Exim 4.92 ലേക്ക് അടിയന്തിരമായി അപ്ഡേറ്റ് ചെയ്യുക - ഒരു സജീവ അണുബാധയുണ്ട്

തങ്ങളുടെ മെയിൽ സെർവറുകളിൽ Exim പതിപ്പുകൾ 4.87...4.91 ഉപയോഗിക്കുന്ന സഹപ്രവർത്തകർ - CVE-4.92-2019 വഴിയുള്ള ഹാക്കിംഗ് ഒഴിവാക്കാൻ Exim തന്നെ നേരത്തെ നിർത്തിയതിനാൽ, 10149 പതിപ്പിലേക്ക് അടിയന്തിരമായി അപ്‌ഡേറ്റ് ചെയ്യുക.

ലോകമെമ്പാടുമുള്ള ദശലക്ഷക്കണക്കിന് സെർവറുകൾ അപകടസാധ്യതയുള്ളവയാണ്, അപകടസാധ്യത നിർണായകമായി കണക്കാക്കുന്നു (CVSS 3.0 അടിസ്ഥാന സ്കോർ = 9.8/10). ആക്രമണകാരികൾക്ക് നിങ്ങളുടെ സെർവറിൽ അനിയന്ത്രിതമായ കമാൻഡുകൾ പ്രവർത്തിപ്പിക്കാൻ കഴിയും, മിക്ക കേസുകളിലും റൂട്ടിൽ നിന്ന്.

നിങ്ങൾ ഒരു നിശ്ചിത പതിപ്പ് (4.92) അല്ലെങ്കിൽ ഇതിനകം പാച്ച് ചെയ്ത ഒന്നാണോ ഉപയോഗിക്കുന്നതെന്ന് ഉറപ്പാക്കുക.
അല്ലെങ്കിൽ നിലവിലുള്ളത് പാച്ച് ചെയ്യുക, ത്രെഡ് കാണുക കുറ്റമറ്റ അഭിപ്രായം.

ഇതിനായി അപ്‌ഡേറ്റ് ചെയ്യുക സെന്റോസ് 6: സെമി. തിയോഡോറിന്റെ അഭിപ്രായം - സെന്റോസ് 7-ന് ഇത് ഇതുവരെ എപ്പലിൽ നിന്ന് നേരിട്ട് എത്തിയിട്ടില്ലെങ്കിൽ അതും പ്രവർത്തിക്കും.

UPD: ഉബുണ്ടു ബാധിച്ചിരിക്കുന്നു ക്സനുമ്ക്സ ആൻഡ് ക്സനുമ്ക്സ, അവർക്കായി ഒരു അപ്‌ഡേറ്റ് പുറത്തിറക്കി. 16.04, 19.04 പതിപ്പുകളിൽ ഇഷ്‌ടാനുസൃത ഓപ്ഷനുകൾ ഇൻസ്റ്റാൾ ചെയ്തിട്ടില്ലെങ്കിൽ അവ ബാധിക്കില്ല. കൂടുതൽ വിശദാംശങ്ങൾ അവരുടെ official ദ്യോഗിക വെബ്‌സൈറ്റിൽ.

ഓപ്പൺനെറ്റിലെ പ്രശ്നത്തെക്കുറിച്ചുള്ള വിവരങ്ങൾ
എക്സിം വെബ്സൈറ്റിലെ വിവരങ്ങൾ

ഇപ്പോൾ അവിടെ വിവരിച്ച പ്രശ്നം സജീവമായി ചൂഷണം ചെയ്യപ്പെടുന്നു (ഒരു ബോട്ട്, അനുമാനിക്കാം), ചില സെർവറുകളിൽ ഒരു അണുബാധ ഞാൻ ശ്രദ്ധിച്ചു (4.91-ൽ പ്രവർത്തിക്കുന്നു).

