জরুরিভাবে Exim 4.92-এ আপডেট করুন - একটি সক্রিয় সংক্রমণ আছে

সহকর্মীরা যারা তাদের মেল সার্ভারে Exim সংস্করণ 4.87...4.91 ব্যবহার করেন - জরুরীভাবে 4.92 সংস্করণে আপডেট করুন, CVE-2019-10149 এর মাধ্যমে হ্যাকিং এড়াতে প্রথমে Exim নিজেই বন্ধ করে দিয়েছিলেন।

বিশ্বজুড়ে কয়েক মিলিয়ন সার্ভার সম্ভাব্যভাবে দুর্বল, দুর্বলতাকে সমালোচনামূলক হিসাবে রেট করা হয়েছে (CVSS 3.0 বেস স্কোর = 9.8/10)। আক্রমণকারীরা আপনার সার্ভারে নির্বিচারে কমান্ড চালাতে পারে, অনেক ক্ষেত্রে রুট থেকে।

অনুগ্রহ করে নিশ্চিত করুন যে আপনি একটি নির্দিষ্ট সংস্করণ (4.92) বা ইতিমধ্যে প্যাচ করা হয়েছে এমন একটি ব্যবহার করছেন৷
অথবা বিদ্যমান একটি প্যাচ, থ্রেড দেখুন নির্ভেজাল মন্তব্য.

জন্য আপডেট শতকরা 6: সেমি. থিওডর দ্বারা মন্তব্য — সেন্টোস 7 এর জন্যও এটি কাজ করে, যদি এটি সরাসরি এপেল থেকে না আসে।

ইউপিডি: উবুন্টু প্রভাবিত 18.04 এবং 18.10, তাদের জন্য একটি আপডেট প্রকাশিত হয়েছে। 16.04 এবং 19.04 সংস্করণগুলি প্রভাবিত হয় না যদি না সেগুলিতে কাস্টম বিকল্পগুলি ইনস্টল করা হয়৷ আরো বিস্তারিত তাদের অফিসিয়াল ওয়েবসাইটে.

Opennet এ সমস্যা সম্পর্কে তথ্য
এক্সিম ওয়েবসাইটে তথ্য

এখন সেখানে বর্ণিত সমস্যাটি সক্রিয়ভাবে শোষণ করা হচ্ছে (একটি বট দ্বারা, সম্ভবত), আমি কিছু সার্ভারে একটি সংক্রমণ লক্ষ্য করেছি (4.91 এ চলছে)।

আরও পড়া শুধুমাত্র তাদের জন্য প্রাসঙ্গিক যারা ইতিমধ্যে "এটি পেয়েছেন" - আপনাকে হয় নতুন সফ্টওয়্যার সহ একটি পরিষ্কার VPS-এ সবকিছু পরিবহন করতে হবে, অথবা একটি সমাধান সন্ধান করতে হবে৷ আমরা কি চেষ্টা করব? কেউ যদি এই ম্যালওয়্যার কাটিয়ে উঠতে পারে তবে লিখুন।

আপনি যদি একজন Exim ব্যবহারকারী হয়ে এটি পড়ছেন, এখনও আপডেট না করে থাকেন (নিশ্চিত করেননি যে 4.92 বা একটি প্যাচ করা সংস্করণ উপলব্ধ আছে), দয়া করে থামুন এবং আপডেট করতে চালান৷

যারা ইতিমধ্যে সেখানে পৌঁছেছেন তাদের জন্য, চলুন চালিয়ে যাই...

ইউপিডি: supersmile2009 অন্য ধরনের ম্যালওয়্যার খুঁজে পেয়েছে এবং সঠিক পরামর্শ দেয়:

ম্যালওয়্যার একটি মহান বৈচিত্র্য হতে পারে. ভুল জিনিসের জন্য ওষুধ চালু করে এবং সারি সাফ করে, ব্যবহারকারী নিরাময় হবে না এবং তার জন্য কী চিকিৎসা করা দরকার তা তিনি জানেন না।

সংক্রমণ এইভাবে লক্ষণীয়: [kthrotlds] প্রসেসর লোড করে; একটি দুর্বল ভিডিএসে এটি 100%, সার্ভারে এটি দুর্বল তবে লক্ষণীয়।

