તાત્કાલિક એક્ઝિમને 4.92 પર અપડેટ કરો - ત્યાં એક સક્રિય ચેપ છે

સહકર્મીઓ કે જેઓ તેમના મેઇલ સર્વર પર એક્ઝિમ સંસ્કરણ 4.87...4.91 નો ઉપયોગ કરે છે - તાત્કાલિક સંસ્કરણ 4.92 પર અપડેટ કરો, CVE-2019-10149 દ્વારા હેકિંગ ટાળવા માટે અગાઉ એક્ઝિમ પોતે જ બંધ કરી દીધું હતું.

વિશ્વભરના કેટલાક મિલિયન સર્વર્સ સંભવિત રીતે સંવેદનશીલ છે, નબળાઈને જટિલ તરીકે રેટ કરવામાં આવે છે (CVSS 3.0 બેઝ સ્કોર = 9.8/10). હુમલાખોરો તમારા સર્વર પર મનસ્વી આદેશો ચલાવી શકે છે, ઘણા કિસ્સાઓમાં રૂટમાંથી.

કૃપા કરીને ખાતરી કરો કે તમે નિશ્ચિત સંસ્કરણ (4.92) અથવા એક કે જે પહેલાથી જ પેચ કરેલ છે તેનો ઉપયોગ કરી રહ્યાં છો.
અથવા હાલના એકને પેચ કરો, થ્રેડ જુઓ નિષ્કલંક ટિપ્પણી.

માટે અપડેટ કરો સેન્ટ્સ 6: સે.મી. થિયોડોર દ્વારા ટિપ્પણી - સેન્ટોસ 7 માટે તે પણ કામ કરે છે, જો તે હજી સુધી એપેલથી સીધું ન આવ્યું હોય.

UPD: ઉબુન્ટુ અસરગ્રસ્ત છે 18.04 અને 18.10, તેમના માટે એક અપડેટ બહાર પાડવામાં આવ્યું છે. વર્ઝન 16.04 અને 19.04 પર અસર થતી નથી સિવાય કે તેમના પર કસ્ટમ વિકલ્પો ઇન્સ્ટોલ કર્યા હોય. વધુ વિગતો તેમની સત્તાવાર વેબસાઇટ પર.

ઓપનનેટ પર સમસ્યા વિશે માહિતી
એક્ઝિમ વેબસાઇટ પરની માહિતી

હવે ત્યાં વર્ણવેલ સમસ્યાનું સક્રિયપણે શોષણ કરવામાં આવી રહ્યું છે (બૉટ દ્વારા, સંભવતઃ), મેં કેટલાક સર્વર્સ પર ચેપ જોયો (4.91 પર ચાલે છે).

આગળનું વાંચન ફક્ત તે લોકો માટે જ સંબંધિત છે જેમણે પહેલેથી જ "તે મેળવ્યું છે" - તમારે કાં તો દરેક વસ્તુને નવા સૉફ્ટવેર સાથે સ્વચ્છ VPS પર પરિવહન કરવાની જરૂર છે, અથવા કોઈ ઉકેલ શોધવાની જરૂર છે. શું આપણે પ્રયત્ન કરીશું? જો કોઈ આ માલવેર પર કાબુ મેળવી શકે તો લખો.

જો તમે, એક્ઝિમ વપરાશકર્તા હોવા છતાં અને આ વાંચી રહ્યા છો, તો પણ અપડેટ નથી કર્યું (ખાતરી કરી નથી કે 4.92 અથવા પેચ કરેલ સંસ્કરણ ઉપલબ્ધ છે), કૃપા કરીને બંધ કરો અને અપડેટ કરવા માટે દોડો.

જેઓ પહેલેથી જ ત્યાં પહોંચી ગયા છે, ચાલો ચાલુ રાખીએ...

યુપીડી: supersmile2009 ને અન્ય પ્રકારનો માલવેર મળ્યો અને યોગ્ય સલાહ આપે છે:

માલવેરની મોટી વિવિધતા હોઈ શકે છે. ખોટી વસ્તુ માટે દવા શરૂ કરીને અને કતાર સાફ કરવાથી, વપરાશકર્તા સાજો થઈ શકશે નહીં અને તેને ખબર નહીં હોય કે તેને શું સારવાર લેવાની જરૂર છે.

ચેપ આ રીતે નોંધનીય છે: [kthrotlds] પ્રોસેસરને લોડ કરે છે; નબળા VDS પર તે 100% છે, સર્વર પર તે નબળું છે પરંતુ ધ્યાનપાત્ર છે.