കൂടുതൽ വായിക്കുന്നത് ഇതിനകം തന്നെ "കിട്ടിയവർക്ക്" മാത്രമേ പ്രസക്തമാകൂ - ഒന്നുകിൽ നിങ്ങൾ എല്ലാം പുതിയ സോഫ്റ്റ്‌വെയർ ഉപയോഗിച്ച് വൃത്തിയുള്ള VPS-ലേക്ക് കൊണ്ടുപോകണം, അല്ലെങ്കിൽ ഒരു പരിഹാരം നോക്കണം. നമുക്ക് ശ്രമിക്കാം? ആർക്കെങ്കിലും ഈ മാൽവെയറിനെ മറികടക്കാൻ കഴിയുമെങ്കിൽ എഴുതുക.

നിങ്ങൾ എക്‌സിം ഉപയോക്താവായിരിക്കുകയും ഇത് വായിക്കുകയും ചെയ്‌തിട്ടും അപ്‌ഡേറ്റ് ചെയ്‌തിട്ടില്ലെങ്കിൽ (4.92 അല്ലെങ്കിൽ പാച്ച് ചെയ്‌ത പതിപ്പ് ലഭ്യമാണെന്ന് ഉറപ്പുവരുത്തിയിട്ടില്ല), ദയവായി നിർത്തി അപ്‌ഡേറ്റ് ചെയ്യാൻ ഓടുക.

ഇതിനകം അവിടെ എത്തിയവർക്ക്, തുടരാം...

യുപിഎസ്: supersmile2009 മറ്റൊരു തരം ക്ഷുദ്രവെയർ കണ്ടെത്തി ശരിയായ ഉപദേശം നൽകുന്നു:

മാൽവെയറുകളുടെ വലിയ വൈവിധ്യങ്ങൾ ഉണ്ടാകാം. തെറ്റായ കാര്യത്തിന് മരുന്ന് ലോഞ്ച് ചെയ്യുന്നതിലൂടെയും ക്യൂ ക്ലിയർ ചെയ്യുന്നതിലൂടെയും, ഉപയോക്താവ് സുഖം പ്രാപിക്കില്ല, എന്താണ് ചികിത്സിക്കേണ്ടതെന്ന് അറിയില്ലായിരിക്കാം.

അണുബാധ ഇതുപോലെ ശ്രദ്ധേയമാണ്: [kthrotlds] പ്രോസസർ ലോഡ് ചെയ്യുന്നു; ഒരു ദുർബലമായ VDS-ൽ ഇത് 100% ആണ്, സെർവറുകളിൽ ഇത് ദുർബലമാണെങ്കിലും ശ്രദ്ധേയമാണ്.

അണുബാധയ്ക്ക് ശേഷം, ക്ഷുദ്രവെയർ ക്രോൺ എൻട്രികൾ ഇല്ലാതാക്കുന്നു, ഓരോ 4 മിനിറ്റിലും റൺ ചെയ്യാൻ സ്വയം രജിസ്റ്റർ ചെയ്യുന്നു, അതേസമയം ക്രോണ്ടാബ് ഫയൽ മാറ്റമില്ലാത്തതാക്കുന്നു. ക്രോണ്ടാബ് -ഇ മാറ്റങ്ങൾ സംരക്ഷിക്കാൻ കഴിയില്ല, ഒരു പിശക് നൽകുന്നു.

മാറ്റമില്ലാത്തത് നീക്കംചെയ്യാം, ഉദാഹരണത്തിന്, ഇതുപോലെ, തുടർന്ന് കമാൻഡ് ലൈൻ ഇല്ലാതാക്കുക (1.5kb):

chattr -i /var/spool/cron/root
crontab -e

അടുത്തതായി, crontab എഡിറ്ററിൽ (vim), ലൈൻ ഇല്ലാതാക്കി സംരക്ഷിക്കുക:dd
:wq

എന്നിരുന്നാലും, സജീവമായ ചില പ്രക്രിയകൾ വീണ്ടും പുനരാലേഖനം ചെയ്യുന്നു, ഞാൻ അത് കണ്ടെത്തുകയാണ്.

