अजीब एसएसएच, सर्वर सुरक्षा, मुझे हैक किया गया हो सकता है

30

मुझे यकीन नहीं है कि मुझे हैक किया गया है या नहीं।

मैंने SSH के माध्यम से लॉग इन करने की कोशिश की और यह मेरा पासवर्ड स्वीकार नहीं करेगा। रूट लॉगिन अक्षम है इसलिए मैं बचाव में गया और रूट लॉगिन चालू किया और रूट के रूप में लॉग इन करने में सक्षम था। रूट के रूप में, मैंने प्रभावित खाते के पासवर्ड को उसी पासवर्ड से बदलने की कोशिश की जिसके साथ मैंने पहले लॉग इन करने की कोशिश की थी, passwd"पासवर्ड अपरिवर्तित" के साथ उत्तर दिया। मैंने तब पासवर्ड को किसी और चीज़ में बदल दिया और लॉग इन करने में सक्षम था, फिर पासवर्ड को मूल पासवर्ड में बदल दिया और मैं फिर से लॉग इन करने में सक्षम हो गया।

मैंने auth.logपासवर्ड परिवर्तन के लिए जाँच की लेकिन कुछ उपयोगी नहीं मिला।

मैंने वायरस और रूटकिट्स के लिए स्कैन किया और सर्वर ने इसे वापस कर दिया:

ClamAV:

"/bin/busybox Unix.Trojan.Mirai-5607459-1 FOUND"

RKHunter:

"/usr/bin/lwp-request Warning: The command '/usr/bin/lwp-request' has been replaced by a script: /usr/bin/lwp-request: a /usr/bin/perl -w script, ASCII text executable

Warning: Suspicious file types found in /dev:"

यह ध्यान दिया जाना चाहिए कि मेरा सर्वर व्यापक रूप से ज्ञात नहीं है। मैंने SSH पोर्ट भी बदला है और 2-चरणीय सत्यापन सक्षम किया है।

मुझे लगा कि मैं हैक हो गया हूं और कोई मुझे बेवकूफ बनाने की कोशिश कर रहा है, "सब कुछ ठीक है, इसके बारे में चिंता मत करो"।

— फिजियोथेरेपिस्ट
स्रोत

10

माइकल से सहमत। मिराई जैसे लगता है कि ब्रूट-फोर्स पासवर्ड का उपयोग करने के लिए लिनक्स मेजबानों से समझौता करने का अनुमान लगाया जाता है - incapsula.com/blog/malware-analysis-mirai-ddos-botnet.html । सार्वजनिक कुंजी प्रमाणीकरण का उपयोग करना सुरक्षा उद्देश्यों के लिए SSH पोर्ट को बदलने से बेहतर होगा।

— जोश मोरेल

3

@ जोशमोरेल मैं आगे जाकर कहूंगा कि एसएसएच पोर्ट को बदलना सुरक्षा के लिए हानिकारक है। यह कुछ भी सुरक्षित रखने में मदद नहीं करता है, लेकिन जो लोग इसे गलत तरीके से करते हैं वे अधिक सुरक्षित महसूस करते हैं। इसलिए, वास्तव में अधिक सुरक्षित होने के बिना अधिक सुरक्षित महसूस करने से वे पहले से भी बदतर हो गए हैं। इसके अलावा, मैं कहूँगा कि pubkey Cort केवल बेहतर नहीं है, बल्कि एक होना चाहिए।

— मार्सेलम

10

"... यह मेरा पासवर्ड स्वीकार नहीं करेगा ... इसने उत्तर दिया" पासवर्ड अपरिवर्तित "... पासवर्ड को किसी और चीज़ में बदलने के बाद मैं लॉगिन करने में सक्षम था, मैंने पासवर्ड को वापस वही बदल दिया जो यह था और मैं अभी भी सक्षम था लॉग इन करने के लिए।" - बचाव उपयोगकर्ता के पास जाने से पहले आपको अपने पासवर्ड में टाइपोस (या कैप्स लॉक होने) के बारे में बताया जा सकता है।

— मार्सेलम

2

क्लैमव द्वारा बिजीबॉक्स ट्रोजन डिटेक्शन, मेरे साथ भी हुआ, आज सुबह पहली बार, ~ 100 सिस्टम में; मैं गलत सकारात्मक मतदान कर रहा हूँ। मुझे लगता है कि clamav ने अपने sig डेटाबेस को अपडेट कर दिया है ताकि यह झूठी सकारात्मक शुरुआत कल रात रात भर दिखाई दे

— JDS

2

संयोग से, इन सिस्टमों पर मेरे बिजीबॉक्स का sha256 हैशसम 7fa3a176871de12832ca8a78b646bc6be92f7f5f528ee81d1c35bf121299992b1cc है। ये ubuntu 14.04 सिस्टम हैं, और बिजीबॉक्स बिन पर माइम 2013-11-14 है

