Хетцер отключил за участие в атаке. Как найти заразу?

12
N
На сайте с 18.05.2003
Offline
100
1569

Дебиан, обновления установлены.

fail2ban - стоит.

IP для входа на ФТП пишем руками.

SSH не на 22 порту.

Вчера хетцнер прислал:

We regret to inform you that your server with the IP address mentioned in the above subject line has carried out an attack on another server.

As a result, this has placed a considerable strain on network resources and consequently a segment of our network has been very adversely affected.

Direction OUT

Internal *.*.*.*

Threshold Flows 100 flows/s

Sum 30.219 flows/300s (100 flows/s), 38.274.000 packets/300s (127.580

packets/s), 2,193 GByte/300s (59 MBit/s)

External 159.45.66.55, 30.202 flows/300s (100 flows/s), 38.230.000

packets/300s (127.433 packets/s), 2,136 GByte/300s (58 MBit/s)

External 92.113.178.243, 7 flows/300s (0 flows/s), 32.000 packets/300s (106

packets/s), 0,042 GByte/300s (1 MBit/s)

External 37.52.4.34, 5 flows/300s (0 flows/s), 7.000 packets/300s (23

packets/s), 0,009 GByte/300s (0 MBit/s)

=========

Сделали:

1) Найдены подозрительные файлы, аккаунты отключены:

============================================

Здесь какие-то странные файлы

/home/******/domains/******.ru/htdocs/tmp

В частности

stext.txt с дадой изменения час 20 ночи сегодня (24 числа этого файла не было, и пхпшных тоже)

x.txt с датой изменения 29 января и текстом hacked by Hmei7

За последние 30 дней изменены эти файлы:

./******/domains/******.ru/htdocs/tmp/cbmf.php от 26 марта

./******/domains/******.ru/htdocs/tmp/php.class.php от 26 марта

./******/domains/******.ru/htdocs/tmp/tmpe.php от 27 марта

----------------------

Здесь от 25 марта какойто кодированный файл.

/home/******1/domains/******1.ru/htdocs/UserFiles/mail.php

Раскодировал - внутри какой-то генератор ссылок.

Вообще здесь движок какой-то битый, т.к. загружены ещё какие-то пхп файлы в декабре прошлого года. Файлы похожи на какие-то тестовые, в них запросы к ютьюбу

============================================

2) В фаерволе оставлены открытыми только следующие порты:

ssh, ftp, http and smtp, причем запросить с самого сервера по http нельзя.

Основная масса сайтов на нашем движке, вероятность взлома - минимальна.

Несколько phpBB от 2007-2009 гг. без покупных тем и какие-то сайты на вордпрессе не очень свежем. По поводу темам на вордпрессах пока не уточняли

На сайтах, на которых найдены подозрительные файлы, стоит что-то не очень знакомое, но с ними разберемся.

============================================

Сейчас пишем хетцнеру о проделанной работе, сервер наверное включат. Но... Заразу то мы со 100% определенностью так и не нашли... Что еще можно и нужно сделать?

Electronn
На сайте с 01.02.2010
Offline
91
#1

1. от какого пользователя созданы файлы ?

2. как работает апач для сайтов ? ( mod_php, CGI, FastCGI )

3. была ли проверка автоматикой ? ( maldet, avg, clamav )

4. полностью ли обновления система и движки сайтов ?

5. выставлены ли верные права на каталоги и файлы ?

6. висит ли что-нибудь в процессах или подключениях ? ( ps aux , netstat -antu )

В любом случае для подобных работ требуется привлекать специалистов, так как нюансов море, потому что вы избавились не от заразы, а от ее последствий.

Andreyka
На сайте с 19.02.2005
Offline
822
#2

Для начала уточнить и выяснить порт на который шла атака

Затем закрыть его и поставить логирование с алертом

Не стоит плодить сущности без необходимости
Electronn
На сайте с 01.02.2010
Offline
91
#3
Andreyka:
Для начала уточнить и выяснить порт на который шла атака
Затем закрыть его и поставить логирование с алертом

порт не выяснить. кроме лога в первом сообщении ДЦ инфы не дает.

