ອັບເດດ Exim ເປັນ 4.92 ດ່ວນ - ມີການຕິດເຊື້ອຢ່າງຫ້າວຫັນ

ເພື່ອນຮ່ວມງານທີ່ໃຊ້ Exim ເວີຊັ່ນ 4.87...4.91 ຢູ່ໃນເຊີບເວີເມລຂອງພວກເຂົາ - ຮີບດ່ວນອັບເດດເປັນເວີຊັ່ນ 4.92, ຜ່ານມາໄດ້ຢຸດ Exim ຕົວມັນເອງເພື່ອຫຼີກເວັ້ນການແຮັກຜ່ານ CVE-2019-10149.

ຫຼາຍລ້ານເຊີບເວີທົ່ວໂລກມີທ່າແຮງ, ຊ່ອງໂຫວ່ຖືກຈັດອັນດັບເປັນຈຸດສຳຄັນ (CVSS 3.0 ຄະແນນພື້ນຖານ = 9.8/10). ຜູ້ໂຈມຕີສາມາດດໍາເນີນການຄໍາສັ່ງ arbitrary ໃນເຄື່ອງແມ່ຂ່າຍຂອງທ່ານ, ໃນຫຼາຍໆກໍລະນີຈາກຮາກ.

ກະ​ລຸ​ນາ​ເຮັດ​ໃຫ້​ແນ່​ໃຈວ່​າ​ທ່ານ​ກໍາ​ລັງ​ໃຊ້​ສະ​ບັບ​ສ້ອມ​ແປງ (4.92​) ຫຼື​ຫນຶ່ງ​ທີ່​ໄດ້​ຮັບ​ການ patched ແລ້ວ​.
ຫຼືແກ້ໄຂທີ່ມີຢູ່ແລ້ວ, ເບິ່ງກະທູ້ ຄໍາ​ຄິດ​ເຫັນ​ທີ່​ບໍ່​ສົມ​ບູນ​.

ອັບເດດສໍາລັບ ເຊັນໂຕທີ 6: ຊັງ​ຕີ​ແມັດ. ຄໍາເຫັນໂດຍ Theodor - ສໍາລັບ centos 7 ມັນຍັງເຮັດວຽກ, ຖ້າມັນຍັງບໍ່ທັນມາຮອດໂດຍກົງຈາກ epel ເທື່ອ.

UPD: Ubuntu ໄດ້ຮັບຜົນກະທົບ 18.04 ແລະ 18.10, ການປັບປຸງໄດ້ຖືກປ່ອຍອອກມາສໍາລັບພວກເຂົາ. ເວີຊັ່ນ 16.04 ແລະ 19.04 ບໍ່ໄດ້ຮັບຜົນກະທົບເວັ້ນເສຍແຕ່ວ່າທາງເລືອກທີ່ກຳນົດເອງໄດ້ຕິດຕັ້ງໃສ່ພວກມັນ. ລາຍ​ລະ​ອຽດ​ເພີ່ມ​ເຕີມ ຢູ່ໃນເວັບໄຊທ໌ທາງການຂອງພວກເຂົາ.

ຂໍ້ມູນກ່ຽວກັບບັນຫາໃນ Opennet
ຂໍ້ມູນກ່ຽວກັບເວັບໄຊທ໌ Exim

ໃນປັດຈຸບັນບັນຫາທີ່ອະທິບາຍວ່າມີການຂູດຮີດຢ່າງຈິງຈັງ (ໂດຍ bot, ຄາດວ່າ), ຂ້າພະເຈົ້າໄດ້ສັງເກດເຫັນການຕິດເຊື້ອໃນບາງເຄື່ອງແມ່ຂ່າຍ (ແລ່ນຢູ່ໃນ 4.91).

ການອ່ານເພີ່ມເຕີມແມ່ນມີຄວາມກ່ຽວຂ້ອງພຽງແຕ່ສໍາລັບຜູ້ທີ່ "ໄດ້ຮັບມັນ" ແລ້ວ - ທ່ານຈໍາເປັນຕ້ອງຂົນສົ່ງທຸກສິ່ງທຸກຢ່າງໄປສູ່ VPS ທີ່ສະອາດດ້ວຍຊອບແວສົດ, ຫຼືຊອກຫາວິທີແກ້ໄຂ. ພວກເຮົາຈະພະຍາຍາມບໍ? ຂຽນຖ້າໃຜສາມາດເອົາຊະນະ malware ນີ້.