— JDS

30

जे रॉक की तरह, मुझे लगता है कि यह एक झूठी सकारात्मक है। मेरा भी ऐसा ही अनुभव है।

मुझे थोड़े समय में 6 अलग, अलग, भौगोलिक रूप से अलग किए गए सर्वरों से एक अलार्म मिला। इनमें से 4 सर्वर केवल एक निजी नेटवर्क पर मौजूद थे। एक चीज जो उनके पास सामान्य थी, वह हाल ही में किया गया एक दैनिक अद्यतन था।

इसलिए, इस ट्रोजन की कुछ विशिष्ट उत्तराधिकारियों के लिए सफलता के बिना जाँच करने के बाद, मैंने अपने परिचित क्लीन बेसलाइन के साथ एक योनि बॉक्स को बूट किया और फ्रेशक्लाम चला। इसने हड़प लिया

"डेली.cld अप टू डेट (संस्करण: 22950, sigs: 1465879, f-level: 63, builder: neo)"

बाद clamav /bin/busyboxमें मूल सर्वर पर "/ बिन / बिजीबॉक्स Unix.Trojan.Mirai-5607459-1 FOUND" अलर्ट लौटा दिया।

अंत में, अच्छा उपाय, मैं भी उबंटू की आधिकारिक से एक आवारा बॉक्स किया बॉक्स है और यह भी एक ही "/ bin / बिजीबॉक्स Unix.Trojan.Mirai-5,607,459-1 पाया" मिल गया (ध्यान दें, मैं इस आवारा बॉक्स पर स्मृति को करना पड़ा अपने डिफ़ॉल्ट 512MB या 'हत्या' के साथ clamscan विफल)

ताजा Ubuntu 14.04.5 आवारा बॉक्स से पूर्ण उत्पादन।

root@vagrant-ubuntu-trusty-64:~# freshclam
ClamAV update process started at Fri Jan 27 03:28:30 2017
main.cvd is up to date (version: 57, sigs: 4218790, f-level: 60, builder: amishhammer)
daily.cvd is up to date (version: 22950, sigs: 1465879, f-level: 63, builder: neo)
bytecode.cvd is up to date (version: 290, sigs: 55, f-level: 63, builder: neo)
root@vagrant-ubuntu-trusty-64:~# clamscan /bin/busybox
/bin/busybox: Unix.Trojan.Mirai-5607459-1 FOUND

----------- SCAN SUMMARY -----------
Known viruses: 5679215
Engine version: 0.99.2
Scanned directories: 0
Scanned files: 1
Infected files: 1
Data scanned: 1.84 MB
Data read: 1.83 MB (ratio 1.01:1)
Time: 7.556 sec (0 m 7 s)
root@vagrant-ubuntu-trusty-64:~#

इसलिए, मेरा यह भी मानना है कि यह एक झूठी सकारात्मक संभावना है।

मैं कहूंगा, rkhunter ने मुझे नहीं दिया: "/ usr / bin / lwp-request वार्निंग" संदर्भ, इसलिए हो सकता है कि PhysiOS क्वांटम एक से अधिक अंक हो।

संपादित करें: मैंने देखा है कि मैंने कभी स्पष्ट रूप से नहीं कहा कि ये सभी सर्वर Ubuntu 14.04 हैं। अन्य संस्करण भिन्न हो सकते हैं?

— cayleaf
स्रोत

1

मैं एक pubkey के लिए अपने SSH प्रमाणीकरण को बदलने जा रहा हूं और मैं नेटवर्क कनेक्शन की निगरानी करने की कोशिश करूंगा, लेकिन ईमानदारी से यह वास्तव में अजीब है क्योंकि मैंने पासवर्ड की प्रतिलिपि भी बनाई है और इसे चिपकाया है और फिर भी इसे अस्वीकार कर दिया है। मुझे / usr / bin / lwp-request के साथ क्या करना चाहिए?

— फिजियोस

1

मुझे यह सूचना आज सुबह उबंटू 14.04 सर्वर पर भी मिली। मैंने उबंटू छवि से बनाई गई स्थानीय वीएम पर एक ही फ़ाइल में sha1sumअपने सर्वर की /bin/busyboxफ़ाइल की तुलना ( ) की है और वे समान हैं। इसलिए मैं झूठे सकारात्मक वोट देता हूं।

— agregoire

3

@PhysiOSQuantum कुछ नहीं। यह भी एक गलत सकारात्मक है - lwp-request एक पर्ल मॉड्यूल ( metacpan.org/pod/LWP ) से संबंधित एक उपकरण है , इसलिए यह एक स्क्रिप्ट के लिए बिल्कुल सामान्य है।

— डस्कवफ

45

Unix.Trojan.Mirai-5607459-1 के लिए ClamAV हस्ताक्षर निश्चित रूप से बहुत व्यापक है, इसलिए यह J रॉक और cayleaf द्वारा नोट किया गया एक गलत सकारात्मक संभावना है।

उदाहरण के लिए, किसी भी फ़ाइल में निम्नलिखित सभी गुण हैं जो हस्ताक्षर से मेल खाएंगे:

