Uuendage kiiresti exim versioonini 4.92 — käib aktiivne nakkamine

Kollegid, kes kasutavad oma meiliserverites Exim versioone 4.87…4.91 — uuendage kiiresti versioonile 4.92, peatades eelnevalt Eximi, et vältida rünnakut CVE-2019-10149 kaudu.

Potentsiaalselt on haavatavad mitu miljonit serverit üle maailma, haavatavust hinnatakse kriitiliseks (CVSS 3.0 põhiskoor = 9.8/10). Küberkurjategijad võivad teie serveris käivitada juhuslikke käske, paljusid juhtudel juurõigustes.

Palun veenduge, et kasutate parandatud versiooni (4.92) või juba patšeeritud versiooni.
Või patšeerige olemasolev, vt niidi kommentaari immaculate.

Uuendus jaoks centos 6: vt. kommentaari Theodor — centos 7 jaoks töötab see samuti, kui epeli kaudu pole veel tulnud.

UPD: Ubuntut on puudutatud 18.04 ja 18.10, nende jaoks on uuendus välja antud. Versioonid 16.04 ja 19.04 ei ole puudutatud, kui seal pole installitud kohandatud variante. Lisainformatsiooni leidmiseks külastage nende ametlikku veebisaiti.

Probleemi kohta teave Opennetis
Teave Eximi veebisaidil

Praegu on seal kirjeldatud probleem aktiivselt ekspluateeritud (ilmselt robotiga), märkasin seda mõnedes serverites (mis jooksid 4.91) nakatumise läbi.

Edasi lugeda on asjakohane ainult neile, kes juba "on sattunud" — tuleb kas kõik puhtale VPS-ile üle kanda koos värske tarkvaraga või otsida lahendust. Proovime? Kirjutage, kui keegi suudab selle pahavara peatada.

Kui olete Eximi kasutaja ja loete seda, kuid pole veel uuendatud (ei ole veendunud 4.92 olemasolus või patšeeritud versioonis), palun peatuge ja jookske uuendama.

Kellel on juba probleem — jätkame...

UPD: supersmile2009 leidis endalt teise tüübi pahavara ja annab õige nõu:

Pahavara võib olla uskumatult palju. Ravimi valimisel vale ja puhastades järjekorra kasutaja ei ravi end ning tõenäoliselt ei saa aru, millest peaks ravi otsima.

Nakatumine on märgatav järgmiselt: [kthrotlds] koormab protsessorit; nõrgal VDS-l 100%, nõrgematel serveritel siiski märgatav.

Pärast nakatumist kustutab pahavara kirjed crontab'ist, jättes sinna vaid enda, käivitades iga 4 minuti tagant, samal ajal teeb crontabi faili immutable. Crontab -e ei saa muudatusi salvestada, annab vea.

Immutable välja lülitamiseks saab näiteks niimoodi, peale mida kustutada komandirida (1.5kB):

chattr -i /var/spool/cron/root
crontab -e

Seejärel redigeerime crontab'is (vim) rida ja salvestame:dd
:wq

Kuid mõni aktiivne protsess kirjutab selle jälle üle, uurin.

Samas, palju aktiivseid wget’e (või curl’e) ripub installimisskripti aadressidel (vt allpool), ma seda hetkel nii lõpetan, aga need käivituvad jälle:

ps aux | grep wge[t]
ps aux | grep cur[l]
echo "Stopping..."
killa -9 `ps aux | grep wge[t] | awk '{print $2}'`
killa -9 `ps aux | grep cur[l] | awk '{print $2}'`

Trooja installimisskripti leidsin siit (centos): /usr/local/bin/nptd… ei pane üles, et vältida probleeme, aga kui keegi on nakatunud ja mõistab shell-skripte, siis palun uurige lähemalt.

Täiendatud infoga, kui see muutub.

UPD 1: Failide kustutamine (enne chattr -i) /etc/cron.d/root, /etc/crontab, rm -Rf /var/spool/cron/root ei aidanud, samuti ei aidanud teenuse peatamine — tuli krontab täielikult eemaldada (bin-fail ümber nimetada).

UPD 2: Trooja installija lebas mõnikord ka mujal, aitas otsing suuruse järgi:
find / -size 19825c

UPD 3: Tähelepanu! Lisaks selinux'i väljalülitamisele lisab trooja ka oma SSH-võtme ka ${sshdir}/authorized_keys! Ja aktiveerib järgmised väljad /etc/ssh/sshd_config, kui need ei olnud veel kirjutatud kui YES:
PermitRootLogin yes
RSAAuthentication yes
PubkeyAuthentication yes
echo UsePAM yes
, salvestada muudatused ja taaskäivitada Ubuntu20.04.

