Exim을 4.92로 긴급 업데이트하세요. 활성 감염이 있습니다.

메일 서버에서 Exim 버전 4.87...4.91을 사용하는 동료 - CVE-4.92-2019를 통한 해킹을 피하기 위해 이전에 Exim 자체를 중지한 후 버전 10149로 긴급 업데이트하십시오.

전 세계 수백만 대의 서버가 잠재적으로 취약하며 이 취약성은 심각한 수준으로 평가됩니다(CVSS 3.0 기본 점수 = 9.8/10). 공격자는 대부분의 경우 루트에서 서버에 임의 명령을 실행할 수 있습니다.

수정된 버전(4.92)이나 이미 패치된 버전을 사용하고 있는지 확인하세요.
아니면 기존 패치를 패치하세요. 스레드를 참조하세요. 흠잡을 데 없는 댓글.

업데이트 대상 CentOS 6: 센티미터. 테오도르의 코멘트 — centos 7의 경우 아직 epel에서 직접 도착하지 않은 경우에도 작동합니다.

UPD: 우분투가 영향을 받았습니다 18.04 및 18.10, 업데이트가 출시되었습니다. 버전 16.04 및 19.04는 사용자 정의 옵션이 설치되어 있지 않으면 영향을 받지 않습니다. 자세한 내용은 공식 웹 사이트에서.

Opennet의 문제에 대한 정보
Exim 웹사이트 정보

이제 설명된 문제가 (아마도 봇에 의해) 활발하게 악용되고 있으며 일부 서버(4.91에서 실행)에서 감염이 발견되었습니다.

추가 자료는 이미 "해득한" 사용자에게만 해당됩니다. 새로운 소프트웨어를 사용하여 모든 것을 깨끗한 VPS로 전송하거나 솔루션을 찾아야 합니다. 시도해 볼까요? 누구든지 이 악성코드를 극복할 수 있는지 적어보세요.

Exim 사용자이면서 이 글을 읽고 계시다면 아직 업데이트하지 않으셨다면(4.92 또는 패치 버전이 사용 가능한지 확인하지 않으셨다면), 업데이트를 중단하고 실행하시기 바랍니다.

이미 도착하신 분들을 위해 계속 진행하겠습니다.

UPD : supersmile2009에서 또 다른 유형의 악성 코드 발견 그리고 올바른 조언을 제공합니다:

매우 다양한 악성코드가 있을 수 있습니다. 잘못된 것에 약을 발사하고 대기열을 삭제하면 사용자는 치료되지 않으며 치료가 필요한지 알지 못할 수도 있습니다.

감염은 다음과 같이 눈에 띕니다. [kthrotlds]가 프로세서를 로드합니다. 약한 VDS에서는 100%이고, 서버에서는 약하지만 눈에 띕니다.

감염 후 악성 코드는 cron 항목을 삭제하고 4분마다 실행되도록 자신만 등록하며 crontab 파일은 변경할 수 없게 만듭니다. 크론탭 -e 변경 사항을 저장할 수 없으며 오류가 발생합니다.

예를 들어 Immutable은 다음과 같이 제거한 다음 명령줄(1.5kb)을 삭제할 수 있습니다.

chattr -i /var/spool/cron/root
crontab -e

다음으로 crontab 편집기(vim)에서 해당 줄을 삭제하고 저장합니다.dd
:wq

그런데 활성 프로세스 중 일부를 다시 덮어쓰는 현상이 발생하는 것으로 파악 중입니다.

동시에 설치 프로그램 스크립트의 주소에 활성 wget(또는 컬)이 많이 걸려 있습니다(아래 참조). 지금은 다음과 같이 쓰러뜨리지만 다시 시작됩니다.

ps aux | grep wge[t]
ps aux | grep cur[l]
echo "Stopping..."
kill -9 `ps aux | grep wge[t] | awk '{print $2}'`
kill -9 `ps aux | grep cur[l] | awk '{print $2}'`

트로이 목마 설치 프로그램 스크립트를 여기(centos)에서 찾았습니다(centos): /usr/local/bin/nptd... 이를 피하기 위해 게시하는 것은 아니지만, 감염된 사람이 있고 쉘 스크립트를 이해하는 사람이 있다면 좀 더 주의 깊게 연구하시기 바랍니다.

정보가 업데이트되는대로 추가하겠습니다.

UPD 1: 파일 삭제(예비 chattr -i 사용) /etc/cron.d/root, /etc/crontab, rm -Rf /var/spool/cron/root가 도움이 되지 않았거나 서비스가 중지되지 않았습니다. 지금은 crontab을 완전히 제거하세요(bin 파일 이름 바꾸기).

UPD 2: 트로이 목마 설치 프로그램은 때때로 다른 위치에 놓여 있어서 크기별로 검색하는 데 도움이 되었습니다.
찾기 / -크기 19825c

업데이트 3: 경고! selinux를 비활성화하는 것 외에도 트로이 목마는 자체적인 기능도 추가합니다. SSH 키 ${sshdir}/authorized_keys에 있습니다! 아직 YES로 설정되지 않은 경우 /etc/ssh/sshd_config에서 다음 필드를 활성화합니다.
PermitRootLogin 예
RSA 인증 예
PubkeyAuthentication 예
에코 UsePAM 예
PasswordAuthentication 예

UPD 4: 지금 요약하자면: Exim, cron(루트 포함)을 비활성화하고, ssh에서 트로이 목마 키를 긴급하게 제거하고, sshd 구성을 편집하고, sshd를 다시 시작하세요! 그리고 이것이 도움이 될지는 아직 확실하지 않지만 이것이 없으면 문제가 있습니다.

