त्वरित एक्झिम 4.92 वर अपडेट करा - सक्रिय संसर्ग आहे

त्यांच्या मेल सर्व्हरवर एक्झिम आवृत्त्या 4.87...4.91 वापरणारे सहकारी - CVE-4.92-2019 द्वारे हॅकिंग टाळण्यासाठी यापूर्वी Exim स्वतःच थांबवून, त्वरित आवृत्ती 10149 वर अपडेट करा.

जगभरातील अनेक दशलक्ष सर्व्हर संभाव्य असुरक्षित आहेत, असुरक्षा गंभीर म्हणून रेट केली जाते (CVSS 3.0 बेस स्कोअर = 9.8/10). हल्लेखोर आपल्या सर्व्हरवर अनियंत्रित आदेश चालवू शकतात, अनेक प्रकरणांमध्ये रूटवरून.

कृपया खात्री करा की तुम्ही निश्चित आवृत्ती (4.92) किंवा आधीच पॅच केलेली आवृत्ती वापरत आहात.
किंवा विद्यमान पॅच करा, थ्रेड पहा निष्कलंक टिप्पणी.

साठी अद्यतनित करा सेंटोस एक्सएनयूएमएक्स: सेमी. थिओडोर द्वारे टिप्पणी - सेंटोस 7 साठी ते देखील कार्य करते, जर ते अद्याप एपेल वरून थेट आले नाही.

UPD: उबंटू प्रभावित आहे 18.04 आणि 18.10, त्यांच्यासाठी एक अपडेट जारी करण्यात आले आहे. आवृत्त्या 16.04 आणि 19.04 वर सानुकूल पर्याय स्थापित केल्याशिवाय प्रभावित होणार नाहीत. अधिक माहितीसाठी त्यांच्या अधिकृत वेबसाइटवर.

ओपननेटवरील समस्येबद्दल माहिती
Exim वेबसाइटवर माहिती

आता तेथे वर्णन केलेल्या समस्येचे सक्रियपणे शोषण केले जात आहे (बॉटद्वारे, शक्यतो), मला काही सर्व्हरवर संसर्ग आढळला (4.91 वर चालत आहे).

पुढील वाचन केवळ त्यांच्यासाठीच उपयुक्त आहे ज्यांना ते आधीच "मिळले आहे" - तुम्हाला एकतर नवीन सॉफ्टवेअरसह सर्व काही स्वच्छ VPS वर नेणे आवश्यक आहे किंवा उपाय शोधणे आवश्यक आहे. आपण प्रयत्न करू का? कोणीही या मालवेअरवर मात करू शकत असेल तर लिहा.

जर तुम्ही एक्झिम वापरकर्ता आहात आणि हे वाचत असाल, तरीही अपडेट केले नसेल (4.92 किंवा पॅच केलेली आवृत्ती उपलब्ध असल्याची खात्री केली नसेल), कृपया थांबा आणि अपडेट करण्यासाठी धावा.

जे आधीच तिथे पोहोचले आहेत त्यांच्यासाठी, चला सुरू ठेवूया...

यूपीएस: supersmile2009 ला आणखी एक प्रकारचा मालवेअर सापडला आणि योग्य सल्ला देते:

मालवेअरची मोठी विविधता असू शकते. चुकीच्या गोष्टीसाठी औषध लाँच करून आणि रांग साफ केल्याने, वापरकर्ता बरा होणार नाही आणि त्याला काय उपचार करावे लागतील हे कदाचित कळणार नाही.

संसर्ग अशा प्रकारे लक्षणीय आहे: [kthrotlds] प्रोसेसर लोड करते; कमकुवत VDS वर ते 100% आहे, सर्व्हरवर ते कमकुवत आहे परंतु लक्षणीय आहे.

संक्रमणानंतर, मालवेअर क्रॉन एंट्री हटवतो, क्रॉनटॅब फाइलला अपरिवर्तनीय बनवताना, दर 4 मिनिटांनी चालण्यासाठी फक्त तिथेच नोंदणी करतो. क्रॉन्टॅब -ई बदल जतन करू शकत नाही, त्रुटी देते.

