Уильям Шекспир - Хостинг и серверы для сайтов

Взлом 24-HOSTER Solutions

Alighieri · 2020-07-28T15:09:40.0000000Z

Здравствуйте ув.форумчане. Как вы знаете я владелец хостинга 24-Hoster, и вчера утром в 7:20-30 по МСК был совершён взлом с целью удаления папки var/www, т.е удаление данных всех клиентов. Взломщик забыл затереть как следует за собой логи своих действий поэтому выкладываю всё тут. Логи команд /root/cpu top Эти две команды мои последние, были сделаны ночью, где то в 1 час ночи по МСК. Дальше идут команды взломщика. cat /proc/cpuinfo cd /var/www ls | wc -l ls cd himiko ls mc ls /dev cd ~ ls mc exit mount -l ls /var/lib/nfs/rpc_pipefs ls /var/lib/nfs/rpc_pipefs/mount/ ls /var/lib/nfs/rpc_pipefs/nfs/ rm -rf /var/www* hdparm --make-bad-sector fdisk /dev/sda Лог входов под аккаунтом root Aug 20 07:18:48 Kinolive sshd[11697]: Accepted password for root from 221.206.16 4.123 port 56137 ssh2 Aug 20 07:18:48 Kinolive sshd[11697]: pam_unix(sshd:session): session opened for user root by (uid=0) Aug 20 07:22:06 Kinolive sshd[11697]: pam_unix(sshd:session): session closed for user root Aug 20 07:22:29 Kinolive sshd[12093]: Accepted password for root from 221.206.16 4.123 port 53040 ssh2 Aug 20 07:22:29 Kinolive sshd[12093]: pam_unix(sshd:session): session opened for user root by (uid=0) Aug 20 07:22:31 Kinolive sshd[12093]: pam_unix(sshd:session): session closed for user root Aug 20 07:27:23 Kinolive sshd[12493]: Accepted publickey for root from 221.206.1 64.123 port 39402 ssh2 Aug 20 07:27:23 Kinolive sshd[12493]: pam_unix(sshd:session): session opened for user root by (uid=0) Aug 20 07:29:52 Kinolive sshd[12726]: Accepted publickey for root from 221.206.1 64.123 port 39404 ssh2 Aug 20 07:29:52 Kinolive sshd[12726]: pam_unix(sshd:session): session opened for user root by (uid=0) Aug 20 07:37:27 Kinolive sshd[12493]: pam_unix(sshd:session): session closed for user root IP взломщика на момент входа 221.206.164.123 Имя компьютера : artemz@artemz-laptop Теперь смотрим этот пост внимательно /ru/forum/503470 .

50

Alighieri

22 августа 2010, 14:50

#301

torg:
Жизнь это жизнь, а не игра в суд.

“Вся наша жизнь – игра, а люди в ней – актеры”

Заниматься лучше своим хостингом, а не разводить флуд на форуме. Было бы больше пользы своему хостингу и их клиентам после проблем.

Здесь если и разводят флуд, то другие личности, я лишь отвечаю на вопросы которые мне задают

Арендую VPS у королевского хостинга (http://kinghosting.ru) Работаю с трафиком RU, Adult.

74

seoguru

22 августа 2010, 14:51

#302

Alighieri:
Ну так и причём тут сотрудничество ?

При том что просто так сервера не фарматируют.. (удачно или не совесем с оставленными следами или без них - это уже другой вопрос).

Конечно решение каких-то вопросов подобным образом ArtemZ (простите если это чудовщное совпадение) доверия не прибавит, но всеже Вы вы скорее всего знаете причину... :)

Магазин аккаунтов с балансом Litres,DNS,Ozon,Rotapost и еще 50+ других сервисов тут - vk.cc/7QK0Sk

Google: это нормально, если Как повлиять на скорость Джон Мюллер о восстановлении

T

257

torg

22 августа 2010, 14:52

#303

Andreyka:
Все доказательства 24-HOSTER ничтожны

1. На сервер было проникновение с рутовым доступом. Кто именно проник и как он узнал пароль - неизвестно.
2. На сервере есть некоторые текстовые файлы, которые мог подделать как взломщик так и хостер.
3. Публичный ключ на то и публичный, что находится в открытом доступе, как например мой, и каждый его может скачать.

Любой адвокат сможет доказать, что 24-HOSTER фальсифицировал улики, чтоб скрыть некомпетентность своих сисадминов и подставить кого-то в качестве козла отпущения.

Одно из не многих действительно полезных сообщений в сабже.