ຖ້າ​ຫາກ​ວ່າ​ທ່ານ​, ເປັນ​ຜູ້​ໃຊ້ Exim ແລະ​ອ່ານ​ນີ້​, ຍັງ​ບໍ່​ທັນ​ໄດ້​ປັບ​ປຸງ (ບໍ່​ໄດ້​ເຮັດ​ໃຫ້​ແນ່​ໃຈວ່​າ 4.92 ຫຼື​ສະ​ບັບ patched ມີ​)​, ກະ​ລຸ​ນາ​ຢຸດ​ເຊົາ​ແລະ​ແລ່ນ​ເພື່ອ​ປັບ​ປຸງ​.

ສຳລັບໃຜທີ່ໄປຮອດແລ້ວ ມາຕໍ່ເລີຍ...

UPS: supersmile2009 ພົບ malware ປະເພດອື່ນ ແລະໃຫ້ຄໍາແນະນໍາທີ່ຖືກຕ້ອງ:

ສາມາດມີ malware ຫຼາຍຊະນິດ. ໂດຍການເປີດຕົວຢາສໍາລັບສິ່ງທີ່ຜິດພາດແລະລ້າງຄິວ, ຜູ້ໃຊ້ຈະບໍ່ປິ່ນປົວແລະອາດຈະບໍ່ຮູ້ວ່າລາວຕ້ອງປິ່ນປົວຫຍັງ.

ການຕິດເຊື້ອແມ່ນສັງເກດເຫັນເຊັ່ນນີ້: [kthrotlds] ໂຫຼດໂປເຊດເຊີ; ໃນ VDS ທີ່ອ່ອນແອມັນແມ່ນ 100%, ໃນເຄື່ອງແມ່ຂ່າຍມັນອ່ອນກວ່າແຕ່ສັງເກດເຫັນ.

ຫຼັງຈາກການຕິດເຊື້ອ, malware ຈະລຶບລາຍການ cron, ລົງທະບຽນພຽງແຕ່ຕົວມັນເອງຢູ່ທີ່ນັ້ນເພື່ອດໍາເນີນການທຸກໆ 4 ນາທີ, ໃນຂະນະທີ່ເຮັດໃຫ້ໄຟລ໌ crontab ບໍ່ສາມາດປ່ຽນແປງໄດ້. Crontab -e ບໍ່ສາມາດບັນທຶກການປ່ຽນແປງ, ເຮັດໃຫ້ເກີດຄວາມຜິດພາດ.

ບໍ່ສາມາດປ່ຽນແປງໄດ້, ຕົວຢ່າງເຊັ່ນນີ້, ແລະຫຼັງຈາກນັ້ນລຶບເສັ້ນຄໍາສັ່ງ (1.5kb):

chattr -i /var/spool/cron/root
crontab -e

ຕໍ່ໄປ, ໃນບັນນາທິການ crontab (vim), ລົບສາຍແລະບັນທຶກ:dd
:wq

ຢ່າງໃດກໍຕາມ, ບາງຂະບວນການທີ່ມີການເຄື່ອນໄຫວກໍາລັງຂຽນທັບອີກເທື່ອຫນຶ່ງ, ຂ້ອຍກໍາລັງຄິດມັນອອກ.

ໃນເວລາດຽວກັນ, ມີ wgets ທີ່ໃຊ້ວຽກຫຼາຍ (ຫຼື curls) ທີ່ຫ້ອຍຢູ່ໃນທີ່ຢູ່ຈາກສະຄິບຕິດຕັ້ງ (ເບິ່ງຂ້າງລຸ່ມນີ້), ຂ້ອຍກໍາລັງລົບພວກມັນລົງໃນຕອນນີ້, ແຕ່ພວກເຂົາເລີ່ມຕົ້ນອີກເທື່ອຫນຶ່ງ:

ps aux | grep wge[t]
ps aux | grep cur[l]
echo "Stopping..."
kill -9 `ps aux | grep wge[t] | awk '{print $2}'`
kill -9 `ps aux | grep cur[l] | awk '{print $2}'`

ຂ້ອຍພົບສະຄຣິບຕົວຕິດຕັ້ງ Trojan ຢູ່ທີ່ນີ້ (centos): /usr/local/bin/nptd... ຂ້ອຍບໍ່ໄດ້ໂພສເພື່ອຫຼີກເວັ້ນມັນ, ແຕ່ຖ້າໃຜຕິດເຊື້ອ ແລະເຂົ້າໃຈສະຄຣິບຂອງ shell, ກະລຸນາສຶກສາມັນໃຫ້ລະອຽດຕື່ມ.

ຂ້ອຍຈະເພີ່ມເມື່ອຂໍ້ມູນຖືກປັບປຸງ.

