एक्ज़िम को तत्काल 4.92 पर अपडेट करें - एक सक्रिय संक्रमण है

सहकर्मी जो अपने मेल सर्वर पर एक्ज़िम संस्करण 4.87...4.91 का उपयोग करते हैं - तत्काल संस्करण 4.92 में अपडेट करें, उन्होंने पहले सीवीई-2019-10149 के माध्यम से हैकिंग से बचने के लिए एक्ज़िम को ही बंद कर दिया था।

दुनिया भर में कई मिलियन सर्वर संभावित रूप से असुरक्षित हैं, भेद्यता को महत्वपूर्ण माना गया है (सीवीएसएस 3.0 बेस स्कोर = 9.8/10)। हमलावर आपके सर्वर पर, कई मामलों में रूट से, मनमाने कमांड चला सकते हैं।

कृपया सुनिश्चित करें कि आप एक निश्चित संस्करण (4.92) का उपयोग कर रहे हैं या जिसे पहले ही पैच किया जा चुका है।
या मौजूदा को पैच करें, थ्रेड देखें बेदाग टिप्पणी.

के लिए अद्यतन करें CentOS 6: सेमी। थिओडोर की टिप्पणी - सेंटोस 7 के लिए भी यह काम करता है, अगर यह अभी तक सीधे एपेल से नहीं आया है।

यूपीडी: उबंटू प्रभावित है 18.04 और 18.10उनके लिए एक अपडेट जारी किया गया है. संस्करण 16.04 और 19.04 तब तक प्रभावित नहीं होते जब तक कि उन पर कस्टम विकल्प स्थापित नहीं किए गए हों। अधिक जानकारी उनकी आधिकारिक वेबसाइट पर.

ओपननेट पर समस्या के बारे में जानकारी
एक्ज़िम वेबसाइट पर जानकारी

अब वहां वर्णित समस्या का सक्रिय रूप से शोषण किया जा रहा है (संभवतः एक बॉट द्वारा), मैंने कुछ सर्वरों पर एक संक्रमण देखा (4.91 पर चल रहा है)।

आगे पढ़ना केवल उन लोगों के लिए प्रासंगिक है जो पहले से ही "इसे प्राप्त कर चुके हैं" - आपको या तो सब कुछ ताजा सॉफ्टवेयर के साथ एक साफ वीपीएस में ले जाना होगा, या समाधान की तलाश करनी होगी। क्या हम प्रयास करें? यदि कोई इस मैलवेयर पर काबू पा सकता है तो लिखें।

यदि आप, एक एक्ज़िम उपयोगकर्ता होने के नाते और इसे पढ़ रहे हैं, फिर भी अपडेट नहीं किया है (सुनिश्चित नहीं किया है कि 4.92 या पैच संस्करण उपलब्ध है), तो कृपया रुकें और अपडेट करने के लिए दौड़ें।

उन लोगों के लिए जो पहले ही वहां पहुंच चुके हैं, आइए जारी रखें...

युपीडी: supersmile2009 को एक अन्य प्रकार का मैलवेयर मिला और सही सलाह देता है:

मैलवेयर की एक विशाल विविधता हो सकती है. गलत चीज़ के लिए दवा लॉन्च करने और कतार साफ़ करने से, उपयोगकर्ता ठीक नहीं होगा और उसे पता नहीं चलेगा कि उसे किस इलाज की आवश्यकता है।

संक्रमण इस प्रकार ध्यान देने योग्य है: [kthrotlds] प्रोसेसर को लोड करता है; कमजोर वीडीएस पर यह 100% है, सर्वर पर यह कमजोर है लेकिन ध्यान देने योग्य है।

संक्रमण के बाद, मैलवेयर क्रॉन प्रविष्टियों को हटा देता है, हर 4 मिनट में चलाने के लिए केवल वहां खुद को पंजीकृत करता है, जबकि क्रॉस्टैब फ़ाइल को अपरिवर्तनीय बनाता है। क्रोंटैब -इ परिवर्तन सहेज नहीं सकता, त्रुटि देता है।

अपरिवर्तनीय को हटाया जा सकता है, उदाहरण के लिए, इस तरह, और फिर कमांड लाइन (1.5kb) को हटा दें:

chattr -i /var/spool/cron/root
crontab -e

इसके बाद, crontab संपादक (vim) में, लाइन हटाएं और सहेजें:dd
:wq

हालाँकि, कुछ सक्रिय प्रक्रियाएँ फिर से ओवरराइट हो रही हैं, मैं इसका पता लगा रहा हूँ।

