ធ្វើបច្ចុប្បន្នភាព Exim ជាបន្ទាន់ទៅ 4.92 - មានការឆ្លងមេរោគសកម្ម

សហការីដែលប្រើកំណែ Exim 4.87...4.91 នៅលើម៉ាស៊ីនមេរបស់ពួកគេ - ធ្វើបច្ចុប្បន្នភាពជាបន្ទាន់ទៅកំណែ 4.92 ដោយពីមុនបានបញ្ឈប់ Exim ខ្លួនវា ដើម្បីជៀសវាងការលួចចូលតាមរយៈ CVE-2019-10149 ។

ម៉ាស៊ីនមេរាប់លាននៅជុំវិញពិភពលោកមានសក្តានុពលងាយរងគ្រោះ ភាពងាយរងគ្រោះត្រូវបានវាយតម្លៃថាសំខាន់ (ពិន្ទុមូលដ្ឋាន CVSS 3.0 = 9.8/10)។ អ្នកវាយប្រហារអាចដំណើរការពាក្យបញ្ជាបំពានលើម៉ាស៊ីនមេរបស់អ្នក ក្នុងករណីជាច្រើនពី root ។

សូមប្រាកដថាអ្នកកំពុងប្រើកំណែថេរ (4.92) ឬកំណែដែលបានជួសជុលរួចហើយ។
ឬបិទភ្ជាប់ដែលមានស្រាប់ សូមមើលខ្សែស្រឡាយ មតិ​មិន​ត្រឹមត្រូវ.

ធ្វើបច្ចុប្បន្នភាពសម្រាប់ សេន ៨: សង់​ទី​ម៉ែ​ត។ អត្ថាធិប្បាយដោយ Theodor - សម្រាប់ centos 7 វាក៏ដំណើរការផងដែរ ប្រសិនបើវាមិនទាន់មកដល់ដោយផ្ទាល់ពី epel នៅឡើយទេ។

UPD៖ អ៊ូប៊ុនទូត្រូវបានប៉ះពាល់ 18.04 និង 18.10ការធ្វើបច្ចុប្បន្នភាពត្រូវបានចេញផ្សាយសម្រាប់ពួកគេ។ កំណែ 16.04 និង 19.04 មិនត្រូវបានប៉ះពាល់ទេ លុះត្រាតែជម្រើសផ្ទាល់ខ្លួនត្រូវបានដំឡើងនៅលើពួកវា។ ព័ត៌មានលម្អិតបន្ថែម នៅលើគេហទំព័រផ្លូវការរបស់ពួកគេ.

ព័ត៌មានអំពីបញ្ហានៅលើ Opennet
ព័ត៌មាននៅលើគេហទំព័រ Exim

ឥឡូវនេះបញ្ហាដែលបានពិពណ៌នានៅទីនោះកំពុងត្រូវបានកេងប្រវ័ញ្ចយ៉ាងសកម្ម (ដោយ bot សន្មត) ខ្ញុំបានកត់សម្គាល់ការឆ្លងនៅលើម៉ាស៊ីនមេមួយចំនួន (ដំណើរការលើ 4.91) ។

ការអានបន្ថែមគឺពាក់ព័ន្ធតែចំពោះអ្នកដែលបាន "ទទួលបាន" រួចហើយ - អ្នកត្រូវដឹកជញ្ជូនអ្វីគ្រប់យ៉ាងទៅកាន់ VPS ស្អាតជាមួយកម្មវិធីថ្មីៗ ឬស្វែងរកដំណោះស្រាយ។ តើយើងនឹងព្យាយាមទេ? សរសេរប្រសិនបើនរណាម្នាក់អាចយកឈ្នះមេរោគនេះ។

ប្រសិនបើអ្នកជាអ្នកប្រើប្រាស់ Exim ហើយអានវា នៅតែមិនទាន់បានធ្វើបច្ចុប្បន្នភាព (មិនប្រាកដថា 4.92 ឬកំណែបំណះអាចប្រើបានទេ) សូមឈប់ ហើយដំណើរការដើម្បីធ្វើបច្ចុប្បន្នភាព។

សម្រាប់​អ្នក​ដែល​បាន​ទៅ​ដល់​ហើយ សូម​បន្ត...