अपरिवर्तनीय काढले जाऊ शकते, उदाहरणार्थ, यासारखे, आणि नंतर कमांड लाइन हटवा (1.5kb):

chattr -i /var/spool/cron/root
crontab -e

पुढे, क्रॉन्टाब एडिटर (vim) मध्ये, ओळ हटवा आणि सेव्ह करा:dd
:wq

तथापि, काही सक्रिय प्रक्रिया पुन्हा अधिलिखित होत आहेत, मी ते शोधत आहे.

त्याच वेळी, इंस्टॉलर स्क्रिप्ट (खाली पहा) मधील पत्त्यांवर सक्रिय wgets (किंवा कर्ल) लटकलेले आहेत, मी त्यांना आत्तासाठी अशा प्रकारे खाली ठोठावत आहे, परंतु ते पुन्हा सुरू करतात:

ps aux | grep wge[t]
ps aux | grep cur[l]
echo "Stopping..."
kill -9 `ps aux | grep wge[t] | awk '{print $2}'`
kill -9 `ps aux | grep cur[l] | awk '{print $2}'`

मला येथे ट्रोजन इंस्टॉलर स्क्रिप्ट सापडली (सेंटोस): /usr/local/bin/nptd... मी ते टाळण्यासाठी पोस्ट करत नाही, परंतु जर कोणी संक्रमित असेल आणि शेल स्क्रिप्ट समजत असेल, तर कृपया अधिक काळजीपूर्वक अभ्यास करा.

माहिती अपडेट केल्यावर मी जोडेन.

UPD 1: फाइल्स (प्राथमिक chattr -i सह) /etc/cron.d/root, /etc/crontab, rm -Rf /var/spool/cron/root हटवण्याने मदत झाली नाही किंवा सेवा थांबवण्याने मदत झाली नाही - मला करावे लागले crontab आता पूर्णपणे फाडून टाका (बिन फाईलचे नाव बदला).

UPD 2: ट्रोजन इंस्टॉलर कधीकधी इतर ठिकाणी देखील पडलेला होता, आकारानुसार शोधण्यात मदत झाली:
शोधा / -आकार 19825c

UPD 3/XNUMX/XNUMX: खबरदारी सेलिनक्स अक्षम करण्याव्यतिरिक्त, ट्रोजन स्वतःचे देखील जोडते SSH की ${sshdir}/authorized_keys मध्ये! आणि खालील फील्ड /etc/ssh/sshd_config मध्ये सक्रिय करते, जर ते आधीपासून होय ​​वर सेट केले गेले नसतील:
परमिट्रूटलॉगिन होय
RSAA प्रमाणीकरण होय
होय, होय
echo UsePAM होय
पासवर्ड ऑथेंटिकेशन होय

UPD 4: आत्ताचा सारांश देण्यासाठी: एक्झिम, क्रॉन (मुळांसह) अक्षम करा, तातडीने ssh वरून ट्रोजन की काढून टाका आणि sshd कॉन्फिगरेशन संपादित करा, sshd रीस्टार्ट करा! आणि हे अद्याप स्पष्ट नाही की हे मदत करेल, परंतु त्याशिवाय एक समस्या आहे.

मी पॅचेस/अपडेट्सबद्दलच्या टिप्पण्यांपासून टिपेच्या सुरुवातीस महत्त्वाची माहिती हलवली, जेणेकरून वाचकांनी त्याची सुरुवात केली.

UPD 5/XNUMX/XNUMX: दुसरा डेनी लिहितो मालवेअरने वर्डप्रेसमधील पासवर्ड बदलले.

UPD 6/XNUMX/XNUMX: पॉलमनने तात्पुरता इलाज तयार केला, चला चाचणी करूया! रीबूट किंवा शटडाउन केल्यानंतर, औषध गायब झाल्याचे दिसते, परंतु आत्ता किमान तेच आहे.

