang

gutk · 2015-03-30 14:26:52

Witam,

Na jednym małym serwerze zauważyłem dziwną rzecz.. w katalogu / pojawiają się dziwne pliki 3503.rar 3502.rar i bardzo wymownie brzmiący plik o nazwie 'fuck'. Czytałem, że serwer mógł zostać zhakowany do DDOS ale przejrzałem logi i prócz crona i mnie nic tam nie znalazłem, czy jest jakiś sposób na wykrycie co to powoduje? Daty plików są sprzed roku.. nie wiem co dalej z tym robić, mógłbym napisać skrypt co to będzie usuwał ale nie w tym rzecz, przeskanowałem czy są wirusy i rootkity nic nie wyszło, pozmieniałem hasła boty są blokowane przez fail2ban choć czytałem na forum o lepszych mechanizmach planuje zablokować ruch z azji, afryki i innych. Na ten moment nic się nie dzieje ale nie wiem czy na tym serwerze mogę coś wrzucać poważniejszego, monitoruje ruch sieci.. co sugerujecie jeszcze posprawdzać?

uzytkownikubunt · 2015-03-30 14:35:36

1809

Ostatnio edytowany przez uzytkownikubunt (2016-12-01 01:15:02)

Jacekalex · 2015-03-30 14:52:55

gutk napisał(-a):
Witam,

Na jednym małym serwerze zauważyłem dziwną rzecz.. w katalogu / pojawiają się dziwne pliki 3503.rar 3502.rar i bardzo wymownie brzmiący plik o nazwie 'fuck'. Czytałem, że serwer mógł zostać zhakowany do DDOS ale przejrzałem logi i prócz crona i mnie nic tam nie znalazłem, czy jest jakiś sposób na wykrycie co to powoduje? Daty plików są sprzed roku.. nie wiem co dalej z tym robić, mógłbym napisać skrypt co to będzie usuwał ale nie w tym rzecz, przeskanowałem czy są wirusy i rootkity nic nie wyszło, pozmieniałem hasła boty są blokowane przez fail2ban choć czytałem na forum o lepszych mechanizmach planuje zablokować ruch z azji, afryki i innych. Na ten moment nic się nie dzieje ale nie wiem czy na tym serwerze mogę coś wrzucać poważniejszego, monitoruje ruch sieci.. co sugerujecie jeszcze posprawdzać?

Failban?

Jak trzymasz niewspierany system, czy go nie aktualizujesz regularnie, do tego pewnie domyślnie puszczasz np Apacha czy Nginxa jako root (to zachowanie domyślne w systemie), do tego trzymasz może Proftpd bez szyfrowania, ale z dostępem do konta root (a może i sławnym backdoorem), i nie zabezpieczyłeś choćby poszczególnych usług nawet najprostszym systemem ACL, to możesz albo się nauczyć, jak się stawia bezpieczne serwery, albo się zająć polityką, bo do adminki serwerami internetowymi coś jednak trzeba umieć, i "czaić bazę".

I żaden Failban ani antywirus nie gwarantuje bez bezpiecznego systemu, a DDOS to wcale nie jest najgorszy atak, jaki może się serwerowi przytrafić.

Powinieneś dokładnie zaorać ten system na serwerze, i postawić go od zera, tym razem porządnie i starannie.

To by było na tyle
;-)

Ostatnio edytowany przez Jacekalex (2015-03-30 15:02:54)

gutk · 2015-03-30 17:49:09

Dziękuję za tak szybkie odpowiedzi :)

1. Reinstalacja systemu - formatowanie DBAN dla pewności :P, rozumiem skuteczne i dziecinnie proste i to też mi przyszło do głowy