उसी समय, इंस्टॉलर स्क्रिप्ट (नीचे देखें) के पतों पर सक्रिय wgets (या कर्ल) का एक समूह लटका हुआ है, मैं उन्हें अभी के लिए इस तरह से नीचे गिरा रहा हूं, लेकिन वे फिर से शुरू हो जाते हैं:

ps aux | grep wge[t]
ps aux | grep cur[l]
echo "Stopping..."
kill -9 `ps aux | grep wge[t] | awk '{print $2}'`
kill -9 `ps aux | grep cur[l] | awk '{print $2}'`

मुझे यहां ट्रोजन इंस्टॉलर स्क्रिप्ट मिली (सेंटोस): /usr/local/bin/nptd... मैं इसे बचने के लिए पोस्ट नहीं कर रहा हूं, लेकिन अगर कोई संक्रमित है और शेल स्क्रिप्ट को समझता है, तो कृपया इसका अधिक ध्यान से अध्ययन करें।

जानकारी अद्यतन होने पर मैं जोड़ दूंगा।

UPD 1: फ़ाइलें हटाने से (प्रारंभिक चैटर -i के साथ) /etc/cron.d/root, /etc/crontab, rm -Rf /var/spool/cron/root से कोई मदद नहीं मिली, न ही सेवा बंद हुई - मुझे ऐसा करना पड़ा अभी के लिए crontab को पूरी तरह से फाड़ दें (बिन फ़ाइल का नाम बदलें)।

यूपीडी 2: ट्रोजन इंस्टॉलर कभी-कभी अन्य स्थानों पर भी पड़ा रहता था, आकार के आधार पर खोजने से मदद मिली:
खोजें/-आकार 19825सी

यूपीडी 3: चेतावनी! सेलिनक्स को अक्षम करने के अलावा, ट्रोजन अपना स्वयं का भी जोड़ता है एसएसएच कुंजी ${sshdir}/authorized_keys में! और निम्नलिखित फ़ील्ड को /etc/ssh/sshd_config में सक्रिय करता है, यदि वे पहले से ही हाँ पर सेट नहीं हैं:
PermitRootLogin हाँ
आरएसएएप्रमाणीकरण हाँ
पब्कुअथेंटिकेशन हाँ
इको यूज़पैम हाँ
पासवर्ड प्रमाणीकरण हाँ

यूपीडी 4: अभी के लिए संक्षेप में: एक्ज़िम, क्रॉन (जड़ों के साथ) को अक्षम करें, एसएसएच से ट्रोजन कुंजी को तत्काल हटाएं और एसएसएचडी कॉन्फ़िगरेशन को संपादित करें, एसएसएचडी को पुनरारंभ करें! और यह अभी तक स्पष्ट नहीं है कि इससे मदद मिलेगी, लेकिन इसके बिना समस्या है।

मैंने पैच/अपडेट के बारे में टिप्पणियों से महत्वपूर्ण जानकारी को नोट की शुरुआत में स्थानांतरित कर दिया, ताकि पाठक इससे शुरुआत करें।

यूपीडी 5: एक और डेनी लिखते हैं कि मैलवेयर ने वर्डप्रेस में पासवर्ड बदल दिए।

यूपीडी 6: पॉलमैन ने एक अस्थायी इलाज तैयार किया, आइए परीक्षण करें! रीबूट या शटडाउन के बाद, दवा गायब होने लगती है, लेकिन अभी कम से कम इतना ही है।

जो कोई भी कोई स्थिर समाधान बनाता है (या पाता है), कृपया लिखें, आप कई लोगों की मदद करेंगे।

यूपीडी 7: उपयोगकर्ता सीएलएसवी वे लिखते हैं:

यदि आपने पहले से नहीं कहा है कि एक्ज़िम में एक न भेजे गए पत्र के कारण वायरस पुनर्जीवित हो गया है, तो जब आप पत्र को दोबारा भेजने का प्रयास करते हैं, तो यह पुनर्स्थापित हो जाता है, /var/spool/exim4 में देखें

आप संपूर्ण एक्ज़िम कतार को इस प्रकार साफ़ कर सकते हैं:
एक्सिपिक -आई | xargs एक्ज़िम -Mrm
कतार में प्रविष्टियों की संख्या की जाँच करना:
एक्ज़िम-बीपीसी

युपीडी 8: फिर से जानकारी के लिए धन्यवाद एनदरडेनी: फर्स्टवीडीएस ने उपचार स्क्रिप्ट का अपना संस्करण पेश किया, आइए इसका परीक्षण करें!

यूपीडी 9: ऐसा लगता है कार्य, धन्यवाद किरिल स्क्रिप्ट के लिए!

मुख्य बात यह नहीं भूलना है कि सर्वर पहले से ही समझौता किया गया था और हमलावर कुछ और असामान्य गंदी चीजें (ड्रॉपर में सूचीबद्ध नहीं) लगाने में कामयाब हो सकते थे।

इसलिए, पूरी तरह से स्थापित सर्वर (वीडीएस) पर जाना बेहतर है, या कम से कम विषय की निगरानी करना जारी रखें - यदि कुछ नया है, तो यहां टिप्पणियों में लिखें, क्योंकि जाहिर तौर पर हर कोई नए इंस्टालेशन की ओर नहीं जाएगा...