V

105

Vanger

22 августа 2010, 14:53

#304

Еще немного про А.Жиркова

пока не имею ничего против него и не хочу его очернить. но думаю, для него было бы разумно прокомментировать это:

http://forum.nag.ru/forum/index.php?showtopic=59655&view=findpost&p=530557

Hosterbox.ru - хостинг, серверы и cloud (http://hosterbox.ru)

T

257

torg

22 августа 2010, 14:54

#305

TeXiCo:
Виноват тут сам хостер. Если дырки закрыть не мог, хотя бы бекап нормальный делал, а не "3-месячной давности". Желаю выйти из такой ситуации с минимальными потерями, но винить стоит в первую очередь только себя.

Верно. Нужно отвечать за самого себя в первую очередь.

560

Himiko

22 августа 2010, 15:01

#306

torg:
Верно. Нужно отвечать за самого себя в первую очередь.

Только вот топик к этому ну никак не относится.

А по мне, так доказательств если не для суда, то для того, чтобы понять кто это сделал, достаточно.

Я сам смотрел сервер, поэтому могу сказать, что никто и ничего не фабрировал.

Так же специалист из датацентра может это подтвердить. Знаю, что ТС уже попросил сделать официальную бумагу.

P.S.: Только записи видео нет, как сервер взламывали =)

Профессиональное администрирование серверов (https://systemintegra.ru). Круглосуточно. Отзывы (/ru/forum/834230) Лицензии (http://clck.ru/Qhf5) ISPManager,VDSManager,Billmanager e.t.c. по низким ценам.

Конфиденциальность аккаунта на Facebook Googlebot не распознает весь Google о переносе сайтов

50

Alighieri

22 августа 2010, 15:07

#307

Vanger:
Еще немного про А.Жиркова
пока не имею ничего против него и не хочу его очернить. но думаю, для него было бы разумно прокомментировать это:
http://forum.nag.ru/forum/index.php?...dpost&p=530557

Я так понял что он ещё и ддосом промышляет ?

V

105

Vanger

22 августа 2010, 15:14

#308

Alighieri:
Я так понял что он ещё и ддосом промышляет ?

там не про ддос, пока про ботнет

[Удален]

22 августа 2010, 16:10

#309

Alighieri:
Я так понял что он ещё и ддосом промышляет ?

да, видел как он заддостил одного хостера

M

122

mcafeeuser

22 августа 2010, 16:12

#310

Alighieri:
Я так понял что он ещё и ддосом промышляет ?

Из сообщения по ссылке всего лишь ясно, что ip адреса из сети ArtemZ и всё.

По теме точно высказался андрейка

Сообщение от Andreyka
Все доказательства 24-HOSTER ничтожны

1. На сервер было проникновение с рутовым доступом. Кто именно проник и как он узнал пароль - неизвестно.
2. На сервере есть некоторые текстовые файлы, которые мог подделать как взломщик так и хостер.
3. Публичный ключ на то и публичный, что находится в открытом доступе, как например мой, и каждый его может скачать.

Любой адвокат сможет доказать, что 24-HOSTER фальсифицировал улики, чтоб скрыть некомпетентность своих сисадминов и подставить кого-то в качестве козла отпущения.

и

torg:
Вы кто судья ? Не разбрасывайтесь такими словами.

.

Никаких серьёзных доказательств, ничего конкретного. Одни скандалы и интриги (пятничные!), а где расследования?

Компьютер можно как угодно назвать. Насколько ясно из темы, то были получены злоумышленником приватные ключи от сервера и/или пароль бога. Что мешает создать ключ на имя, например, BillGates@Apple.Inc, сделать его доверенным и/или своим и зайти из-под него на машину?

Как злоумышленник получил пароль, каким способом?

Может быть владелец сервера сам передал пароль то ли по глупости, то ли троян или ещё, что?

Если сам кому-то, то где свидетельство передачи пароля другому лицу? Причины?

Пароль наверное не подбирали методом простого "втыка", перебора - троян на машине владельца?

Что за троян? Откуда? Почему нет защиты (omg windows виноват!?!?) ?

Сейчас всё больше и больше вопросов к самому хостеру, владельцу, чем к ArtemZ"у или к Папе Римскому, чем чёрт не шутит.

Новогодний хостинг. Тут! (/ru/forum/comment/13379437) Дед Мороз одобряет!

Как не потерять свои Skygofree - шпионский вирус, Яндекс.Поиск: почему находится все

Переиграть и победить: как анализировать конкурентов для продвижения сайта

В 2023 году Google заблокировал более 170 млн фальшивых отзывов на Картах

Взлом 24-HOSTER Solutions