ચેપ પછી, મૉલવેર ક્રૉન એન્ટ્રીઓને કાઢી નાખે છે, દર 4 મિનિટે ચલાવવા માટે માત્ર ત્યાં જ નોંધણી કરાવે છે, જ્યારે ક્રોન્ટાબ ફાઇલને અપરિવર્તનશીલ બનાવે છે. ક્રોન્ટાબ -ઇ ફેરફારો સાચવી શકતા નથી, ભૂલ આપે છે.

અપરિવર્તનશીલ દૂર કરી શકાય છે, ઉદાહરણ તરીકે, આની જેમ, અને પછી આદેશ વાક્ય (1.5kb) કાઢી નાખો:

chattr -i /var/spool/cron/root
crontab -e

આગળ, ક્રોન્ટાબ એડિટરમાં (vim), લાઇન કાઢી નાખો અને સાચવો:dd
:wq

જો કે, કેટલીક સક્રિય પ્રક્રિયાઓ ફરીથી લખાઈ રહી છે, હું તેને શોધી રહ્યો છું.

તે જ સમયે, ઇન્સ્ટોલર સ્ક્રિપ્ટ (નીચે જુઓ) ના સરનામાંઓ પર સક્રિય વિજેટ્સ (અથવા કર્લ્સ) નો સમૂહ લટકતો હોય છે, હું તેમને હમણાં માટે આ રીતે નીચે પછાડી રહ્યો છું, પરંતુ તે ફરીથી શરૂ થાય છે:

ps aux | grep wge[t]
ps aux | grep cur[l]
echo "Stopping..."
kill -9 `ps aux | grep wge[t] | awk '{print $2}'`
kill -9 `ps aux | grep cur[l] | awk '{print $2}'`

મને અહીં ટ્રોજન ઇન્સ્ટોલર સ્ક્રિપ્ટ મળી (સેન્ટોસ): /usr/local/bin/nptd... હું તેને ટાળવા માટે પોસ્ટ કરી રહ્યો નથી, પરંતુ જો કોઈ ચેપગ્રસ્ત છે અને શેલ સ્ક્રિપ્ટ્સ સમજે છે, તો કૃપા કરીને તેનો વધુ કાળજીપૂર્વક અભ્યાસ કરો.

માહિતી અપડેટ થાય તેમ હું ઉમેરીશ.

UPD 1: ફાઇલો કાઢી નાખવા (પ્રારંભિક chattr -i સાથે) /etc/cron.d/root, /etc/crontab, rm -Rf /var/spool/cron/root મદદ કરી ન હતી, ન તો સેવા બંધ કરી હતી - મારે કરવું પડ્યું crontab હવે તેને સંપૂર્ણપણે ફાડી નાખો (બિન ફાઇલનું નામ બદલો).

UPD 2: ટ્રોજન ઇન્સ્ટોલર કેટલીકવાર અન્ય સ્થળોએ પણ પડેલું હતું, કદ દ્વારા શોધ કરવામાં મદદ મળી:
શોધો / - કદ 19825c

UPD 3/XNUMX/XNUMX: સાવધાન સેલિનક્સને નિષ્ક્રિય કરવા ઉપરાંત, ટ્રોજન તેના પોતાના ઉમેરે છે SSH કી ${sshdir}/authorized_keys માં! અને નીચેના ફીલ્ડ્સને /etc/ssh/sshd_config માં સક્રિય કરે છે, જો તે પહેલાથી જ હા પર સેટ કરેલ ન હોય:
પરમિટ રુટલોગિન હા
RSAA પ્રમાણીકરણ હા
હાં
ઇકો UsePAM હા
પાસવર્ડ પ્રમાણીકરણ હા

UPD 4: હમણાં માટે સારાંશ આપવા માટે: એક્ઝિમ, ક્રોન (મૂળ સાથે) અક્ષમ કરો, તાત્કાલિક ssh માંથી ટ્રોજન કી દૂર કરો અને sshd રૂપરેખામાં ફેરફાર કરો, sshd પુનઃપ્રારંભ કરો! અને તે હજી સુધી સ્પષ્ટ નથી કે આ મદદ કરશે, પરંતુ તેના વિના સમસ્યા છે.