UPS៖ supersmile2009 нашел у себя другую разновидность зловреда និងផ្តល់ដំបូន្មានត្រឹមត្រូវ៖

វាអាចមានមេរោគជាច្រើនប្រភេទ។ តាមរយៈការបើកថ្នាំសម្រាប់រឿងខុស និងជម្រះជួរ អ្នកប្រើប្រាស់នឹងមិនអាចព្យាបាលបានឡើយ ហើយប្រហែលជាមិនដឹងថាគាត់ត្រូវព្យាបាលអ្វីនោះទេ។

ការឆ្លងគឺគួរអោយកត់សំគាល់ដូចនេះ៖ [kthrotlds] ផ្ទុក processor; នៅលើ VDS ខ្សោយវាគឺ 100% នៅលើ server វាខ្សោយជាង ប៉ុន្តែគួរឱ្យកត់សម្គាល់។

После заражения зловред удаляет записи в крон, прописывая там только себя в запуском каждые 4 минуты, при этом файл кронтаба делает immutable. Crontab -e មិនអាចរក្សាទុកការផ្លាស់ប្តូរ ផ្តល់កំហុស។

មិនអាចផ្លាស់ប្តូរបានឧទាហរណ៍ដូចនេះ ហើយបន្ទាប់មកលុបបន្ទាត់ពាក្យបញ្ជា (1.5kb)៖

chattr -i /var/spool/cron/root
crontab -e

បន្ទាប់មកនៅក្នុងកម្មវិធីនិពន្ធ crontab (vim) លុបបន្ទាត់ហើយរក្សាទុក៖dd
:wq

ទោះយ៉ាងណាក៏ដោយ ដំណើរការសកម្មមួយចំនួនកំពុងសរសេរជាន់ពីលើម្តងទៀត ខ្ញុំកំពុងរកវាចេញ។

ក្នុងពេលជាមួយគ្នានេះ មាន wget សកម្ម (ឬ curls) ជាច្រើនដែលព្យួរនៅលើអាសយដ្ឋានពីស្គ្រីបកម្មវិធីដំឡើង (សូមមើលខាងក្រោម) ខ្ញុំកំពុងគោះវាដូចនេះសម្រាប់ពេលនេះ ប៉ុន្តែពួកគេចាប់ផ្តើមម្តងទៀត៖

ps aux | grep wge[t]
ps aux | grep cur[l]
echo "Stopping..."
kill -9 `ps aux | grep wge[t] | awk '{print $2}'`
kill -9 `ps aux | grep cur[l] | awk '{print $2}'`

ខ្ញុំបានរកឃើញស្គ្រីបកម្មវិធីដំឡើង Trojan នៅទីនេះ (centos): /usr/local/bin/nptd... ខ្ញុំមិនបង្ហោះវាដើម្បីជៀសវាងវាទេ ប៉ុន្តែប្រសិនបើអ្នកណាម្នាក់ឆ្លងមេរោគ និងយល់អំពីស្គ្រីបសែល សូមសិក្សាវាឱ្យកាន់តែច្បាស់។

ខ្ញុំនឹងបន្ថែមនៅពេលព័ត៌មានត្រូវបានធ្វើបច្ចុប្បន្នភាព។

UPD 1៖ ការលុបឯកសារ (ជាមួយការជជែកបឋម -i) /etc/cron.d/root, /etc/crontab, rm -Rf /var/spool/cron/root មិនបានជួយ ហើយក៏មិនបានបញ្ឈប់សេវាកម្មដែរ - ខ្ញុំត្រូវតែ crontab ទាំងស្រុងសម្រាប់ពេលនេះហែកវាចេញ (ប្តូរឈ្មោះឯកសារ bin) ។

UPD 2: Инсталлятор трояна иногда валялся также в других местах, помог поиск по размеру:
ស្វែងរក / ទំហំ 19825c

UPD 3៖ សូមប្រយ័ត្ន! បន្ថែមពីលើការបិទ selinux, Trojan ក៏បន្ថែមរបស់វាផងដែរ។ សោ SSH ក្នុង ${sshdir}/authorized_keys! ហើយធ្វើឱ្យវាលខាងក្រោមសកម្មនៅក្នុង /etc/ssh/sshd_config ប្រសិនបើពួកវាមិនទាន់ត្រូវបានកំណត់ទៅ YES៖
បាទ / ចាសយល់ព្រម
ការផ្ទៀងផ្ទាត់ RSAA បាទ
មែន
បន្ទរ UsePAM បាទ
ការផ្ទៀងផ្ទាត់ពាក្យសម្ងាត់ បាទ