সংক্রমণের পরে, ম্যালওয়্যার ক্রন এন্ট্রিগুলি মুছে ফেলে, প্রতি 4 মিনিটে চালানোর জন্য শুধুমাত্র সেখানে নিবন্ধন করে, ক্রনট্যাব ফাইলটিকে অপরিবর্তনীয় করে তোলে। ক্রন্টাব -ই পরিবর্তনগুলি সংরক্ষণ করতে পারে না, একটি ত্রুটি দেয়।

অপরিবর্তনীয় সরানো যেতে পারে, উদাহরণস্বরূপ, এই মত, এবং তারপর কমান্ড লাইন (1.5kb) মুছে ফেলুন:

chattr -i /var/spool/cron/root
crontab -e

এরপরে, ক্রোন্টাব এডিটরে (vim), লাইনটি মুছে দিন এবং সংরক্ষণ করুন:dd
:wq

যাইহোক, কিছু সক্রিয় প্রক্রিয়া আবার ওভাররাইট হচ্ছে, আমি এটি বের করছি।

একই সময়ে, ইনস্টলার স্ক্রিপ্ট থেকে অ্যাড্রেসগুলিতে একগুচ্ছ সক্রিয় উইজেট (বা কার্ল) ঝুলছে (নীচে দেখুন), আমি আপাতত সেগুলিকে এভাবে ছিটকে দিচ্ছি, কিন্তু তারা আবার শুরু করে:

ps aux | grep wge[t]
ps aux | grep cur[l]
echo "Stopping..."
kill -9 `ps aux | grep wge[t] | awk '{print $2}'`
kill -9 `ps aux | grep cur[l] | awk '{print $2}'`

আমি এখানে ট্রোজান ইনস্টলার স্ক্রিপ্ট পেয়েছি (সেন্টোস): /usr/local/bin/nptd... আমি এটি এড়াতে এটি পোস্ট করছি না, কিন্তু যদি কেউ সংক্রামিত হয় এবং শেল স্ক্রিপ্ট বোঝে, অনুগ্রহ করে এটি আরও সাবধানে অধ্যয়ন করুন।

তথ্য আপডেট করা হয় হিসাবে আমি যোগ করা হবে.

UPD 1: ফাইল মুছে ফেলা (প্রাথমিক চ্যাটার -i সহ) /etc/cron.d/root, /etc/crontab, rm -Rf /var/spool/cron/root সাহায্য করেনি, বা পরিষেবা বন্ধ করেনি - আমাকে করতে হয়েছিল crontab আপাতত সম্পূর্ণরূপে ছিঁড়ে ফেলুন (বিন ফাইলের নাম পরিবর্তন করুন)।

UPD 2: ট্রোজান ইনস্টলারটি কখনও কখনও অন্যান্য জায়গায়ও পড়ে ছিল, আকার অনুসারে অনুসন্ধান করা সাহায্য করেছিল:
/ -সাইজ 19825c খুঁজুন

ইউপিডি 3: সতর্কতা সেলিনাক্স অক্ষম করার পাশাপাশি, ট্রোজানও তার নিজস্ব যোগ করে SSH কী ${sshdir}/authorized_keys-এ! এবং /etc/ssh/sshd_config-এ নিম্নলিখিত ক্ষেত্রগুলি সক্রিয় করে, যদি সেগুলি ইতিমধ্যে হ্যাঁ সেট করা না থাকে:
পারমিটরটলগিন হ্যাঁ
RSAA প্রমাণীকরণ হ্যাঁ
হ্যাঁ হ্যাঁ
ইকো UsePAM হ্যাঁ
পাসওয়ার্ড প্রমাণীকরণ হ্যাঁ

UPD 4: আপাতত সংক্ষিপ্ত করতে: Exim, cron (রুট সহ) নিষ্ক্রিয় করুন, জরুরীভাবে ssh থেকে ট্রোজান কীটি সরিয়ে দিন এবং sshd কনফিগারেশন সম্পাদনা করুন, sshd পুনরায় চালু করুন! এবং এটি এখনও স্পষ্ট নয় যে এটি সাহায্য করবে, তবে এটি ছাড়া একটি সমস্যা আছে।

