SSH แปลก ๆ ความปลอดภัยของเซิร์ฟเวอร์ฉันอาจถูกแฮก

ฉันไม่แน่ใจว่าฉันถูกแฮ็กหรือไม่

ฉันพยายามล็อคอินผ่าน SSH และไม่ยอมรับรหัสผ่านของฉัน การเข้าสู่ระบบรูทถูกปิดการใช้งานดังนั้นฉันจึงไปช่วยและเปิดใช้งานการเข้าสู่ระบบรูทและสามารถเข้าสู่ระบบในฐานะรูทได้ ในฐานะที่เป็น root ฉันพยายามที่จะเปลี่ยนรหัสผ่านของบัญชีที่ได้รับผลกระทบด้วยรหัสผ่านเดียวกันกับที่ฉันพยายามเข้าสู่ระบบมาก่อนpasswdตอบด้วย "รหัสผ่านไม่เปลี่ยนแปลง" ฉันเปลี่ยนรหัสผ่านเป็นอย่างอื่นและสามารถเข้าสู่ระบบจากนั้นเปลี่ยนรหัสผ่านกลับไปเป็นรหัสผ่านเดิมและเข้าสู่ระบบอีกครั้งได้

ฉันตรวจสอบauth.logการเปลี่ยนแปลงรหัสผ่านแล้ว แต่ไม่พบว่ามีประโยชน์อะไร

ฉันสแกนหาไวรัสและรูทคิทแล้วเซิร์ฟเวอร์ก็ส่งคืนสิ่งนี้:

ClamAV:

"/bin/busybox Unix.Trojan.Mirai-5607459-1 FOUND"

rkhunter สำหรับแพลตฟอร์มวินโดวส์:

"/usr/bin/lwp-request Warning: The command '/usr/bin/lwp-request' has been replaced by a script: /usr/bin/lwp-request: a /usr/bin/perl -w script, ASCII text executable

Warning: Suspicious file types found in /dev:"

ควรสังเกตว่าเซิร์ฟเวอร์ของฉันไม่เป็นที่รู้จักอย่างกว้างขวาง ฉันยังเปลี่ยนพอร์ต SSH และเปิดใช้งานการยืนยันแบบสองขั้นตอน

ฉันเป็นห่วงฉันถูกแฮ็คและมีคนพยายามหลอกฉันว่า "ทุกอย่างเรียบร้อยดีไม่ต้องกังวลกับมัน"

เช่นเดียวกับ J Rock ฉันคิดว่านี่เป็นสิ่งที่ผิด ฉันมีประสบการณ์เดียวกัน

ฉันได้รับการเตือนภัยจากเซิร์ฟเวอร์ที่แตกต่างกัน 6 เซิร์ฟเวอร์ที่แยกจากกันในเชิงภูมิศาสตร์ในช่วงเวลาสั้น ๆ 4 ของเซิร์ฟเวอร์เหล่านี้มีอยู่ในเครือข่ายส่วนตัวเท่านั้น สิ่งหนึ่งที่พวกเขามีเหมือนกันคือการอัพเดทรายวันล่าสุด

ดังนั้นหลังจากตรวจสอบการวิเคราะห์พฤติกรรมโดยทั่วไปของโทรจันนี้ไม่ประสบความสำเร็จฉันก็บูตกล่องคนจรจัดที่มีพื้นฐานการทำความสะอาดที่รู้จักและวิ่ง Freshclam สิ่งนี้คว้า

"Daily.cld เป็นรุ่นล่าสุด (เวอร์ชัน: 22950, ​​sigs: 1465879, ระดับ f: 63, ตัวสร้าง: ใหม่)"

การclamav /bin/busyboxแจ้งเตือน "/ bin / busybox Unix.Trojan.Mirai-5607459-1 FOUND" ที่เหมือนกันกลับมาแจ้งเตือนบนเซิร์ฟเวอร์ดั้งเดิม

สุดท้ายสำหรับมาตรการที่ดีผมยังไม่ได้ทำกล่องจรจัดจากเจ้าหน้าที่ของ Ubuntu กล่องและยังมีเดียวกัน "/ bin / busybox Unix.Trojan.Mirai-5607459-1 พบ" (หมายเหตุผมต้องขึ้นหน่วยความจำในกล่องนี้คนจรจัด จาก 512MB หรือ clamscan ที่เป็นค่าเริ่มต้นล้มเหลวด้วย 'kill')

เอาท์พุทเต็มรูปแบบจาก Ubuntu สด 14.04.5 กล่องคนจรจัด

root@vagrant-ubuntu-trusty-64:~# freshclam
ClamAV update process started at Fri Jan 27 03:28:30 2017
main.cvd is up to date (version: 57, sigs: 4218790, f-level: 60, builder: amishhammer)
daily.cvd is up to date (version: 22950, sigs: 1465879, f-level: 63, builder: neo)
bytecode.cvd is up to date (version: 290, sigs: 55, f-level: 63, builder: neo)
root@vagrant-ubuntu-trusty-64:~# clamscan /bin/busybox
/bin/busybox: Unix.Trojan.Mirai-5607459-1 FOUND