મેં પેચો/અપડેટ્સ વિશેની ટિપ્પણીઓમાંથી નોંધની શરૂઆતમાં મહત્વપૂર્ણ માહિતી ખસેડી છે, જેથી વાચકો તેની સાથે શરૂઆત કરે.

UPD 5/XNUMX/XNUMX: અન્ય ડેની લખે છે કે મૉલવેર વર્ડપ્રેસમાં પાસવર્ડ બદલી નાખે છે.

UPD 6/XNUMX/XNUMX: પોલમેને કામચલાઉ ઈલાજ તૈયાર કર્યો, ચાલો પરીક્ષણ કરીએ! રીબૂટ અથવા શટડાઉન પછી, દવા અદૃશ્ય થઈ જાય તેવું લાગે છે, પરંતુ હમણાં માટે તે એટલું જ છે.

કોઈપણ જે સ્થિર ઉકેલ બનાવે છે (અથવા શોધે છે), કૃપા કરીને લખો, તમે ઘણાને મદદ કરશો.

UPD 7/XNUMX/XNUMX: વપરાશકર્તા clsv લખે છે:

જો તમે પહેલાથી કહ્યું ન હોય કે એક્ઝિમમાં ન મોકલેલ પત્રને કારણે વાયરસ પુનઃજીવિત થયો છે, જ્યારે તમે ફરીથી પત્ર મોકલવાનો પ્રયાસ કરો છો, ત્યારે તે પુનઃસ્થાપિત થાય છે, /var/sool/exim4 માં જુઓ

તમે આખી એક્ઝિમ કતાર આ રીતે સાફ કરી શકો છો:
exipick -i | xargs એક્ઝિમ - શ્રીમતી
કતારમાં એન્ટ્રીઓની સંખ્યા તપાસી રહ્યું છે:
એક્ઝિમ - બીપીસી

UPD 8: ફરીથી અન્ય ડેની માહિતી માટે આભાર: ફર્સ્ટવીડીએસએ સારવાર સ્ક્રિપ્ટની તેમની આવૃત્તિ ઓફર કરી, ચાલો તેનું પરીક્ષણ કરીએ!

UPD 9: એવું લાગે છે કામ કરે છે, આભાર કિરીલ સ્ક્રિપ્ટ માટે!

મુખ્ય વસ્તુ એ ભૂલવાની નથી કે સર્વર સાથે પહેલાથી જ ચેડા કરવામાં આવ્યા હતા અને હુમલાખોરો કેટલીક વધુ અપ્રિય બીભત્સ વસ્તુઓ (ડ્રોપરમાં સૂચિબદ્ધ નથી) રોપવામાં સફળ થઈ શક્યા હોત.

તેથી, સંપૂર્ણપણે ઇન્સ્ટોલ કરેલા સર્વર (vds) પર જવાનું વધુ સારું છે, અથવા ઓછામાં ઓછું વિષયનું નિરીક્ષણ કરવાનું ચાલુ રાખો - જો ત્યાં કંઈપણ નવું હોય, તો અહીં ટિપ્પણીઓમાં લખો, કારણ કે દેખીતી રીતે દરેક જણ નવા ઇન્સ્ટોલેશન પર જશે નહીં...

UPD 10: ફરી આભાર clsv: તે યાદ અપાવે છે કે માત્ર સર્વરો જ સંક્રમિત નથી, પણ રાસ્પબરી પી, અને તમામ પ્રકારના વર્ચ્યુઅલ મશીનો... તેથી સર્વરને સાચવ્યા પછી, તમારા વિડિયો કન્સોલ, રોબોટ્સ વગેરેને સાચવવાનું ભૂલશો નહીં.

UPD 11: પ્રતિ હીલિંગ સ્ક્રિપ્ટના લેખક મેન્યુઅલ હીલર્સ માટે મહત્વપૂર્ણ નોંધ:
(આ માલવેરનો સામનો કરવાની એક અથવા બીજી પદ્ધતિનો ઉપયોગ કર્યા પછી)

તમારે ચોક્કસપણે રીબૂટ કરવાની જરૂર છે - મૉલવેર ક્યાંક ખુલ્લી પ્રક્રિયાઓમાં બેસે છે અને તે મુજબ, મેમરીમાં, અને દર 30 સેકન્ડમાં ક્રૉન કરવા માટે એક નવું લખે છે.