আমি প্যাচ/আপডেট সম্পর্কে মন্তব্য থেকে নোটের শুরুতে গুরুত্বপূর্ণ তথ্য সরিয়ে নিয়েছি, যাতে পাঠকরা এটি দিয়ে শুরু করেন।

ইউপিডি 5: আরেকজন ডেনি লিখেছেন যে ম্যালওয়্যার ওয়ার্ডপ্রেসে পাসওয়ার্ড পরিবর্তন করেছে।

ইউপিডি 6: পলম্যান একটি অস্থায়ী নিরাময় প্রস্তুত করেছিলেন, পরীক্ষা করা যাক! রিবুট বা শাটডাউনের পরে, ওষুধটি অদৃশ্য হয়ে গেছে বলে মনে হচ্ছে, তবে আপাতত অন্তত এটিই।

যে কেউ একটি স্থিতিশীল সমাধান তৈরি করে (বা খুঁজে পায়), দয়া করে লিখুন, আপনি অনেককে সাহায্য করবেন।

ইউপিডি 7: ব্যবহারকারী clsv সে লিখেছে:

আপনি যদি আগেই না বলেন যে এক্সিম-এ একটি অপ্রেরিত চিঠির কারণে ভাইরাস পুনরুত্থিত হয়েছে, আপনি যখন আবার চিঠি পাঠানোর চেষ্টা করেন, তখন এটি পুনরুদ্ধার করা হয়, /var/sool/exim4 এ দেখুন

আপনি এইভাবে সম্পূর্ণ এক্সিম সারি সাফ করতে পারেন:
exipick -i | xargs exim - Mrm
সারিতে প্রবেশের সংখ্যা পরীক্ষা করা হচ্ছে:
exim - bpc

UPD 8: আবার আরেকটি ডেনি তথ্যের জন্য ধন্যবাদ: ফার্স্টভিডিএস তাদের চিকিত্সা স্ক্রিপ্টের সংস্করণ অফার করেছে, আসুন এটি পরীক্ষা করি!

UPD 9: মনে হচ্ছে কাজ, ধন্যবাদ কিরিল স্ক্রিপ্টের জন্য!

মূল জিনিসটি ভুলে যাওয়া উচিত নয় যে সার্ভারটি ইতিমধ্যেই আপস করা হয়েছিল এবং আক্রমণকারীরা আরও কিছু অস্বাভাবিক বাজে জিনিস রোপণ করতে পারে (ড্রপারে তালিকাভুক্ত নয়)।

অতএব, একটি সম্পূর্ণরূপে ইনস্টল করা সার্ভারে (ভিডিএস) সরানো ভাল, বা অন্তত বিষয়টি পর্যবেক্ষণ করা চালিয়ে যাওয়া ভাল - যদি নতুন কিছু থাকে তবে এখানে মন্তব্যে লিখুন, কারণ স্পষ্টতই সবাই নতুন ইনস্টলেশনে যাবে না...

UPD 10: আবার ধন্যবাদ clsv: এটা মনে করিয়ে দেয় যে শুধুমাত্র সার্ভার সংক্রমিত হয় না, কিন্তু রাস্পবেরি পাই, এবং সমস্ত ধরণের ভার্চুয়াল মেশিন... তাই সার্ভারগুলি সংরক্ষণ করার পরে, আপনার ভিডিও কনসোল, রোবট ইত্যাদি সংরক্ষণ করতে ভুলবেন না৷

ইউপিডি 11: থেকে নিরাময় স্ক্রিপ্ট লেখক ম্যানুয়াল নিরাময়কারীদের জন্য গুরুত্বপূর্ণ নোট:
(এই ম্যালওয়ারের বিরুদ্ধে লড়াই করার এক বা অন্য পদ্ধতি ব্যবহার করার পরে)

আপনাকে অবশ্যই রিবুট করতে হবে - ম্যালওয়্যারটি খোলা প্রসেসে কোথাও বসে থাকে এবং সেই অনুযায়ী, মেমরিতে, এবং প্রতি 30 সেকেন্ডে ক্রোন করার জন্য নিজেই একটি নতুন লেখে