UPD 4: ដើម្បីសង្ខេបសម្រាប់ពេលនេះ៖ បិទ Exim, cron (ជាមួយ root) យក Trojan key ចេញពី ssh ជាបន្ទាន់ ហើយកែសម្រួល sshd config ចាប់ផ្តើម sshd ឡើងវិញ! ហើយ​វា​មិន​ទាន់​ច្បាស់​ថា​វា​អាច​ជួយ​បាន​នោះ​ទេ ប៉ុន្តែ​បើ​គ្មាន​វា​មាន​បញ្ហា។

ខ្ញុំបានផ្លាស់ប្តូរព័ត៌មានសំខាន់ៗពីមតិយោបល់អំពីបំណះ/ការអាប់ដេតទៅកាន់ដើមចំណាំ ដូច្នេះអ្នកអានចាប់ផ្តើមជាមួយវា។

UPD 5៖ មួយទៀត ដេនី សរសេរ ថាមេរោគបានផ្លាស់ប្តូរពាក្យសម្ងាត់នៅក្នុង WordPress ។

UPD 6៖ Paulmann បានរៀបចំការព្យាបាលបណ្តោះអាសន្ន, តោះ​សាក​ល្បង! បន្ទាប់ពីការបិទបើកឡើងវិញ ឬបិទ ឱសថហាក់ដូចជាបាត់ ប៉ុន្តែសម្រាប់ពេលនេះយ៉ាងហោចណាស់ក៏វាបាត់ដែរ។

នរណាម្នាក់ដែលបង្កើត (ឬរកឃើញ) ដំណោះស្រាយដែលមានស្ថេរភាព សូមសរសេរ អ្នកនឹងជួយជាច្រើន។

UPD 7៖ អ្នកប្រើប្រាស់ clsv សរសេរ៖

ប្រសិនបើអ្នកមិនទាន់បាននិយាយថាមេរោគត្រូវបានរស់ឡើងវិញទេ អរគុណចំពោះសំបុត្រដែលមិនបានផ្ញើនៅក្នុង Exim នៅពេលអ្នកព្យាយាមផ្ញើសំបុត្រម្តងទៀត វាត្រូវបានស្ដារឡើងវិញ រកមើលក្នុង /var/spool/exim4

អ្នកអាចសម្អាតជួរ Exim ទាំងមូលដូចនេះ៖
exipick -i | xargs exim -Mrm
ពិនិត្យចំនួនធាតុនៅក្នុងជួរ៖
exim -bpc

UPD 8: ម្តងទៀត សូមអរគុណសម្រាប់ព័ត៌មាន AnotherDenny៖ FirstVDS ផ្តល់ជូនកំណែនៃការព្យាបាលរបស់ពួកគេ សូមសាកល្បងវា!

UPD 9: វាមើលទៅដូចជា работает, សូមអរគុណ គីរីល។ សម្រាប់ស្គ្រីប!

Главное не забудьте что сервер уже был скомпрометирован и злоумышленники могли успеть ещё каких-то нетиповых гадостей (не прописанных в дроппере) подсадить.

ដូច្នេះវាជាការប្រសើរក្នុងការផ្លាស់ទីទៅម៉ាស៊ីនមេដែលបានដំឡើងទាំងស្រុង (vds) ឬយ៉ាងហោចណាស់បន្តតាមដានប្រធានបទ - ប្រសិនបើមានអ្វីថ្មីសូមសរសេរនៅក្នុងមតិយោបល់នៅទីនេះព្រោះ ជាក់ស្តែងមិនមែនគ្រប់គ្នានឹងផ្លាស់ទៅការដំឡើងថ្មីទេ...

UPD 10៖ សូមអរគុណម្តងទៀត clsv: он напоминает что заражаются не только серверы, но например и Raspberry Piនិងគ្រប់ប្រភេទនៃម៉ាស៊ីននិម្មិត... ដូច្នេះបន្ទាប់ពីរក្សាទុកម៉ាស៊ីនមេ កុំភ្លេចរក្សាទុកម៉ាស៊ីនវីដេអូ រ៉ូបូត ជាដើម។

UPD 11: ពី អ្នកនិពន្ធនៃស្គ្រីបព្យាបាល កំណត់ចំណាំសំខាន់សម្រាប់អ្នកព្យាបាលដោយដៃ៖
(បន្ទាប់​ពី​ប្រើ​វិធី​មួយ​ឬ​ផ្សេង​ទៀត​ក្នុង​ការ​ប្រយុទ្ធ​ប្រឆាំង​មេរោគ​នេះ)