UPD 4: Kkokkuvõttes praeguseks: lülitame välja exim, cron (juurtega), kiirelt eemaldame trooja võtme ssh-st ja muudame sshd konfi, taaskäivitame sshd! Ja hetkel ei ole kindel, et see aitab, aga ilma selleta on tõesti katastroof.

Olulise teabe kommentaaridest patšide/uuenduste kohta tõin märkme algusesse, et need, kes loevad, alustaksid sealt.

UPD 5: AnotherDenni kirjutab et pahavara muutis WordPressis paroole.

UPD 6: Paulmann valmistas ajutise ravi, katsetame! Pärast taaskäivitamist või ravimi väljalülitamist paistab, et see kaob, aga vähemalt nii.

Kes teeb (või leiab) stabiilse lahenduse, palun kirjutage, saaksite paljusid aidata.

UPD 7: Kasutaja clsv kirjutab:

Kui veel öeldud ei ole, siis viirus taastub tänu saatmata kirjale eximis, uuesti saates see taastub, vaadake /var/spool/exim4

Kogu eximi järjekorra puhastamine on võimalik järgmiselt:
exipick -i | xargs exim -Mrm
Järjekorra kirje arvu kontrollimine:
exim -bpc

UPD 8: Taaskord täname teavet AnotherDenni: FirstVDS pakkus välja oma versiooni skripti raviks, proovime katsetada!

UPD 9: Tundub, et töötas, aitäh Kirillile skripti eest!

Peamine on mitte unustada, et server on juba olnud kompromiteeritud ja kurjategijad on võinud lasta sisse veel mõningaid ebatüüpilisi jama (mis ei ole drosselis kirjas).

Seega on parem minna üle täiesti puhtalt installitud serverile (vds), või vähemalt jälgida teemat – kui midagi uut tuleb, kirjutage siia kommentaaridesse, kuna ilmselt ei hakka kõik uuele installatsioonile üle minema...

UPD 10: Veel kord aitäh clsv: ta meenutab, et nakatuda võivad mitte ainult serverid, vaid näiteks ka Raspberry Pi, ja igasugused virtuaalmasinad… Seega pärast serverite päästmist ärge unustage päästa oma videomänge, roboteid ja nii edasi.

UPD 11: Algselt raviskeemi autori oluline märkus "käsitsi ravijate" jaoks:
(pärast xx meetodi rakendamist selle pahavara vastu)

tuleb kindlasti taaskäivitada – pahavara on kuskil avatud protsessides ja vastavalt ka mälus, ning salvestab end uuesti croni iga 30 sekundi järel

UPD 12: supersmile2009 leidis oma järjekorrast exim teise (?) pahavara ja soovitab kõigepealt oma probleemi põhjalikult uurida, enne ravi alustamist.

UPD 13: lorc soovitab minna pigem puhtale süsteemile üle ja faile üleminekuks äärmiselt ettevaatlikult kanda, kuna pahavara on juba avalikult kergesti kätte saadav ja seda võivad kasutada teised, vähem ilmsetel ja ohtlikematel viisidel.

UPD 14: rahustades end sellega, et targad inimesed ei käivita ruutkontot – veel üks kiire sõnum clsv-lt:

Isegi kui töötamine ei toimu root-kontolt, toimub ikkagi häkkimine… Mul on OrangePi peal debian jessie UPD: stretch, exim on käivitatud Debian-eximi alt ja ikkagi juhtus häkkimine, croni ja muu kaotas.

UPD 15: puhta serveri üleviimisel kompromiteeritud serverilt ärge unustage hügieeni, kasulik meeldetuletus w0denilt:

Andmete üleviimisel pöörake tähelepanu mitte ainult käivitatavatele või konfigureeritavatele failidele, vaid ka kõigile, mis võivad sisaldada pahatahtlikke käske (näiteks MySQLis võib see olla CREATE TRIGGER või CREATE EVENT). Samuti ärge unustage .html, .js, .php, .py ja muid avalikke faile (ideaalis peaksid need failid ning muud andmed olema taastatud kohalikust või muust usaldusväärsest allikast).

UPD 16: daykkin ja savage_me seisavad silmitsi teise probleemiga: süsteemis oli sadamates üks versioon eximist, kuid tegelikult täideti teist.

Seega peaksid kõik pärast värskendust veenduma et kasutate tõesti uut versiooni!

exim --version

Konkreetse olukorraga tegime koostöös selgeks.

Serveris oli kasutusel DirectAdmin ja seisis ära tema vana paket da_exim (vana versioon, ilma haavatavusteta).

DirektAdmini paketihalduri custombuild abil paigaldati tegelikult uuem versioon eximist, mis on juba haavatav.

Konkreetselt selles situatsioonis aitas ka värskendamine läbi custombuildi.

Ärge unustage teha varukoopiaid enne selliseid eksperimente ning veenduge, et vanad eximi versiooni protsessid on enne / pärast uuendust peatatud ja ei ole "kinni jäänud" mällu.

Allikas: habr.com