അതേ സമയം, ഇൻസ്റ്റാളർ സ്ക്രിപ്റ്റിൽ നിന്നുള്ള വിലാസങ്ങളിൽ ഒരു കൂട്ടം സജീവമായ wgets (അല്ലെങ്കിൽ ചുരുളുകൾ) തൂങ്ങിക്കിടക്കുന്നു (ചുവടെ കാണുക), ഞാൻ ഇപ്പോൾ അവയെ ഇതുപോലെ ഇടിക്കുന്നു, പക്ഷേ അവ വീണ്ടും ആരംഭിക്കുന്നു:

ps aux | grep wge[t]
ps aux | grep cur[l]
echo "Stopping..."
kill -9 `ps aux | grep wge[t] | awk '{print $2}'`
kill -9 `ps aux | grep cur[l] | awk '{print $2}'`

ഞാൻ ഇവിടെ ട്രോജൻ ഇൻസ്റ്റാളർ സ്‌ക്രിപ്റ്റ് കണ്ടെത്തി (centos): /usr/local/bin/nptd... അത് ഒഴിവാക്കാൻ ഞാനിത് പോസ്റ്റുചെയ്യുന്നില്ല, എന്നാൽ ആരെങ്കിലും രോഗബാധിതരാകുകയും ഷെൽ സ്‌ക്രിപ്റ്റുകൾ മനസ്സിലാക്കുകയും ചെയ്യുന്നുവെങ്കിൽ, ദയവായി അത് കൂടുതൽ ശ്രദ്ധയോടെ പഠിക്കുക.

വിവരങ്ങൾ അപ്ഡേറ്റ് ചെയ്യുമ്പോൾ ഞാൻ ചേർക്കും.

UPD 1: ഫയലുകൾ ഇല്ലാതാക്കുന്നത് (പ്രാഥമിക chattr -i) /etc/cron.d/root, /etc/crontab, rm -Rf /var/spool/cron/root സഹായിച്ചില്ല, സേവനം നിർത്തിയില്ല - എനിക്ക് ചെയ്യേണ്ടി വന്നു crontab ഇപ്പോൾ പൂർണ്ണമായും കീറിക്കളയുക (ബിൻ ഫയലിന്റെ പേര് മാറ്റുക).

UPD 2: ട്രോജൻ ഇൻസ്റ്റാളർ ചിലപ്പോൾ മറ്റ് സ്ഥലങ്ങളിലും കിടക്കുന്നു, വലിപ്പം അനുസരിച്ച് തിരയുന്നത് സഹായിച്ചു:
കണ്ടെത്തുക / -വലിപ്പം 19825c

UPD 3/XNUMX/XNUMX: ശ്രദ്ധിക്കൂ! സെലിനക്‌സ് പ്രവർത്തനരഹിതമാക്കുന്നതിനു പുറമേ, ട്രോജൻ അതിന്റേതായതും ചേർക്കുന്നു SSH കീ ${sshdir}/authorized_keys-ൽ! കൂടാതെ, ഇനിപ്പറയുന്ന ഫീൽഡുകൾ /etc/ssh/sshd_config-ൽ സജീവമാക്കുന്നു, അവ ഇതിനകം അതെ എന്ന് സജ്ജീകരിച്ചിട്ടില്ലെങ്കിൽ:
അതെ, പെർമിറ്റ് റൂട്ട് ലോഗിൻ
RSAA പ്രാമാണീകരണം അതെ
PubkeyAuthentication അതെ
Echo UsePAM അതെ
പാസ്‌വേഡ് പ്രാമാണീകരണം അതെ

UPD 4: ഇപ്പോൾ സംഗ്രഹിക്കാൻ: Exim, ക്രോൺ (വേരുകൾ ഉപയോഗിച്ച്) പ്രവർത്തനരഹിതമാക്കുക, ssh-ൽ നിന്ന് ട്രോജൻ കീ അടിയന്തിരമായി നീക്കം ചെയ്‌ത് sshd കോൺഫിഗറേഷൻ എഡിറ്റ് ചെയ്യുക, sshd പുനരാരംഭിക്കുക! ഇത് സഹായിക്കുമെന്ന് ഇതുവരെ വ്യക്തമല്ല, പക്ഷേ അതില്ലാതെ ഒരു പ്രശ്നമുണ്ട്.

