Kiirelt uuendage Exim versioonile 4.92 — toimub aktiivne nakatumine

Kollegid, kes kasutavad oma meiliserverites Exim versioone 4.87…4.91 — uuendage viivitamatult versioonile 4.92, eelnevalt peatades Eximi, et vältida häkkimist läbi CVE-2019-10149.

Potentsiaalselt on haavatavad miljonid serverid üle kogu maailma, haavatavust hinnatakse kriitiliseks (CVSS 3.0 põhiskoor = 9.8/10). Kurjategijad saavad teie serveris käivitada juhuslikke käske, paljudel juhtudel root-kasutajana.

Palun veenduge, et kasutate parandatud versiooni (4.92) või juba plaastritud versiooni.
Või plaastrige olemasolev versioon, vt teema kommentaari immaculate.

Uuendus centos 6: vt. kommentaari Theodor — Centos 7 jaoks töötab see ka, kui epelist otse veel ei ole saabunud.

UPD: Ubuntu on mõjutatud 18.04 ja 18.10, neile on uuendus välja antud. Versioonid 16.04 ja 19.04 ei ole mõjutatud, kui ainult kohandatud variandid ei ole nendele installeeritud. Lisateave nende ametlikul veebilehel.

Teave probleemi kohta Opennetis
Teave Eximi veebilehel

Praegu aktiviseeritakse seal kirjeldatud probleem aktiivselt (bot poolt, oletatavasti), olen märganud mõningates serverites (mis töötasid versioonil 4.91) nakatumist.

Edasi lugemine on asjakohane ainult neile, kes on juba "kinni jäänud" — kas tuleb kõik värske tarkvaraga puhtale VPS-ile viia või otsida lahendust. Proovime? Kirjutage, kui keegi suudab selle pahavara kõrvaldada.

Kui olete Eximi kasutaja ja loete seda, kuid pole veel uuendanud (ei ole kindel, et teil on 4.92 või patcheeritud versioon), palun peatage ja minge uuendama.

Nende jaoks, kes on juba kinni jäänud — jätkame...

UPD: supersmile2009 leidis endalt teise pahavara tüübi ja annab õige nõu:

Pahavara võib olla tohutult palju. Kui käivitada vale ravim ja puhastada ootejärjekord, siis kasutaja ei parane ning ei pruugi teada, millest tal tegelikult abi on vajalik.

Nakkus on märgatav järgmiselt: [kthrotlds] koormab protsessorit; nõrkadel VDS-del 100%, nõrgematel serveritel on see märgatav.

Pärast nakatumist eemaldab pahavara crontab'i kirjed, kirjutades sinna ainult iseend, käivitades iga 4 minuti tagant, samal ajal teeb crontabi faili immutable. Crontab -e ei suuda muudatusi salvestada, tekitab vea.

Immutable'i saab näiteks niimoodi eemaldada, pärast mida tuleks eemaldada käsu rida (1.5kB):

chattr -i /var/spool/cron/root
crontab -e

Edasi, seal crontabi redigeerijas (vim) eemaldame rea ja salvestame:dd
:wq

Kuid mingi aktiivne protsess kirjutab jälle üle, uurin, mis toimub.

Sellega on rippumas hulk aktiivseid wget'e (või curl'e) skripti installija aadressidelt (vt allpool), hetkel katkestan need, aga nad käivituvad uuesti:

ps aux | grep wge[t]
ps aux | grep cur[l]
echo "Peatamine..."
kill -9 `ps aux | grep wge[t] | awk '{print $2}'`
kill -9 `ps aux | grep cur[l] | awk '{print $2}'`

Trooja installijaskript leiti siit (centos): /usr/local/bin/nptd… ei pane üles, et vältida probleeme, aga kui keegi on nakatunud ja teab shell skripte, palun uurige põhjalikumalt.

Lisainfot teen vastavalt uuendamisele.

UPD 1: Failide kustutamine (enne chattr -i) /etc/cron.d/root, /etc/crontab, rm -Rf /var/spool/cron/root ei aidanud, samuti teenuse peatamine — pidin crontabi täielikult eemaldama (bin-faili ümber nimetama).

UPD 2: Trooja installija võib aeg-ajalt olla ka teistes kohtades, otsing suuruse järgi aitas:
find / -size 19825c

UPD 3: Tähelepanu! Lisaks selinuxi väljalülitamisele lisab trooja ka oma SSH võtme faili ${sshdir}/authorized_keys! Ja aktiveerib järgmised väljadel /etc/ssh/sshd_config, kui need pole veel YES-na määratud:
PermitRootLogin yes
RSAAuthentication yes
PubkeyAuthentication yes
echo UsePAM yes
PasswordAuthentication yes

UPD 4: Kokkuvõtteks: deaktiveerime eximi, cron (juuretasemetelt), eemaldame kiiresti ssh-st troojani võtme ja muudame sshd konfiguratsiooni, seejärel taaskäivitame sshd! Ja see võib-olla ei aita, kuid muidu on olukord tõsine.