UPD 1: ການລຶບໄຟລ໌ (ດ້ວຍ chattr -i ເບື້ອງຕົ້ນ) /etc/cron.d/root, /etc/crontab, rm -Rf /var/spool/cron/root ບໍ່ໄດ້ຊ່ວຍ, ແລະບໍ່ໄດ້ຢຸດການບໍລິການ - ຂ້ອຍຕ້ອງ crontab ຢ່າງສົມບູນສໍາລັບຕອນນີ້ຈີກມັນອອກ (ປ່ຽນຊື່ໄຟລ໌ຖັງ).

UPD 2: ຕົວຕິດຕັ້ງ Trojan ບາງຄັ້ງກໍ່ນອນຢູ່ບ່ອນອື່ນ, ການຄົ້ນຫາໂດຍຂະຫນາດໄດ້ຊ່ວຍ:
ຊອກຫາ / -size 19825c

UPD ວັນທີ 3/XNUMX/XNUMX: ລະ​ມັດ​ລະ​ວັງ ນອກເຫນືອຈາກການປິດການໃຊ້ selinux, Trojan ຍັງເພີ່ມຂອງຕົນເອງ ກະແຈ SSH ໃນ ${sshdir}/authorized_keys! ແລະເປີດໃຊ້ຊ່ອງຂໍ້ມູນຕໍ່ໄປນີ້ໃນ /etc/ssh/sshd_config, ຖ້າພວກເຂົາຍັງບໍ່ໄດ້ຕັ້ງເປັນ YES:
PermitRootLogin ແມ່ນແລ້ວ
RSAA Authentication ແມ່ນແລ້ວ
PubkeyAuthentication ແມ່ນແລ້ວ
echo ໃຊ້PAM ແມ່ນແລ້ວ
ການກວດສອບລະຫັດຜ່ານ ແມ່ນແລ້ວ

UPD 4: ເພື່ອສະຫຼຸບສໍາລັບຕອນນີ້: ປິດການໃຊ້ງານ Exim, cron (ດ້ວຍຮາກ), ຮີບດ່ວນເອົາ Trojan key ຈາກ ssh ແລະແກ້ໄຂການຕັ້ງຄ່າ sshd, restart sshd! ແລະມັນຍັງບໍ່ທັນຊັດເຈນວ່ານີ້ຈະຊ່ວຍໄດ້, ແຕ່ບໍ່ມີມັນມີບັນຫາ.

ຂ້າພະເຈົ້າໄດ້ຍ້າຍຂໍ້ມູນທີ່ສໍາຄັນຈາກຄໍາຄິດເຫັນກ່ຽວກັບ patches / ການປັບປຸງໄປຫາຈຸດເລີ່ມຕົ້ນຂອງບັນທຶກ, ເພື່ອໃຫ້ຜູ້ອ່ານເລີ່ມຕົ້ນດ້ວຍມັນ.

UPD ວັນທີ 5/XNUMX/XNUMX: AnotherDenny ຂຽນ ວ່າ malware ໄດ້ປ່ຽນລະຫັດຜ່ານໃນ WordPress.

UPD ວັນທີ 6/XNUMX/XNUMX: Paulmann ກະກຽມການປິ່ນປົວຊົ່ວຄາວ, ໃຫ້​ຂອງ​ການ​ທົດ​ສອບ​! ຫຼັງຈາກ reboot ຫຼື shutdown, ຢາເບິ່ງຄືວ່າຈະຫາຍໄປ, ແຕ່ສໍາລັບໃນປັດຈຸບັນຢ່າງຫນ້ອຍມັນ.

ໃຜກໍ່ຕາມທີ່ເຮັດ (ຫຼືຊອກຫາ) ການແກ້ໄຂທີ່ຫມັ້ນຄົງ, ກະລຸນາຂຽນ, ເຈົ້າຈະຊ່ວຍຫຼາຍໆຄົນ.

UPD ວັນທີ 7/XNUMX/XNUMX: ຜູ້ໃຊ້ clsv ຂຽນ:

ຖ້າທ່ານຍັງບໍ່ໄດ້ເວົ້າວ່າເຊື້ອໄວຣັສແມ່ນຟື້ນຄືນຊີວິດຍ້ອນຈົດຫມາຍທີ່ບໍ່ໄດ້ສົ່ງໃນ Exim, ເມື່ອທ່ານພະຍາຍາມສົ່ງຈົດຫມາຍອີກເທື່ອຫນຶ່ງ, ມັນຖືກຟື້ນຟູຄືນໃຫມ່, ເບິ່ງໃນ /var/spool/exim4

ທ່ານສາມາດລຶບຄິວ Exim ທັງໝົດໄດ້ດັ່ງນີ້:
exipick -i | xargs exim -Mrm
ການ​ກວດ​ສອບ​ຈໍາ​ນວນ​ຂອງ​ການ​ເຂົ້າ​ໃນ​ແຖວ​:
exim -bpc

UPD 8: ອີກເທື່ອຫນຶ່ງ ຂອບໃຈສໍາລັບຂໍ້ມູນ AnotherDenny: FirstVDS ສະເໜີສະບັບຂອງ script ການປິ່ນປົວຂອງເຂົາເຈົ້າ, ໃຫ້ທົດສອບມັນ!