UPD 12/XNUMX/XNUMX: supersmile2009 મળી એક્ઝિમ પાસે તેની કતારમાં અન્ય(?) મૉલવેર છે અને તે તમને સારવાર શરૂ કરતા પહેલા તમારી ચોક્કસ સમસ્યાનો અભ્યાસ કરવાની સલાહ આપે છે.

UPD 13/XNUMX/XNUMX: lorc સલાહ આપે છે તેના બદલે, સ્વચ્છ સિસ્ટમ પર જાઓ, અને ફાઇલોને અત્યંત કાળજીપૂર્વક સ્થાનાંતરિત કરો, કારણ કે માલવેર પહેલેથી જ સાર્વજનિક રૂપે ઉપલબ્ધ છે અને તેનો ઉપયોગ અન્ય, ઓછા સ્પષ્ટ અને વધુ જોખમી રીતે થઈ શકે છે.

UPD 14: જાતને ખાતરી આપવી કે સ્માર્ટ લોકો મૂળમાંથી ભાગતા નથી - એક વધુ વસ્તુ clsv તરફથી તાત્કાલિક સંદેશ:

જો તે રુટથી કામ ન કરે તો પણ, હેકિંગ થાય છે... મારી પાસે ડેબિયન જેસી UPD છે: મારી OrangePi પર સ્ટ્રેચ, એક્ઝિમ ડેબિયન-એક્ઝિમથી ચાલી રહ્યું છે અને હજી પણ હેકિંગ થયું છે, ક્રાઉન ગુમાવવો વગેરે.

UPD 15: જ્યારે ચેડા કરાયેલા સર્વરમાંથી સ્વચ્છ સર્વર પર જઈ રહ્યા હોવ, ત્યારે સ્વચ્છતા વિશે ભૂલશો નહીં, w0den તરફથી ઉપયોગી રીમાઇન્ડર:

ડેટા સ્થાનાંતરિત કરતી વખતે, માત્ર એક્ઝિક્યુટેબલ અથવા રૂપરેખાંકન ફાઇલો પર જ ધ્યાન આપો, પણ જે દૂષિત આદેશો સમાવી શકે છે તેના પર પણ ધ્યાન આપો (ઉદાહરણ તરીકે, MySQL માં આ TRIGGER બનાવો અથવા ઇવેન્ટ બનાવો). ઉપરાંત, .html, .js, .php, .py અને અન્ય જાહેર ફાઇલો વિશે ભૂલશો નહીં (આદર્શ રીતે આ ફાઇલો, અન્ય ડેટાની જેમ, સ્થાનિક અથવા અન્ય વિશ્વસનીય સ્ટોરેજમાંથી પુનઃસ્થાપિત થવી જોઈએ).

UPD 16/XNUMX/XNUMX: ડેક્કીન и savage_me બીજી સમસ્યાનો સામનો કરવો પડ્યો: સિસ્ટમમાં પોર્ટ્સમાં એક્ઝિમનું એક વર્ઝન ઇન્સ્ટોલ કરેલું હતું, પરંતુ વાસ્તવમાં તે બીજું ચલાવી રહ્યું હતું.

તેથી દરેકને અપડેટ પછી તમારે ખાતરી કરવી જોઈએ કે તમે નવા સંસ્કરણનો ઉપયોગ કરી રહ્યાં છો!

exim --version

અમે તેમની ચોક્કસ પરિસ્થિતિ સાથે મળીને ઉકેલી.

સર્વરે DirectAdmin અને તેના જૂના da_exim પેકેજનો ઉપયોગ કર્યો (જૂનું સંસ્કરણ, નબળાઈ વિના).

તે જ સમયે, DirectAdmin ના કસ્ટમબિલ્ડ પેકેજ મેનેજરની મદદથી, હકીકતમાં, એક્ઝિમનું નવું વર્ઝન ઇન્સ્ટોલ કરવામાં આવ્યું હતું, જે પહેલાથી જ સંવેદનશીલ હતું.

આ ચોક્કસ પરિસ્થિતિમાં, કસ્ટમબિલ્ડ દ્વારા અપડેટ કરવામાં પણ મદદ મળી.

આવા પ્રયોગો પહેલાં બેકઅપ લેવાનું ભૂલશો નહીં, અને એ પણ ખાતરી કરો કે અપડેટ પહેલાં/પછીની બધી એક્ઝિમ પ્રક્રિયાઓ જૂના સંસ્કરણની છે. અટકાવવામાં આવ્યા હતા અને મેમરીમાં "અટવાઇ" નથી.

સોર્સ: www.habr.com