Olulise info märkustest patchide/uuenduste kohta tõstsin märkuse algusesse, et seda lugedes alustavad.

UPD 5: AnotherDenni kirjutab , et pahavara muutis WordPressi paroole.

UPD 6: Paulmann on valmistanud ajutise lahenduse, testime! Pärast taaskäivitamist või lahenduse eemaldamist tundub, et see kaob, kuid hetkel vähemalt nii.

Kes leiab või koostab stabiilse lahenduse, palun kirjutage, see aitab paljusid.

UPD 7: Kasutaja clsv kirjutab:

Kui keegi veel pole öelnud, siis viirus taastub tänu seeditud kirjadele eximis, kui proovite kirja uuesti saata, taastub see, vaadake /var/spool/exim4.

Kogu eximi järjekorra puhastamiseks saate kasutada järgmist käsu:
exipick -i | xargs exim -Mrm
Järjekorra kirjade arvu kontroll:
exim -bpc

UPD 8: Taaskord aitäh info eest AnotherDenni: FirstVDS pakkus välja oma skripti ravimiseks, hakkame testima!

UPD 9: Tundub, et koos, aitäh Kirillile skripti eest!

Peamine asi, ärge unustage, et server on juba olnud kompromiteeritud ja kurjategijad võisid jõuda lisada veel mingeid ebatavalisi pahavaro (mida ei ole droppis ette nähtud).

Seetõttu on parem liikuda puhtalt installitud serverile (vds) või vähemalt jätkata teema jälgimist — kui midagi uut ilmneb, kirjutage siia kommentaaridesse, kuna ilmselt ei hakka kõik liikuma värskele installatsioonile...

UPD 10: Aitäh veel kord clsv: see meenutab, et nakatuda võivad mitte ainult serverid, vaid näiteks ka Raspberry Pi, ja igasugused virtuaalkeskkonnad… Niisiis, pärast serverite päästmist ärge unustage päästa oma videomängupuldi, roboteid jne.

UPD 11: Alust raviva skripti autorilt oluline märkus „manuaalselt ravijatele“:
(pärast ühte või teist meetodit selle pahavara vastu)

peate kindlasti taaskäivitama — pahavara asub avatud protsessides ja seega mälus, registreerides end uuesti cron'i iga 30 sekundi järel

UPD 12: supersmile2009 leidis oma järjekorrast exim teise (?) pahavara ja soovitab esmalt uurida oma konkreetset probleemi enne ravi alustamist.

UPD 13: lorc soovitab on juba aeg teha üleminek puhtale süsteemile ja faile üle kanda äärmise ettevaatlikkusega, kuna pahavara on juba avalikult kätte saadav ja seda võivad kasutada teised, vähem ilmsete ja palju ohtlikumate viisidega.

UPD 14: rahustades end, et targad inimesed ei käivita root'i alt — veel üks. hädaolukorra teadet clsv:

Isegi kui see ei tööta root'i alt, toimub häkkeritus… Mul on OrangePi peal debian jessie UPD: stretch, exim käivitatakse Debian-exim'ilt ja ikkagi toimus häkkeritus, krone ja muu kadus.

UPD 15: puhtale serverile üleminekult ärge unustage hügieeni. kasulik meeldetuletus w0den'ilt:

Andmete üleviimisel pöörake tähelepanu mitte ainult käivitatavatele või konfigureerimisfailidele, vaid ka kõigile, mis võivad sisaldada pahatahtlikke käske (nt MySQL'is võib see olla CREATE TRIGGER või CREATE EVENT). Samuti ärge unustage .html, .js, .php, .py ja teisi avalikke faile (ideaalis peaksid need failid, nagu ka muud andmed, olema taastatud kohalikust või muust usaldusväärsest hoidlast).

UPD 16: daykkin ja savage_me seisame silmitsi teise probleemiga: süsteemis oli sadamates üks exim versioon, samas kui tegelikult töötas teine.

Kuna kõigile Pärast uuendamist on oluline veenduda et kasutate tõeliselt uut versiooni!

exim --version

Oleme kokku leppinud nende olukorra lahendamises.

Serveris kasutati DirectAdmin'i ja seal oli vana da_exim pakett (vanem versioon, ilma haavatavusteta).

Kuid DirectAdmin'i pakettide haldur custombuild kaudu paigaldati tehniliselt hiljem uuem versioon exim, mis oli juba haavatav.

Konkreetse olukorra puhul aitas ka uuendamine läbi custombuild.

Ärge unustage teha varukoopiaid enne selliseid katsetusi ja veenduge, et enne/pärast uuendamist on kõik exim'i vanema versiooni protsessid peatatud ja ei ole „kinni” mälu jäänud.

Allikas: habr.com