패치/업데이트에 대한 의견에서 중요한 정보를 노트 시작 부분으로 옮겨 독자들이 그 내용부터 시작할 수 있도록 했습니다.

업데이트 5: 또 다른데니가 쓴다 악성코드가 WordPress의 비밀번호를 변경했다는 사실입니다.

업데이트 6: 파울만은 임시 치료법을 준비했다, 테스트하자! 재부팅하거나 종료한 후에는 약이 사라지는 것처럼 보이지만 적어도 지금은 그게 전부입니다.

안정적인 솔루션을 만드는(또는 찾는) 사람이 있으면 글을 써주세요. 많은 도움이 될 것입니다.

업데이트 7: 사용자 clsv 씁니다 :

엑심에서 보내지 않은 편지 때문에 바이러스가 부활했다는 말을 아직 안 하셨다면, 다시 편지를 보내려고 하면 복원이 되니 /var/spool/exim4 를 보세요.

다음과 같이 전체 Exim 대기열을 지울 수 있습니다.
엑시픽 -i | xargs exim -Mrm
대기열의 항목 수 확인:
엑심 -bpc

UPD 8: 다시 정보 감사합니다 AnotherDenny: FirstVDS가 자체 버전의 치료 스크립트를 제공했습니다. 테스트해 보겠습니다!

UPD 9: 그런 것 같아요 작품고마워. 키릴 대본을 위해!

가장 중요한 것은 서버가 이미 손상되었으며 공격자가 좀 더 비정형적인 불쾌한 항목(드로퍼에 나열되지 않음)을 심을 수 있었다는 사실을 잊지 않는 것입니다.

따라서 완전히 설치된 서버(vds)로 이동하거나 적어도 주제를 계속 모니터링하는 것이 좋습니다. 새로운 것이 있으면 여기에 의견을 작성하십시오. 분명히 모든 사람이 새로 설치한 곳으로 이동하지는 않을 것입니다...

UPD 10: 다시 한 번 감사드립니다. clsv: 서버가 감염되었을 뿐만 아니라, 라즈베리 파이, 그리고 모든 종류의 가상 머신... 따라서 서버를 저장한 후에는 비디오 콘솔, 로봇 등을 저장하는 것을 잊지 마십시오.

UPD 11: 시작 힐링 스크립트 작성자 수동 치료사를 위한 중요 참고 사항:
(이 악성 코드를 퇴치하는 하나 이상의 방법을 사용한 후)

반드시 재부팅해야 합니다. 악성 코드는 열려 있는 프로세스의 어딘가에 메모리에 위치하며 30초마다 cron에 새 악성 코드를 작성합니다.

업데이트 12: supersmile2009 발견 Exim은 대기열에 또 다른(?) 악성 코드를 가지고 있으며 치료를 시작하기 전에 먼저 특정 문제를 연구할 것을 조언합니다.

업데이트 13: lorc가 조언한다 오히려 깨끗한 시스템으로 이동하고 매우 조심스럽게 파일을 전송하십시오. 이 악성 코드는 이미 공개적으로 사용 가능하며 덜 분명하고 더 위험한 다른 방식으로 사용될 수 있습니다.

UPD 14: 똑똑한 사람들은 루트에서 도망치지 않는다는 사실을 스스로 확신시키기 - 한 가지 더 clsv에서 보낸 긴급 메시지:

루트에서 작동하지 않더라도 해킹이 발생합니다... Debian jessie UPD가 있습니다. OrangePi에서 확장하고 Exim은 Debian-exim에서 실행 중인데 여전히 해킹이 발생하고 크라운이 손실됩니다.

UPD 15: 손상된 서버에서 깨끗한 서버로 이동할 때 위생을 잊지 마세요. w0den의 유용한 알림:

데이터를 전송할 때 실행 파일이나 구성 파일뿐만 아니라 악성 명령이 포함될 수 있는 모든 항목에도 주의를 기울이십시오(예: MySQL에서는 CREATE TRIGGER 또는 CREATE EVENT일 수 있음). 또한 .html, .js, .php, .py 및 기타 공용 파일도 잊지 마세요. (이상적으로 이러한 파일은 다른 데이터와 마찬가지로 로컬 또는 기타 신뢰할 수 있는 저장소에서 복원해야 합니다.)

업데이트 16: 데이킨 и 야만인_나 또 다른 문제가 발생했습니다: 시스템에는 포트에 Exim의 한 버전이 설치되어 있었지만 실제로는 다른 버전을 실행하고 있었습니다.

그러니 여러분 업데이트 후에는 다음 사항을 확인해야 합니다. 새 버전을 사용하고 계시군요!

exim --version

우리는 그들의 구체적인 상황을 함께 정리했습니다.

서버는 DirectAdmin과 이전 da_exim 패키지(취약점이 없는 이전 버전)를 사용했습니다.

동시에 DirectAdmin의 custombuild 패키지 관리자의 도움으로 실제로 이미 취약한 최신 버전의 Exim이 설치되었습니다.

이 특별한 상황에서는 custombuild를 통한 업데이트도 도움이 되었습니다.

이러한 실험 전에 백업하는 것을 잊지 말고 업데이트 전/후에 모든 Exim 프로세스가 이전 버전인지 확인하십시오. 멈췄다 메모리에 "고착"되지 않습니다.

출처 : habr.com