UPD 9: ເບິ່ງຄືວ່າ ວຽກງານ, ຂອບ​ໃຈ Kirill ສໍາລັບ script!

ສິ່ງທີ່ ສຳ ຄັນແມ່ນຢ່າລືມວ່າເຄື່ອງແມ່ຂ່າຍໄດ້ຖືກບຸກລຸກຢູ່ກ່ອນແລ້ວແລະຜູ້ໂຈມຕີສາມາດຈັດການສິ່ງທີ່ ໜ້າ ງຶດງໍ້ທີ່ແປກປະຫຼາດກວ່າບາງຢ່າງ (ບໍ່ໄດ້ລະບຸໄວ້ໃນ dropper).

ດັ່ງນັ້ນ, ມັນດີກວ່າທີ່ຈະຍ້າຍໄປຢູ່ໃນເຄື່ອງແມ່ຂ່າຍທີ່ຕິດຕັ້ງຢ່າງສົມບູນ (vds), ຫຼືຢ່າງຫນ້ອຍສືບຕໍ່ຕິດຕາມຫົວຂໍ້ - ຖ້າມີສິ່ງໃຫມ່, ຂຽນໃນຄໍາເຫັນທີ່ນີ້, ເພາະວ່າ. ແນ່ນອນບໍ່ແມ່ນທຸກຄົນຈະຍ້າຍໄປຕິດຕັ້ງໃຫມ່ ...

UPD 10: ຂອບໃຈອີກຄັ້ງ clsv: ມັນເຕືອນວ່າບໍ່ພຽງແຕ່ເຄື່ອງແມ່ຂ່າຍທີ່ຕິດເຊື້ອ, ແຕ່ຍັງ Raspberry Pi, ແລະເຄື່ອງສະເໝືອນທັງໝົດ... ສະນັ້ນ ຫຼັງຈາກບັນທຶກເຊີບເວີແລ້ວ, ຢ່າລືມບັນທຶກຄອນໂຊວິດີໂອ, ຫຸ່ນຍົນ, ແລະອື່ນໆ.

UPD 11: ຈາກ ຜູ້ຂຽນຂອງ script ການປິ່ນປົວ ຫມາຍເຫດສໍາຄັນສໍາລັບການປິ່ນປົວຄູ່ມື:
(ຫຼັງ​ຈາກ​ການ​ນໍາ​ໃຊ້​ຫນຶ່ງ​ຫຼື​ວິ​ທີ​ການ​ອື່ນ​ຂອງ​ການ​ຕ້ານ malware ນີ້​)

ທ່ານ ຈຳ ເປັນຕ້ອງປິດເປີດເຄື່ອງໃໝ່ - malware ນັ່ງຢູ່ບ່ອນໃດບ່ອນ ໜຶ່ງ ໃນຂະບວນການເປີດແລະ, ຕາມນັ້ນ, ໃນຄວາມຊົງ ຈຳ, ແລະຂຽນຕົວມັນເອງເປັນອັນ ໃໝ່ ເພື່ອ cron ທຸກໆ 30 ວິນາທີ.

UPD ວັນທີ 12/XNUMX/XNUMX: supersmile2009 ພົບ Exim ມີ malware ອື່ນ (?) ໃນແຖວຂອງມັນແລະແນະນໍາໃຫ້ທ່ານສຶກສາບັນຫາສະເພາະຂອງທ່ານກ່ອນທີ່ຈະເລີ່ມການປິ່ນປົວ.

UPD ວັນທີ 13/XNUMX/XNUMX: lorc ແນະນໍາ ແທນທີ່ຈະ, ຍ້າຍໄປລະບົບທີ່ສະອາດ, ແລະໂອນໄຟລ໌ຢ່າງລະມັດລະວັງທີ່ສຸດ, ເພາະວ່າ ມັລແວດັ່ງກ່າວມີຢູ່ໃນສາທາລະນະແລ້ວ ແລະສາມາດນຳໃຊ້ໃນທາງອື່ນ, ຊັດເຈນໜ້ອຍກວ່າ ແລະອັນຕະລາຍກວ່າ.