പാച്ചുകൾ/അപ്‌ഡേറ്റുകൾ എന്നിവയെക്കുറിച്ചുള്ള അഭിപ്രായങ്ങളിൽ നിന്ന് ഞാൻ പ്രധാനപ്പെട്ട വിവരങ്ങൾ കുറിപ്പിന്റെ തുടക്കത്തിലേക്ക് നീക്കി, അതുവഴി വായനക്കാർ അത് ആരംഭിക്കും.

UPD 5/XNUMX/XNUMX: മറ്റൊരു ഡെന്നി എഴുതുന്നു ക്ഷുദ്രവെയർ വേർഡ്പ്രസ്സിലെ പാസ്‌വേഡുകൾ മാറ്റിയെന്ന്.

UPD 6/XNUMX/XNUMX: പോൾമാൻ ഒരു താൽക്കാലിക ചികിത്സ തയ്യാറാക്കി, നമുക്ക് പരീക്ഷിക്കാം! ഒരു റീബൂട്ട് അല്ലെങ്കിൽ ഷട്ട്ഡൗണിന് ശേഷം, മരുന്ന് അപ്രത്യക്ഷമാകുന്നതായി തോന്നുന്നു, എന്നാൽ ഇപ്പോൾ കുറഞ്ഞത് അത്രമാത്രം.

സ്ഥിരമായ ഒരു പരിഹാരം ഉണ്ടാക്കുന്ന (അല്ലെങ്കിൽ കണ്ടെത്തുന്ന) ആരെങ്കിലും, ദയവായി എഴുതുക, നിങ്ങൾ പലരെയും സഹായിക്കും.

UPD 7/XNUMX/XNUMX: ഉപയോക്താവ് clsv എഴുതുന്നു:

എക്‌സിമിലെ ഒരു അയയ്‌ക്കാത്ത കത്തിന്റെ ഫലമായാണ് വൈറസ് പുനരുജ്ജീവിപ്പിച്ചതെന്ന് നിങ്ങൾ ഇതിനകം പറഞ്ഞിട്ടില്ലെങ്കിൽ, നിങ്ങൾ വീണ്ടും കത്ത് അയയ്ക്കാൻ ശ്രമിക്കുമ്പോൾ, അത് പുനഃസ്ഥാപിക്കപ്പെടും, /var/spool/exim4 നോക്കുക

നിങ്ങൾക്ക് ഇതുപോലെ മുഴുവൻ എക്സിം ക്യൂവും മായ്‌ക്കാൻ കഴിയും:
exipick -i | xargs exim -Mrm
ക്യൂവിലെ എൻട്രികളുടെ എണ്ണം പരിശോധിക്കുന്നു:
എക്സിം -ബിപിസി

UPD 8: വീണ്ടും വിവരങ്ങൾക്ക് നന്ദി അദർ ഡെന്നി: FirstVDS അവരുടെ ചികിത്സാ സ്ക്രിപ്റ്റിന്റെ പതിപ്പ് വാഗ്ദാനം ചെയ്തു, നമുക്ക് അത് പരിശോധിക്കാം!

UPD 9: ഇത് പോലെ തോന്നുന്നു പ്രവർത്തിക്കുന്നു, നന്ദി കിരിൽ സ്ക്രിപ്റ്റിനായി!

പ്രധാന കാര്യം, സെർവർ ഇതിനകം വിട്ടുവീഴ്ച ചെയ്തിട്ടുണ്ടെന്നും ആക്രമണകാരികൾക്ക് കൂടുതൽ വിചിത്രമായ മോശം കാര്യങ്ങൾ (ഡ്രോപ്പറിൽ പട്ടികപ്പെടുത്തിയിട്ടില്ല) നട്ടുപിടിപ്പിക്കാൻ കഴിയുമായിരുന്നുവെന്നും മറക്കരുത്.

അതിനാൽ, പൂർണ്ണമായും ഇൻസ്റ്റാൾ ചെയ്ത സെർവറിലേക്ക് (vds) നീങ്ങുന്നതാണ് നല്ലത്, അല്ലെങ്കിൽ വിഷയം നിരീക്ഷിക്കുന്നത് തുടരുക - പുതിയ എന്തെങ്കിലും ഉണ്ടെങ്കിൽ, ഇവിടെ അഭിപ്രായങ്ങളിൽ എഴുതുക, കാരണം തീർച്ചയായും എല്ലാവരും പുതിയ ഇൻസ്റ്റാളേഷനിലേക്ക് മാറില്ല...

UPD 10: വീണ്ടും നന്ദി clsv: സെർവറുകൾ മാത്രമല്ല രോഗബാധിതരാണെന്ന് ഇത് ഓർമ്മിപ്പിക്കുന്നു റാസ്ബെറി പൈ, കൂടാതെ എല്ലാത്തരം വെർച്വൽ മെഷീനുകളും... അതിനാൽ സെർവറുകൾ സംരക്ഷിച്ച ശേഷം, നിങ്ങളുടെ വീഡിയോ കൺസോളുകൾ, റോബോട്ടുകൾ മുതലായവ സംരക്ഷിക്കാൻ മറക്കരുത്.

UPD 11: നിന്ന് രോഗശാന്തി സ്ക്രിപ്റ്റിന്റെ രചയിതാവ് മാനുവൽ ഹീലർമാർക്കുള്ള പ്രധാന കുറിപ്പ്:
(ഈ ക്ഷുദ്രവെയറിനെ ചെറുക്കുന്നതിനുള്ള ഒന്നോ അല്ലെങ്കിൽ മറ്റൊരു രീതിയോ ഉപയോഗിച്ചതിന് ശേഷം)

നിങ്ങൾ തീർച്ചയായും റീബൂട്ട് ചെയ്യേണ്ടതുണ്ട് - ക്ഷുദ്രവെയർ തുറന്ന പ്രക്രിയകളിൽ എവിടെയോ ഇരിക്കുന്നു, അതനുസരിച്ച്, മെമ്മറിയിൽ, ഓരോ 30 സെക്കൻഡിലും ക്രോൺ ചെയ്യാൻ പുതിയൊരെണ്ണം എഴുതുന്നു.

UPD 12/XNUMX/XNUMX: supersmile2009 കണ്ടെത്തി Exim-ന് അതിന്റെ ക്യൂവിൽ മറ്റൊരു(?) ക്ഷുദ്രവെയർ ഉണ്ട്, ചികിത്സ ആരംഭിക്കുന്നതിന് മുമ്പ് നിങ്ങളുടെ നിർദ്ദിഷ്ട പ്രശ്നം ആദ്യം പഠിക്കാൻ നിങ്ങളെ ഉപദേശിക്കുന്നു.

UPD 13/XNUMX/XNUMX: lorc ഉപദേശിക്കുന്നു പകരം, ഒരു ക്ലീൻ സിസ്റ്റത്തിലേക്ക് നീങ്ങുക, ഫയലുകൾ വളരെ ശ്രദ്ധാപൂർവ്വം കൈമാറുക, കാരണം ക്ഷുദ്രവെയർ ഇതിനകം പൊതുവായി ലഭ്യമാണ്, കൂടാതെ മറ്റ്, വ്യക്തമല്ലാത്തതും കൂടുതൽ അപകടകരവുമായ വഴികളിൽ ഉപയോഗിക്കാൻ കഴിയും.

UPD 14: മിടുക്കരായ ആളുകൾ റൂട്ടിൽ നിന്ന് ഓടുന്നില്ലെന്ന് സ്വയം ഉറപ്പുനൽകുന്നു - ഒരു കാര്യം കൂടി clsv-ൽ നിന്നുള്ള അടിയന്തര സന്ദേശം:

റൂട്ടിൽ നിന്ന് പ്രവർത്തിക്കുന്നില്ലെങ്കിൽ പോലും, ഹാക്കിംഗ് സംഭവിക്കുന്നു... എനിക്ക് ഡെബിയൻ ജെസ്സി യുപിഡി ഉണ്ട്: എന്റെ ഓറഞ്ച് പിയിൽ നീട്ടുക, എക്സിം ഡെബിയൻ-എക്സിമിൽ നിന്ന് പ്രവർത്തിക്കുന്നു, ഇപ്പോഴും ഹാക്കിംഗ് സംഭവിച്ചു, കിരീടങ്ങൾ നഷ്ടപ്പെട്ടു, മുതലായവ.

UPD 15: വിട്ടുവീഴ്ച ചെയ്തതിൽ നിന്ന് വൃത്തിയുള്ള സെർവറിലേക്ക് മാറുമ്പോൾ, ശുചിത്വത്തെക്കുറിച്ച് മറക്കരുത്, w0den-ൽ നിന്നുള്ള ഉപയോഗപ്രദമായ ഓർമ്മപ്പെടുത്തൽ:

ഡാറ്റ കൈമാറ്റം ചെയ്യുമ്പോൾ, എക്സിക്യൂട്ടബിൾ അല്ലെങ്കിൽ കോൺഫിഗറേഷൻ ഫയലുകളിൽ മാത്രമല്ല, ക്ഷുദ്രകരമായ കമാൻഡുകൾ അടങ്ങിയിരിക്കുന്ന എന്തിനും ശ്രദ്ധിക്കുക (ഉദാഹരണത്തിന്, MySQL-ൽ ഇത് TRIGGER സൃഷ്ടിക്കുകയോ ഇവന്റ് സൃഷ്ടിക്കുകയോ ചെയ്യാം). കൂടാതെ, .html, .js, .php, .py എന്നിവയെക്കുറിച്ചും മറ്റ് പൊതു ഫയലുകളെക്കുറിച്ചും മറക്കരുത് (മറ്റ് ഡാറ്റ പോലെ ഈ ഫയലുകളും പ്രാദേശിക അല്ലെങ്കിൽ മറ്റ് വിശ്വസനീയമായ സ്റ്റോറേജിൽ നിന്ന് പുനഃസ്ഥാപിക്കേണ്ടതാണ്).

UPD 16/XNUMX/XNUMX: ഡേക്കിൻ и കാട്ടാളൻ_ഞാൻ മറ്റൊരു പ്രശ്നം നേരിട്ടു: സിസ്റ്റത്തിൽ എക്സിമിന്റെ ഒരു പതിപ്പ് പോർട്ടുകളിൽ ഇൻസ്റ്റാൾ ചെയ്തിട്ടുണ്ട്, എന്നാൽ വാസ്തവത്തിൽ അത് മറ്റൊന്നാണ് പ്രവർത്തിപ്പിക്കുന്നത്.

അങ്ങനെ എല്ലാവരും അപ്ഡേറ്റിന് ശേഷം നിങ്ങൾ ഉറപ്പാക്കണം നിങ്ങൾ പുതിയ പതിപ്പാണ് ഉപയോഗിക്കുന്നതെന്ന്!

exim --version

ഞങ്ങൾ അവരുടെ പ്രത്യേക സാഹചര്യം ഒരുമിച്ച് അടുക്കി.

സെർവർ DirectAdmin ഉം അതിന്റെ പഴയ da_exim പാക്കേജും ഉപയോഗിച്ചു (പഴയ പതിപ്പ്, കേടുപാടുകൾ കൂടാതെ).

അതേ സമയം, DirectAdmin-ന്റെ custombuild പാക്കേജ് മാനേജരുടെ സഹായത്തോടെ, യഥാർത്ഥത്തിൽ, Exim-ന്റെ ഒരു പുതിയ പതിപ്പ് ഇൻസ്റ്റാൾ ചെയ്തു, അത് ഇതിനകം തന്നെ ദുർബലമായിരുന്നു.

ഈ പ്രത്യേക സാഹചര്യത്തിൽ, custombuild വഴി അപ്ഡേറ്റ് ചെയ്യുന്നതും സഹായിച്ചു.

അത്തരം പരീക്ഷണങ്ങൾക്ക് മുമ്പ് ബാക്കപ്പുകൾ നിർമ്മിക്കാൻ മറക്കരുത്, കൂടാതെ അപ്‌ഡേറ്റിന് മുമ്പോ ശേഷമോ എല്ലാ എക്‌സിം പ്രക്രിയകളും പഴയ പതിപ്പിലാണെന്ന് ഉറപ്പാക്കുക. നിർത്തലാക്കപ്പെട്ടു കൂടാതെ മെമ്മറിയിൽ "കുടുങ്ങി" അല്ല.

അവലംബം: www.habr.com