युपीडी 10: पुनः धन्यवाद सीएलएसवी: यह याद दिलाता है कि न केवल सर्वर संक्रमित हैं, बल्कि रास्पबेरी पाई, और सभी प्रकार की वर्चुअल मशीनें... इसलिए सर्वर को सहेजने के बाद, अपने वीडियो कंसोल, रोबोट आदि को सहेजना न भूलें।

यूपीडी 11: से उपचार लिपि के लेखक हाथ से उपचार करने वालों के लिए महत्वपूर्ण सूचना:
(इस मैलवेयर से निपटने के किसी न किसी तरीके का उपयोग करने के बाद)

आपको निश्चित रूप से रीबूट करने की आवश्यकता है - मैलवेयर खुली प्रक्रियाओं में और तदनुसार, मेमोरी में कहीं बैठता है, और हर 30 सेकंड में क्रॉन करने के लिए खुद को एक नया लिखता है

यूपीडी 12: सुपरस्माइल2009 मिला एक्ज़िम की कतार में एक और (?) मैलवेयर है और वह आपको उपचार शुरू करने से पहले अपनी विशिष्ट समस्या का अध्ययन करने की सलाह देता है।

यूपीडी 13: लोर्क सलाह देते हैं बल्कि, एक साफ़ सिस्टम पर जाएँ, और फ़ाइलों को बेहद सावधानी से स्थानांतरित करें, क्योंकि मैलवेयर पहले से ही सार्वजनिक रूप से उपलब्ध है और इसका उपयोग अन्य, कम स्पष्ट और अधिक खतरनाक तरीकों से किया जा सकता है।

यूपीडी 14: खुद को आश्वस्त करना कि स्मार्ट लोग जड़ से नहीं भागते - एक और बात सीएलएसवी से अत्यावश्यक संदेश:

भले ही यह रूट से काम नहीं करता है, हैकिंग होती है... मेरे पास डेबियन जेसी यूपीडी है: मेरे ऑरेंजपी पर खिंचाव, एक्ज़िम डेबियन-एक्ज़िम से चल रहा है और फिर भी हैकिंग हुई, मुकुट खो गए, आदि।

यूपीडी 15: समझौता किए गए सर्वर से स्वच्छ सर्वर पर जाते समय, स्वच्छता के बारे में न भूलें, w0den से उपयोगी अनुस्मारक:

डेटा स्थानांतरित करते समय, न केवल निष्पादन योग्य या कॉन्फ़िगरेशन फ़ाइलों पर ध्यान दें, बल्कि ऐसी किसी भी चीज़ पर भी ध्यान दें जिसमें दुर्भावनापूर्ण कमांड हो सकते हैं (उदाहरण के लिए, MySQL में यह CREATE TRIGGER या CREATE EVENT हो सकता है)। इसके अलावा, .html, .js, .php, .py और अन्य सार्वजनिक फ़ाइलों के बारे में न भूलें (आदर्श रूप से इन फ़ाइलों को, अन्य डेटा की तरह, स्थानीय या अन्य विश्वसनीय भंडारण से पुनर्स्थापित किया जाना चाहिए)।

यूपीडी 16: डेक्किन и वहशी_मुझे एक और समस्या का सामना करना पड़ा: सिस्टम के बंदरगाहों में एक्ज़िम का एक संस्करण स्थापित था, लेकिन वास्तव में यह दूसरा चला रहा था।

तो हर कोई अपडेट के बाद आपको यह सुनिश्चित कर लेना चाहिए कि आप नये संस्करण का उपयोग कर रहे हैं!

exim --version

हमने मिलकर उनकी विशिष्ट स्थिति का समाधान निकाला।

सर्वर ने DirectAdmin और उसके पुराने da_exim पैकेज (पुराना संस्करण, बिना भेद्यता के) का उपयोग किया।

उसी समय, डायरेक्टएडमिन के कस्टमबिल्ड पैकेज मैनेजर की मदद से, वास्तव में, एक्ज़िम का एक नया संस्करण स्थापित किया गया था, जो पहले से ही असुरक्षित था।

इस विशेष स्थिति में, कस्टमबिल्ड के माध्यम से अपडेट करने से भी मदद मिली।

ऐसे प्रयोगों से पहले बैकअप बनाना न भूलें, और यह भी सुनिश्चित करें कि अपडेट से पहले/बाद में सभी एक्ज़िम प्रक्रियाएं पुराने संस्करण की हों रोका गया और स्मृति में "फँसा" नहीं।

स्रोत: www.habr.com