ইউপিডি 12: supersmile2009 পাওয়া গেছে Exim এর সারিতে আরেকটি (?) ম্যালওয়্যার রয়েছে এবং আপনাকে পরামর্শ দেয় যে আপনি চিকিত্সা শুরু করার আগে প্রথমে আপনার নির্দিষ্ট সমস্যাটি অধ্যয়ন করুন৷

ইউপিডি 13: lorc পরামর্শ দেয় বরং, একটি পরিষ্কার সিস্টেমে যান, এবং অত্যন্ত সাবধানে ফাইল স্থানান্তর করুন, কারণ ম্যালওয়্যারটি ইতিমধ্যেই সর্বজনীনভাবে উপলব্ধ এবং অন্যান্য, কম স্পষ্ট এবং আরও বিপজ্জনক উপায়ে ব্যবহার করা যেতে পারে৷

UPD 14: নিজেদেরকে আশ্বস্ত করা যে স্মার্ট লোকেরা রুট থেকে ছুটে যায় না - আরও একটি জিনিস clsv থেকে জরুরী বার্তা:

এমনকি যদি এটি রুট থেকে কাজ না করে, হ্যাকিং ঘটে... আমার কাছে ডেবিয়ান জেসি ইউপিডি আছে: আমার অরেঞ্জপিতে প্রসারিত, এক্সিম ডেবিয়ান-এক্সিম থেকে চলছে এবং এখনও হ্যাকিং ঘটেছে, মুকুট হারিয়েছে ইত্যাদি।

UPD 15: আপস করা থেকে একটি পরিষ্কার সার্ভারে যাওয়ার সময়, স্বাস্থ্যবিধি সম্পর্কে ভুলবেন না, w0den থেকে দরকারী অনুস্মারক:

ডেটা স্থানান্তর করার সময়, শুধুমাত্র এক্সিকিউটেবল বা কনফিগারেশন ফাইলগুলিতেই নয়, দূষিত কমান্ড থাকতে পারে এমন কিছুর দিকেও মনোযোগ দিন (উদাহরণস্বরূপ, মাইএসকিউএল-এ এটি ক্রিয়েট ট্রিগার বা ইভেন্ট তৈরি করতে পারে)। এছাড়াও, .html, .js, .php, .py এবং অন্যান্য পাবলিক ফাইলগুলি সম্পর্কে ভুলবেন না (আদর্শ এই ফাইলগুলি, অন্যান্য ডেটার মতো, স্থানীয় বা অন্যান্য বিশ্বস্ত স্টোরেজ থেকে পুনরুদ্ধার করা উচিত)৷

ইউপিডি 16: ডেকিন и অসভ্য_আমাকে আরেকটি সমস্যার সম্মুখীন হয়েছে: সিস্টেমে পোর্টগুলিতে এক্সিমের একটি সংস্করণ ইনস্টল করা ছিল, কিন্তু বাস্তবে এটি অন্যটি চলছিল।

তাই সবাই আপডেটের পরে আপনার নিশ্চিত হওয়া উচিত যে আপনি নতুন সংস্করণ ব্যবহার করছেন!

exim --version

আমরা তাদের নির্দিষ্ট পরিস্থিতি একসাথে সমাধান করেছি।

সার্ভার DirectAdmin এবং এর পুরানো da_exim প্যাকেজ ব্যবহার করেছে (পুরানো সংস্করণ, দুর্বলতা ছাড়াই)।

একই সময়ে, DirectAdmin-এর কাস্টমবিল্ড প্যাকেজ ম্যানেজারের সাহায্যে, প্রকৃতপক্ষে, তখন Exim-এর একটি নতুন সংস্করণ ইনস্টল করা হয়েছিল, যা ইতিমধ্যেই দুর্বল ছিল।

এই বিশেষ পরিস্থিতিতে, কাস্টমবিল্ডের মাধ্যমে আপডেট করাও সাহায্য করেছে।

এই ধরনের পরীক্ষা-নিরীক্ষার আগে ব্যাকআপ নিতে ভুলবেন না এবং এটাও নিশ্চিত করুন যে আপডেটের আগে/পরে সমস্ত এক্সিম প্রক্রিয়া পুরানো সংস্করণের। বন্ধ করা হয়েছিল এবং স্মৃতিতে "আটকে" নয়।

উত্স: www.habr.com