Andreyka
На сайте с 19.02.2005
Offline
822
#4

Тогда закрыть все и мониторить.

M
На сайте с 01.12.2009
Offline
235
#5

Заразу то мы со 100% определенностью так и не нашли... Что еще можно и нужно сделать?

Для того чтобы в будущем избегать проблем, настройте исходящий траф в iptables таким образом что бы не попадать под фильтр ДЦ - и ищите проблему.

Как найдите, так и отключайте ограничения.

Администратор Linux,Freebsd. построения крупных проектов.
N
На сайте с 18.05.2003
Offline
100
#6
Electronn:
1. от какого пользователя созданы файлы ?
2. как работает апач для сайтов ? ( mod_php, CGI, FastCGI )
3. была ли проверка автоматикой ? ( maldet, avg, clamav )
4. полностью ли обновления система и движки сайтов ?
5. выставлены ли верные права на каталоги и файлы ?
6. висит ли что-нибудь в процессах или подключениях ? ( ps aux , netstat -antu )

Элементарные вещи то мы естественно сделали.

Обновить движки клиентских сайтов - это как?

Естественно в процессах ничего не висит. Если бы висело, то разобрались бы и с дебаггером.

Andreyka:
Тогда закрыть все и мониторить.

2) В фаерволе оставлены открытыми только следующие порты:

ssh, ftp, http and smtp, причем запросить с самого сервера по http нельзя.

Без этих открытых портов не будут работать сайты вообще, остальное закрыли.

Плюс в нагиосе поставили смс уведомления при превышении трафика больше 5 мбит/сек. Не исключаю, что поставим в нем автоматическое отрубание сервака при 10 или 15 мбит/сек, если не найдем вариантов решения проблемы.

Andreyka
На сайте с 19.02.2005
Offline
822
#7

Вы не путаете входящие и исходящие?

N
На сайте с 18.05.2003
Offline
100
#8
madoff:
Для того чтобы в будущем избегать проблем, настройте исходящий траф в iptables таким образом что бы не попадать под фильтр ДЦ - и ищите проблему.

Как найдите, так и отключайте ограничения.

Осознание данной фразы вызывает у нас проблему:). Как можно обойти маршрутизатор ДЦ?

---------- Добавлено 29.03.2013 в 15:30 ----------

Andreyka:
Вы не путаете входящие и исходящие?

Не думаю, что путаем. Хотя конкретикой занимается админ, т.к. я знаком только с теорией.

---------- Добавлено 29.03.2013 в 15:39 ----------

Electronn:
1. от какого пользователя созданы файлы ?

Кстати, админ попросил сказать "спасибо", т.к.

=======

www-data, значит заливались через дыру в сайте

=======

M
На сайте с 01.12.2009
Offline
235
#9
Newm:
Осознание данной фразы вызывает у нас проблему:). Как можно обойти маршрутизатор ДЦ?

Проблема в вас, и вы её можете от себя ограничить, до маршрутизатора. Который снимает трафик с вас.


Кстати, админ попросил сказать "спасибо", т.к.
=======
www-data, значит заливались через дыру в сайте
=======

apache itk поставьте.

N
На сайте с 18.05.2003
Offline
100
#10
madoff:
Проблема в вас, и вы её можете от себя ограничить, до маршрутизатора. Который снимает трафик с вас.

Не понял... Сайты при этом будут работать или нет?

Атака на Wells Fargo конкретно с нас шла в пределах часа, судя по всплеску на статистике нагиоса. Нам надо подождать с неработающими сайтами, когда кто-то попробует активизировать дыру до следующей атаки?

А если (да и скорее всего так) оно активизируется только через дырявый движок какого-нибудь сайта, то ее вообще не активизируют при неработающих сайтах...

Т.е. я не понял, что надо добавить к тому, что уже предпринято?

12

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий