Третий день в Сети наблюдается массовый взлом серверов на базе Linux. Имеется подозрение, что атака совершается через неисправленную 0-day уязвимость в одном из доступных по сети сервисов. Среди взломанных систем отмечаются серверы на базе CentOS и другие дистрибутивы на основе пакетной базы RHEL 5 и 6, на которых установлены все доступные обновления. На многих взломанных системах используются панели управления cPanel, DirectAdmin, ISP config и Plesk, но пока не ясно могут ли они быть источником проникновения.
В результате атаки в системе неизвестным образом появляется файл /lib64/libkeyutils.so.1.9 (для 32-разрядных систем /lib/libkeyutils.so.1.9). После взлома процесс sshd начинает устанавливать подозрительные соединения: при входе на взломанный сервер по ssh, по протоколу UDP осуществляется отправка данных о введённых логине и пароле на 53 порт внешнего хоста. Кроме того, на сервер размещается код для участие в ботнете, используемом для рассылки спама и возможно для совершения дальнейших атак.
Маловероятно, что вектор атаки связан с недавно обсуждаемой уязвимостю в ядре Linux (CVE-2013-0871), кроме всего прочего выявлены случаи взлома изолированного окружения, построенного на базе дистрибутива CloudLinux с включенным CageFS (при использовании CageFS маловероятна эксплуатация уязвимости в ядре для повышения привилегий). Среди атакованных систем также отмечаются серверы с системой обновления ядра ksplice и серверы с sshd на нестандартном порту. Связанная со взломом активность была почищена из логов, но одному из пользователей удалось при помощи snoopy проанализировать действия злоумышленника, установившего бэкдор и почистившего логи.
Для выявления факта взлома своей системы достаточно проверить наличие библиотеки /lib64/libkeyutils.so.1.9, не связанной ни с одним установленным пакетом (для 64-разрядных систем: ls -la /lib64/libkeyutils.so.1.9; rpm -qf /lib64/libkeyutils.so.1.9, для 32-разрядных: ls -la /lib/libkeyutils.so.1.9;rpm -qf /lib/libkeyutils.so.1.9).
Источник »
Главная ссылка к новости »
LinuxForum.Fans
В Сети зафиксирован массовый взлом серверов на базе Linux
Автор: Lupo_Alberto
25 сообщений
5016 просмотров
Отсюда старая как мир простая рекомендация - не выставляй своих серверов в Интернет непосредственно. Всегда используй для этого простенький шлюзик-роутер, который обучен прокидывать на твой сервер трафик только по определенным портам. И если надо управлять серверами ремутно - криптографически защищенная VPN.
Поставил denyhosts и включил синхронизацию с http://denyhosts.sourceforge.net/
:)
Я, может, и нуб, но все же...если взлом имел место быть, то как они обошли ввод рутовского пароля без брутфорса?
Я, может, и нуб, но все же...если взлом имел место быть, то как они обошли ввод рутовского пароля без брутфорса?
Одной из вариаций исполнения своего кода, передаваемого на "стеке" команд программе, которая запущена от рута. То есть тем или иным способом спровоцировали рутовый процесс исполнить атакующую команду.
Нашел три файла у себя на сервере:
text
# find / -name "libkeyutils*"
/lib/libkeyutils.so.1.3
/lib/libkeyutils.so.1
/usr/lib/libkeyutils.soМеня взломали?)
Меня взломали?)
Для выявления факта взлома своей системы достаточно проверить наличие библиотеки /lib64/libkeyutils.so.1.9, не связанной ни с одним установленным пакетом (для 64-разрядных систем: ls -la /lib64/libkeyutils.so.1.9; rpm -qf /lib64/libkeyutils.so.1.9, для 32-разрядных: ls -la /lib/libkeyutils.so.1.9;rpm -qf /lib/libkeyutils.so.1.9).
Ясно, такого нет =)
Это я просто по тролил)
ахренеть...
У меня на домашнем компе и на рабочем компе вчера и позавчера выскакивало сообщение от фаерволл "Атака на сканирование портов"
Связано ли с этой новостью? Или это касается определённых серверов. Извините за тупой попрос :)
У меня на домашнем компе и на рабочем компе вчера и позавчера выскакивало сообщение от фаерволл "Атака на сканирование портов"
Связано ли с этой новостью? Или это касается определённых серверов. Извините за тупой попрос :)
Сканируют всех. Потрать тыщи две от силы, поставь между своим домашним компом интернетом роутер и забудь об этом сканиовании. А вот по рабочему компьютеру... Здесь надо драть вашего системного администратора. В нормальной сети сканировать чужие порты некому.
У меня на работе один мой комп, интернет usb модем :) В моей сфере нет системных администраторов , я автоэлектрик.
Мне просто стало интересно, так как ранее Атаки на сканирование портов я не наблюдал.
У меня на работе один мой комп, интернет usb модем :) В моей сфере нет системных администраторов , я автоэлектрик.
Мне просто стало интересно, так как ранее Атаки на сканирование портов я не наблюдал.
Сканируют всех. Это просто вопрос времени, когда очередь подойдет. Ищут открытые порты, найдя, например, живой 22-й, пытаются зайти рутом с каким либо тривиальным паролем...
Моя рекомендация - купить простенький роутер и поставить его между компом и интернет-модемом. Ну и минимально мастроить экран на этом роутере. Тогда добраться до твоего компьютера будет намного сложнее.
Фаервол для сетевых атак создан? Или не стоит ему доверять?Я думал что система железная и системе ничего не грозит, а тут получается система уязвимая. Это мне не нравится. Роутер не стоит, да и ставить не буду, в моём компе полезного ничего нет.
revdep-rebuild по идее должен на libkeyutils.so.1.9 выругаться.
evdep-rebuild по идее должен на libkeyutils.so.1.9 выругаться.
А по-моему нет, ведь revdep-rebuild проверяет лишь наличие библиотек, контрольные суммы не проверяет.
А по-моему нет, ведь revdep-rebuild проверяет лишь наличие библиотек, контрольные суммы не проверяет.
Я столкнулся случайно, (эксперименты с canon) закинув из deb пакета библиотеки в систему, revdep-rebuild их быстро нашёл на предмет чо такое?
revdep-rebuild их быстро нашёл на предмет чо такое?
Возможно, он ждал «родную» библиотеку той же версии.
Возможно, он ждал «родную» библиотеку той же версии.
"Родных" вообще не было те пакет не был установлен.
Войдите или зарегистрируйтесь, чтобы ответить.