----------- SCAN SUMMARY -----------
Known viruses: 5679215
Engine version: 0.99.2
Scanned directories: 0
Scanned files: 1
Infected files: 1
Data scanned: 1.84 MB
Data read: 1.83 MB (ratio 1.01:1)
Time: 7.556 sec (0 m 7 s)
root@vagrant-ubuntu-trusty-64:~#

ดังนั้นฉันเชื่อว่านี่น่าจะเป็นผลบวกที่ผิดพลาด

ฉันจะบอกว่า rkhunter ไม่ได้ให้การอ้างอิง: "/ usr / bin / lwp-Request Warning" ดังนั้น PhysiOS Quantum อาจมีปัญหามากกว่าหนึ่งเรื่อง

แก้ไข: เพิ่งสังเกตเห็นว่าฉันไม่เคยพูดอย่างชัดเจนว่าเซิร์ฟเวอร์เหล่านี้ทั้งหมดเป็น Ubuntu 14.04 รุ่นอื่น ๆ อาจแตกต่างกันไป?

ลายเซ็น ClamAV สำหรับ Unix.Trojan.Mirai-5607459-1 นั้นกว้างเกินไปแน่นอนดังนั้นมันจึงเป็นผลบวกที่ผิดพลาดตามที่ J Rock และ cayleaf ตั้งข้อสังเกต

ตัวอย่างเช่นไฟล์ใด ๆ ที่มีคุณสมบัติต่อไปนี้ทั้งหมดจะตรงกับลายเซ็น:

• มันเป็นไฟล์เอลฟ์;
• มันมีสตริง "สุนัขเฝ้าบ้าน" ว่าสองครั้ง;
• มันมีสตริง "/ proc / self" อย่างน้อยหนึ่งครั้ง
• มันมีสตริง "busybox" อย่างน้อยหนึ่งครั้ง

(ลายเซ็นทั้งหมดนั้นซับซ้อนกว่าเล็กน้อย แต่เงื่อนไขข้างต้นเพียงพอสำหรับการแข่งขัน)

ตัวอย่างเช่นคุณสามารถสร้างไฟล์ดังกล่าวด้วย:

$ echo 'main() {printf("watchdog watchdog /proc/self busybox");}' > innocent.c
$ gcc -o innocent innocent.c
$ clamscan --no-summary innocent
innocent: Unix.Trojan.Mirai-5607459-1 FOUND

การสร้าง busybox ใด ๆ (บน Linux) มักจะตรงกับคุณสมบัติสี่อย่างที่ฉันระบุไว้ด้านบน เห็นได้ชัดว่าเป็นไฟล์ ELF และแน่นอนจะมีสตริง "busybox" หลายครั้ง มันรัน "/ proc / self / exe"เพื่อเรียกใช้แอปเพล็ตบางอย่าง ในที่สุด "watchdog" เกิดขึ้นสองครั้ง: หนึ่งครั้งเป็นชื่อแอปเพล็ตและอีกครั้งหนึ่งในสตริง "/var/run/watchdog.pid"

สิ่งนี้เพิ่งปรากฏขึ้นในวันนี้สำหรับฉันเช่นกันในการสแกน ClamAV ของฉันสำหรับ / bin / busybox ฉันสงสัยว่าฐานข้อมูลที่อัปเดตมีข้อผิดพลาดหรือไม่

ฉันพยายามเข้าสู่ระบบผ่าน SSH และไม่ยอมรับรหัสผ่านของฉัน การเข้าสู่ระบบรูทถูกปิดการใช้งานดังนั้นฉันจึงไปช่วยและเปิดใช้งานการเข้าสู่ระบบรูทและสามารถเข้าสู่ระบบในฐานะรูทได้ ในฐานะที่เป็น root ฉันพยายามที่จะเปลี่ยนรหัสผ่านของบัญชีที่ได้รับผลกระทบด้วยรหัสผ่านเดียวกันกับที่ฉันพยายามเข้าสู่ระบบก่อน passwd ตอบกลับด้วย "รหัสผ่านไม่เปลี่ยนแปลง" ฉันเปลี่ยนรหัสผ่านเป็นอย่างอื่นและสามารถเข้าสู่ระบบจากนั้นเปลี่ยนรหัสผ่านกลับไปเป็นรหัสผ่านเดิมและเข้าสู่ระบบอีกครั้งได้

ดูเหมือนว่ารหัสผ่านหมดอายุ การตั้งค่ารหัสผ่าน (สำเร็จ) โดยรูทจะรีเซ็ตนาฬิกาหมดอายุรหัสผ่าน คุณสามารถตรวจสอบ / var / log / ปลอดภัย (หรืออะไรก็ตามที่เทียบเท่ากับ Ubuntu) และค้นหาสาเหตุที่รหัสผ่านของคุณถูกปฏิเสธ