Doceniam waszą "troskę" ale ta maszyna nie przechowuje strategicznie istotnych rzeczy, jeżeli to padnie to nikt na świecie nie ucierpi (może jedynie chińskie boty które permanentnie próbują się zalogować :)

to możesz albo się nauczyć, jak się stawia bezpieczne serwery, albo się zająć polityką

ja już jestem w partii

antywirus nie gwarantuje bez bezpiecznego systemu

oczywiście, że nie ale pomyślałem, że przeskanowanie nie zaszkodzi, rootkita, backdoora też nie znalazłem - jeżeli macie jakieś inne sprawdzone patenty na wyszukiwanie wszelkich anomalii w systemie to proszę o rady na ten moment to mi przyszło do głowy

uzytkownikubunt · 2015-03-30 17:55:19

1811

Ostatnio edytowany przez uzytkownikubunt (2016-12-01 01:15:04)

gutk · 2015-03-30 20:39:29

Jak ktoś ci uruchomi serwer stron www, wrzuci np zakazaną prawem pornografię i wystawi to wszystko w necie

Błagam was... zwłaszcza, że serwer jest za NATem praktycznie go nie widać z sieci ale haker pootwiera porty na routerze zainstaluje apache skonfiguruje domeny i wrzuci porno content na serwer gdzie upload jest wycięty do 10kb/s jeszcze w taki sposób, że tego nie zobaczę..zwłaszcza, że monitoruje go prawie non stop

Proszę nie piszcie jaki to jestem zły i nie dobry bo nie aktualizuje systemu (nie wiem skąd ten wniosek).. nie o tym chciałem pisać

Może ktoś spotkał się u siebie albo gdzieś albo walczył (inaczej niż poprzez zaoranie całości) z Linux/XOR.DDoS Podaje linka do bloga
http://blog.malwaremustdie.org/2014/09/mmd-0028-201 … ew-china.html

.. po kilku dniach serwer nie umarł.. ale zaczął dodawać użytkowników i modyfikował shadow - głównie próby wysyłania spamu, wg niektórych źródeł tego nie da się naprawić.. choć po zmianie uprawnień usunięciu tego co wirus zaczął robić, reboocie poza bałaganem wszystko działa - ja to usuwam totalnie niestety clamav i rootkit hunter nie są skuteczne

pozdrawiam

Ostatnio edytowany przez gutk (2015-04-08 09:18:24)

bobycob · 2015-04-23 09:15:48

Na działającym systemie raczej się nie dowiesz co się działo.
Pierwsza rzecz którą mogłeś zrobić to zrzucanie na innej maszynie ruchu do tego serwera - choćby proste net flow, aby zobaczyć co i na jakim porcie się łączy.
Druga rzecz, jeśli rzeczywiście jest rootkit, to może być trudno narzędziami systemowymi go znaleźć.
Czyli wyłączasz maszynę, podmontowujesz gdzieś system plików i tam przeglądasz. Wtedy jest szansa, że dojdziesz co się działo.

Forum Debian Users Gang

Ogłoszenie

#1 2015-03-30 14:26:52

gutk - Użytkownik

Zainfekowany serwer - dziwne pliki pojawiające się w /

#2 2015-03-30 14:35:36

uzytkownikubunt - Zbanowany

Re: Zainfekowany serwer - dziwne pliki pojawiające się w /

#3 2015-03-30 14:52:55

Jacekalex - Podobno człowiek...;)

Re: Zainfekowany serwer - dziwne pliki pojawiające się w /

gutk napisał(-a):

#4 2015-03-30 17:49:09

gutk - Użytkownik

Re: Zainfekowany serwer - dziwne pliki pojawiające się w /

#5 2015-03-30 17:55:19

uzytkownikubunt - Zbanowany

Re: Zainfekowany serwer - dziwne pliki pojawiające się w /

#6 2015-03-30 20:39:29

gutk - Użytkownik

Re: Zainfekowany serwer - dziwne pliki pojawiające się w /

#7 2015-04-23 09:15:48

bobycob - Członek z Ramienia

Re: Zainfekowany serwer - dziwne pliki pojawiające się w /

Stopka forum