यह एक ईएलएफ फ़ाइल है;
इसमें दो बार स्ट्रिंग "वॉचडॉग" शामिल है;
इसमें कम से कम एक बार स्ट्रिंग "/ proc / self" शामिल है;
इसमें कम से कम एक बार स्ट्रिंग "बिजीबॉक्स" शामिल है।

(संपूर्ण हस्ताक्षर थोड़ा अधिक जटिल है, लेकिन उपरोक्त शर्तें एक मैच के लिए पर्याप्त हैं।)

उदाहरण के लिए, आप ऐसी फ़ाइल बना सकते हैं:

$ echo 'main() {printf("watchdog watchdog /proc/self busybox");}' > innocent.c
$ gcc -o innocent innocent.c
$ clamscan --no-summary innocent
innocent: Unix.Trojan.Mirai-5607459-1 FOUND

किसी भी व्यस्त बॉक्स का निर्माण (लिनक्स पर) आमतौर पर ऊपर सूचीबद्ध चार गुणों से मेल खाता है। यह स्पष्ट रूप से एक ईएलएफ फ़ाइल है और इसमें कई बार स्ट्रिंग "बिजीबॉक्स" निश्चित रूप से शामिल होगा। यह कुछ एप्लेट्स को चलाने के लिए "/ proc / self / exe" निष्पादित करता है । अंत में, "वॉचडॉग" दो बार होता है: एक बार एप्लेट नाम के रूप में और एक बार स्ट्रिंग के अंदर "/var/run/watchdog.pid"।

— nomadictype
स्रोत

20

जिज्ञासा से बाहर, मैं उस हस्ताक्षर और क्लैमव के अन्य लोगों को कहां पढ़ सकता हूं?

— डेलेसन जुनियो

2

मैं जानता था कि मुझसे ज्यादा स्मार्ट कोई व्यक्ति यह बता पाएगा कि यह गलत सकारात्मक क्यों था। धन्यवाद!

— cayleaf

3

@ डेलीसन जूनियो: एक खाली निर्देशिका बनाएं, इसमें सीडी जोड़ें और sigtool --unpack-current dailyरोजाना अनपैक करने के लिए दौड़ें। (या main.cvd sigtool --unpack-current mainको अनपैक करने के लिए)। यदि आप "Unix.Trojan.Mirai-5607459-1" के लिए परिणामी फाइलों को ट्रेस करते हैं, तो आपको हस्ताक्षर ढूंढने चाहिए, जो दैनिक .ldb में होता है। हस्ताक्षर प्रारूप में समझाया गया है signatures.pdf (उबंटू में ClamAV-डॉक्स पैकेज के साथ आता है)।

— खानाबदोश

6

यह अभी मेरे लिए और साथ ही मेरे ClamAV स्कैन / बिन / बिजीबॉक्स के लिए दिखाया गया है। मुझे आश्चर्य है कि अगर अद्यतन डेटाबेस में कोई त्रुटि है।

— जे रॉक
स्रोत

2

किसी भी Ubuntu 14.04 LTS पर नवीनतम ClamAV डेटाबेस के साथ स्कैन / बिन / बिजीबॉक्स। यह संक्रमित हो जाता है। यह एक गलत सकारात्मक, IMO है।

— जे रॉक

2

मैंने क्लैमव को एक झूठी सकारात्मक रिपोर्ट सौंपी। मैंने यह भी पाया कि vmware के खिलाड़ी बायनेरिज़ उसी ट्रोजन से संक्रमित दिखते हैं। संभावना है कि उन्होंने बिजीबॉक्स कोड को शामिल किया है।

— जे रॉक

4

मैंने SSH के माध्यम से लॉग इन करने की कोशिश की और यह मेरा पासवर्ड स्वीकार नहीं करेगा। रूट लॉगिन अक्षम है इसलिए मैं बचाव में गया और रूट लॉगिन चालू किया और रूट के रूप में लॉग इन करने में सक्षम था। रूट के रूप में, मैंने प्रभावित खाते के पासवर्ड को उसी पासवर्ड से बदलने की कोशिश की जिसके साथ मैंने पहले लॉग इन करने की कोशिश की थी, पासवार्ड ने "पासवर्ड अपरिवर्तित" के साथ उत्तर दिया था। मैंने तब पासवर्ड को किसी और चीज़ में बदल दिया और लॉग इन करने में सक्षम था, फिर पासवर्ड को मूल पासवर्ड में बदल दिया और मैं फिर से लॉग इन करने में सक्षम हो गया।

यह समय सीमा समाप्त पासवर्ड की तरह लगता है। रूट द्वारा पासवर्ड (सफलतापूर्वक) सेट करना पासवर्ड की समाप्ति घड़ी को रीसेट करता है। आप हो सकता है की जाँच / var / log / सुरक्षित (या जो भी उबंटू बराबर है) और यह पता लगाना क्यों अपना पासवर्ड अस्वीकार कर दिया था।

— Xalorous
स्रोत