អ្នកប្រាកដជាត្រូវចាប់ផ្តើមឡើងវិញ - មេរោគស្ថិតនៅកន្លែងណាមួយនៅក្នុងដំណើរការបើកចំហ ហើយតាមនោះនៅក្នុងអង្គចងចាំ ហើយសរសេរដោយខ្លួនឯងនូវកម្មវិធីថ្មីមួយដើម្បី cron រៀងរាល់ 30 វិនាទី។

UPD 12៖ supersmile 2009 បានរកឃើញ Exim មានមេរោគ (?) មួយផ្សេងទៀតនៅក្នុងជួររបស់វា ហើយណែនាំអ្នកឱ្យសិក្សាពីបញ្ហាជាក់លាក់របស់អ្នកជាមុនសិន មុនពេលចាប់ផ្តើមការព្យាបាល។

UPD 13៖ lorc советует ជាជាង ផ្លាស់ទីទៅប្រព័ន្ធស្អាត ហើយផ្ទេរឯកសារដោយប្រុងប្រយ័ត្នបំផុត ពីព្រោះ មេរោគនេះអាចប្រើបានជាសាធារណៈរួចហើយ ហើយអាចប្រើក្នុងវិធីផ្សេងទៀត ដែលមិនសូវច្បាស់ និងគ្រោះថ្នាក់ជាង។

UPD 14៖ ធានាខ្លួនយើងថាមនុស្សឆ្លាតមិនរត់ចេញពីឫស - រឿងមួយទៀត срочное сообщение от clsv:

ទោះបីជាវាមិនដំណើរការតាំងពី root ក៏ដោយ ក៏ការលួចចូលកើតឡើង... ខ្ញុំមាន debian jessie UPD៖ លាតសន្ធឹងលើ OrangePi របស់ខ្ញុំ Exim កំពុងដំណើរការពី Debian-exim ហើយនៅតែលួចចូល បាត់មកុដ ជាដើម។

UPD 15: при переезде на чистый сервер со скомпрометированного не забывайте про гигиену, ការរំលឹកមានប្រយោជន៍ពី w0den:

При переносе данных обратите внимание не только на исполняемые или конфигурационные файлы, но и всё что может содержать вредоносные команды (например, в MySQL это может быть CREATE TRIGGER или CREATE EVENT). Также, не забывайте о .html, .js, .php, .py и других публичных файлах (в идеале эти файлы, как и другие данные, должны быть восстановлены из локального или другого доверенного хранилища).

UPD 16៖ daykkin и savage_me បានជួបប្រទះបញ្ហាមួយទៀត៖ ប្រព័ន្ធមានកំណែ Exim មួយដែលបានដំឡើងនៅក្នុងច្រក ប៉ុន្តែតាមពិតវាកំពុងដំណើរការមួយផ្សេងទៀត។

ដូច្នេះអ្នករាល់គ្នា បន្ទាប់ពីការអាប់ដេត អ្នកគួរតែប្រាកដ ដែលអ្នកកំពុងប្រើកំណែថ្មី!

exim --version

យើងបានតម្រៀបចេញនូវស្ថានភាពជាក់លាក់របស់ពួកគេជាមួយគ្នា។

ម៉ាស៊ីនមេបានប្រើ DirectAdmin និងកញ្ចប់ da_exim ចាស់របស់វា (កំណែចាស់ ដោយគ្មានភាពងាយរងគ្រោះ)។

ក្នុងពេលជាមួយគ្នានេះ ដោយមានជំនួយពីកម្មវិធីគ្រប់គ្រងកញ្ចប់ custombuild របស់ DirectAdmin តាមពិត កំណែថ្មីនៃ Exim ត្រូវបានដំឡើង ដែលវាងាយរងគ្រោះរួចទៅហើយ។

ក្នុងស្ថានភាពពិសេសនេះ ការធ្វើបច្ចុប្បន្នភាពតាមរយៈ custombuild ក៏ជួយផងដែរ។

កុំភ្លេចធ្វើការបម្រុងទុកមុនពេលការពិសោធន៍បែបនេះ ហើយត្រូវប្រាកដថាមុន/ក្រោយការអាប់ដេតដំណើរការ Exim ទាំងអស់គឺជាកំណែចាស់។ ត្រូវបានបញ្ឈប់ និងមិន "ជាប់គាំង" នៅក្នុងការចងចាំ។

ប្រភព: www.habr.com