Забыл добавить в каком состоянии был хостер, который не может защитить инфу своих клиентов - Хостинг и серверы для сайтов

Взлом 24-HOSTER Solutions

Alighieri · 2020-07-28T15:09:40.0000000Z

Здравствуйте ув.форумчане. Как вы знаете я владелец хостинга 24-Hoster, и вчера утром в 7:20-30 по МСК был совершён взлом с целью удаления папки var/www, т.е удаление данных всех клиентов. Взломщик забыл затереть как следует за собой логи своих действий поэтому выкладываю всё тут. Логи команд /root/cpu top Эти две команды мои последние, были сделаны ночью, где то в 1 час ночи по МСК. Дальше идут команды взломщика. cat /proc/cpuinfo cd /var/www ls | wc -l ls cd himiko ls mc ls /dev cd ~ ls mc exit mount -l ls /var/lib/nfs/rpc_pipefs ls /var/lib/nfs/rpc_pipefs/mount/ ls /var/lib/nfs/rpc_pipefs/nfs/ rm -rf /var/www* hdparm --make-bad-sector fdisk /dev/sda Лог входов под аккаунтом root Aug 20 07:18:48 Kinolive sshd[11697]: Accepted password for root from 221.206.16 4.123 port 56137 ssh2 Aug 20 07:18:48 Kinolive sshd[11697]: pam_unix(sshd:session): session opened for user root by (uid=0) Aug 20 07:22:06 Kinolive sshd[11697]: pam_unix(sshd:session): session closed for user root Aug 20 07:22:29 Kinolive sshd[12093]: Accepted password for root from 221.206.16 4.123 port 53040 ssh2 Aug 20 07:22:29 Kinolive sshd[12093]: pam_unix(sshd:session): session opened for user root by (uid=0) Aug 20 07:22:31 Kinolive sshd[12093]: pam_unix(sshd:session): session closed for user root Aug 20 07:27:23 Kinolive sshd[12493]: Accepted publickey for root from 221.206.1 64.123 port 39402 ssh2 Aug 20 07:27:23 Kinolive sshd[12493]: pam_unix(sshd:session): session opened for user root by (uid=0) Aug 20 07:29:52 Kinolive sshd[12726]: Accepted publickey for root from 221.206.1 64.123 port 39404 ssh2 Aug 20 07:29:52 Kinolive sshd[12726]: pam_unix(sshd:session): session opened for user root by (uid=0) Aug 20 07:37:27 Kinolive sshd[12493]: pam_unix(sshd:session): session closed for user root IP взломщика на момент входа 221.206.164.123 Имя компьютера : artemz@artemz-laptop Теперь смотрим этот пост внимательно /ru/forum/503470 .

[Удален]

21 августа 2010, 12:06

#81

Ок, имеем недоделаного хостера, который не может защитить инфу своих клиентов. Но заяву "куда надо" он хоть догадался уже написать, или на форумах хостинг будет восстанавливать? 😎

AD

0

AlDemin

21 августа 2010, 12:10

#82

Опять же смотрите, человек дважды вошел по паролю, добавил свой ключ, потом дважды вошел по ключу, потом оставив ключ как улику удалился.

Спрашивается, зачем был нужен ключ? ему что, было лень пароль еще пару раз набрать? Что то у меня это не укладывается в логику разума.

Но вот такая резкость в переписке: "я ничего не ломал и точка" с точки психологии говорит о его причастности.

Как не потерять свои Ломаем стандарты медиа-аутрич: формула SEO глазами клиента чему

560

Himiko

21 августа 2010, 12:11

#83

AlDemin:
Опять же смотрите, человек дважды вошел по паролю, добавил свой ключ, потом дважды вошел по ключу, потом оставив ключ как улику удалился.
Спрашивается, зачем был нужен ключ? ему что, было лень пароль еще пару раз набрать? Что то у меня это не укладывается в логику разума.
Но вот такая резкость в переписке: "я ничего не ломал и точка" с точки психологии говорит о его причастности.

Я уже писал вариант. Пароль мог сменить хостер, если бы догадался или просто планово. А ключ - это второй вариант входа, если пароль сменят.

Если бы он убрал явное упоминание о компьютере из ключа, то искали бы "ветра в поле". Возможно не увидел это или банально поторопился. Может сервер просто стал не доступен из-за его действий и не получилось удалить ключ.

Профессиональное администрирование серверов (https://systemintegra.ru). Круглосуточно. Отзывы (/ru/forum/834230) Лицензии (http://clck.ru/Qhf5) ISPManager,VDSManager,Billmanager e.t.c. по низким ценам.

Менеджер паролей в Яндекс.Браузере Яндекс усилил защиту аккаунтов Яндекс браузер тестирует новый

-S

1354

-= Serafim =-

21 августа 2010, 12:12

#84

zagred:
Но заяву "куда надо" он хоть догадался уже написать, или на форумах хостинг будет восстанавливать?

Alighieri:
Ну теперь спокойно можете посадить его.

Alighieri:
Я готов не доводить дело до суда, если вы, уважаемый Артём Жирков, свяжитесь со мной и возместите убытки, а так же принесёте публичные извинения моим клиентам.

Человек просто создал тему потрепаться.

50

Alighieri

21 августа 2010, 12:14

#85

-= Serafim =-, Вы для начала перечитайте тему

Я лишь заявил только это

Я готов не доводить дело до суда, если вы, уважаемый Артём Жирков, свяжитесь со мной и возместите убытки, а так же принесёте публичные извинения моим клиентам.

Как вариант, предполагал, что ArtemZ не захочет доводить дело до суда. Было бы проще договориться без него.

-= Serafim =-:
Сообщение от Alighieri
Ну теперь спокойно можете посадить его.

/ru/forum/comment/7471986 не мой пост

Арендую VPS у королевского хостинга (http://kinghosting.ru) Работаю с трафиком RU, Adult.

Суд в США дал Profi.ru заявил, что не В Яндекс.Почте появится платный

-S

1354

-= Serafim =-

21 августа 2010, 12:16

#86

Alighieri:
Я готов не доводить дело до суда, если вы, уважаемый Артём Жирков, свяжитесь со мной и возместите убытки, а так же принесёте публичные извинения моим клиентам.

Ну написали бы ему, здесь это кому надо? Или ждете, что он в теме извиниться и пристыдится?

OS

46

Oleg_ST

21 августа 2010, 12:17

#87

Простите что опять встреваю, забыл добавить в каком состоянии был сервер. При загрузке с LiveCD диски выглядели девственно чистыми, были снесены все разделы...

258

Alex91

21 августа 2010, 12:18

#88

Oleg_ST, простите что встреваю. объясните темноте, откуда логи? :)

C Уважением, Алексей

560

Himiko

21 августа 2010, 12:19

#89

Oleg_ST:
Простите что опять встреваю, забыл добавить в каком состоянии был сервер. При загрузке с LiveCD диски выглядели девственно чистыми, были снесены все разделы...

Кстати, вот ещё вариант.

Возможно злоумышленник и не чистил следы, т.к. был уверен, что на дисках ничего не останется и не восстановится.

OS

46

Oleg_ST

21 августа 2010, 12:20

#90

Alex91:
Oleg_ST, простите что встреваю. объясните темноте, откуда логи? :)

Удаленные fdisk'ом разделы можно восстановить, возможно, не все об этом знают...

В 2023 году 36,9% всех DDoS-атак пришлось на сферу финансов

Маркетинг для шоколадной фабрики. На 34% выше средний чек

Взлом 24-HOSTER Solutions