UPD 14: ຮັບປະກັນຕົວເຮົາເອງວ່າຄົນສະຫຼາດບໍ່ໄດ້ແລ່ນມາຈາກຮາກ - ອີກຢ່າງໜຶ່ງ ຂໍ້ຄວາມດ່ວນຈາກ clsv:

ເຖິງແມ່ນວ່າມັນບໍ່ເຮັດວຽກຈາກຮາກ, ການ hack ເກີດຂື້ນ ... ຂ້ອຍມີ debian jessie UPD: stretch on OrangePi ຂອງຂ້ອຍ, Exim ກໍາລັງແລ່ນຈາກ Debian-exim ແລະຍັງ hacking ເກີດຂຶ້ນ, ເຮືອນຍອດສູນເສຍ, ແລະອື່ນໆ.

UPD 15: ເມື່ອຍ້າຍໄປຫາເຄື່ອງແມ່ຂ່າຍທີ່ສະອາດຈາກຫນຶ່ງທີ່ຖືກທໍາລາຍ, ຢ່າລືມກ່ຽວກັບສຸຂະອະນາໄມ, ເຕືອນໄພທີ່ເປັນປະໂຫຍດຈາກ w0den:

ເມື່ອໂອນຂໍ້ມູນ, ໃຫ້ເອົາໃຈໃສ່ບໍ່ພຽງແຕ່ໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້ຫຼືການຕັ້ງຄ່າ, ແຕ່ຍັງກັບສິ່ງໃດແດ່ທີ່ອາດມີຄໍາສັ່ງທີ່ເປັນອັນຕະລາຍ (ຕົວຢ່າງ, ໃນ MySQL ນີ້ອາດຈະເປັນ CREATE TRIGGER ຫຼື CREATE EVENT). ນອກຈາກນັ້ນ, ຢ່າລືມກ່ຽວກັບ .html, .js, .php, .py ແລະໄຟລ໌ສາທາລະນະອື່ນໆ (ໂດຍວິທີທາງການ, ໄຟລ໌ເຫຼົ່ານີ້, ເຊັ່ນຂໍ້ມູນອື່ນໆ, ຄວນໄດ້ຮັບການຟື້ນຟູຈາກບ່ອນເກັບມ້ຽນທີ່ເຊື່ອຖືໄດ້ອື່ນໆ).

UPD ວັນທີ 16/XNUMX/XNUMX: ກາງເວັນ и savage_me ພົບກັບບັນຫາອື່ນ: ລະບົບໄດ້ຕິດຕັ້ງ Exim ລຸ້ນໜຶ່ງຢູ່ໃນພອດ, ແຕ່ໃນຄວາມເປັນຈິງແລ້ວ ລຸ້ນອື່ນກຳລັງແລ່ນຢູ່.

ສະນັ້ນທຸກຄົນ ຫຼັງຈາກການປັບປຸງ, ທ່ານຄວນໃຫ້ແນ່ໃຈວ່າ ທີ່​ທ່ານ​ກໍາ​ລັງ​ໃຊ້​ສະ​ບັບ​ໃຫມ່​!

exim --version

ພວກເຮົາໄດ້ຈັດຮຽງສະຖານະການສະເພາະຂອງເຂົາເຈົ້າຮ່ວມກັນ.

ເຊີບເວີໄດ້ໃຊ້ DirectAdmin ແລະແພັກເກັດ da_exim ເກົ່າຂອງມັນ (ເວີຊັນເກົ່າ, ບໍ່ມີຊ່ອງໂຫວ່).

ໃນເວລາດຽວກັນ, ດ້ວຍການຊ່ວຍເຫຼືອຂອງຜູ້ຈັດການຊຸດ custombuild ຂອງ DirectAdmin, ໃນຄວາມເປັນຈິງ, ຮຸ່ນໃຫມ່ຂອງ Exim ໄດ້ຖືກຕິດຕັ້ງ, ເຊິ່ງມີຄວາມສ່ຽງແລ້ວ.

ໃນສະຖານະການສະເພາະນີ້, ການປັບປຸງຜ່ານ custombuild ກໍ່ຊ່ວຍໄດ້.

ຢ່າລືມເຮັດການສໍາຮອງກ່ອນການທົດລອງດັ່ງກ່າວ, ແລະຍັງໃຫ້ແນ່ໃຈວ່າກ່ອນ / ຫຼັງຈາກການປັບປຸງຂະບວນການ Exim ທັງຫມົດແມ່ນຂອງສະບັບເກົ່າ. ຖືກຢຸດ ແລະບໍ່ "ຕິດຢູ່" ໃນຄວາມຊົງຈໍາ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com