जो कोणी स्थिर उपाय करतो (किंवा शोधतो), कृपया लिहा, तुम्ही अनेकांना मदत कराल.

UPD 7/XNUMX/XNUMX: वापरकर्ता clsv लिहितात:

जर तुम्ही आधीच सांगितले नसेल की एक्झिममधील न पाठवलेल्या पत्रामुळे व्हायरसचे पुनरुत्थान झाले आहे, जेव्हा तुम्ही पत्र पुन्हा पाठवण्याचा प्रयत्न करता तेव्हा ते पुनर्संचयित होते, /var/sool/exim4 मध्ये पहा.

तुम्ही संपूर्ण एक्झिम रांग याप्रमाणे साफ करू शकता:
exipick -i | xargs exim -श्री
रांगेतील नोंदींची संख्या तपासत आहे:
exim -bpc

UPD 8: पुन्हा अदरडेनी माहितीबद्दल धन्यवाद: FirstVDS ने त्यांच्या उपचार स्क्रिप्टची आवृत्ती ऑफर केली, चला ते तपासूया!

UPD 9: असे दिसते कार्य करते, धन्यवाद किरील स्क्रिप्टसाठी!

मुख्य गोष्ट म्हणजे सर्व्हरशी आधीच तडजोड केली गेली होती आणि हल्लेखोर आणखी काही अप्रामाणिक ओंगळ गोष्टी (ड्रॉपरमध्ये सूचीबद्ध नाहीत) लावू शकले असते हे विसरू नये.

म्हणून, पूर्णपणे स्थापित केलेल्या सर्व्हरवर (व्हीडीएस) जाणे चांगले आहे किंवा किमान विषयाचे निरीक्षण करणे सुरू ठेवा - काही नवीन असल्यास, टिप्पण्यांमध्ये येथे लिहा, कारण स्पष्टपणे प्रत्येकजण नवीन स्थापनेकडे जाणार नाही...

UPD 10: पुन्हा धन्यवाद clsv: हे स्मरण करून देते की केवळ सर्व्हरच संक्रमित होत नाहीत तर रासबेरी पाय, आणि सर्व प्रकारची व्हर्च्युअल मशीन... त्यामुळे सर्व्हर सेव्ह केल्यानंतर, तुमचे व्हिडिओ कन्सोल, रोबोट्स इ. सेव्ह करायला विसरू नका.

UPD 11: पासून उपचार स्क्रिप्टचे लेखक मॅन्युअल उपचार करणार्‍यांसाठी महत्त्वाची सूचना:
(या मालवेअरचा सामना करण्यासाठी एक किंवा दुसरी पद्धत वापरल्यानंतर)

तुम्हाला निश्चितपणे रीबूट करणे आवश्यक आहे - मालवेअर कुठेतरी खुल्या प्रक्रियेत बसतो आणि त्यानुसार, मेमरीमध्ये, आणि प्रत्येक 30 सेकंदात क्रॉन करण्यासाठी स्वतःला एक नवीन लिहितो.

UPD 12/XNUMX/XNUMX: supersmile2009 सापडले एक्झिमच्या रांगेत आणखी एक (?) मालवेअर आहे आणि उपचार सुरू करण्यापूर्वी तुम्हाला प्रथम तुमच्या विशिष्ट समस्येचा अभ्यास करण्याचा सल्ला देतो.

UPD 13/XNUMX/XNUMX: lorc सल्ला देते त्याऐवजी, स्वच्छ प्रणालीवर जा आणि फाइल्स अत्यंत काळजीपूर्वक हस्तांतरित करा, कारण मालवेअर आधीच सार्वजनिकरित्या उपलब्ध आहे आणि इतर, कमी स्पष्ट आणि अधिक धोकादायक मार्गांनी वापरला जाऊ शकतो.

UPD 14: स्वतःला आश्वस्त करणे की हुशार लोक मुळापासून पळत नाहीत - आणखी एक गोष्ट clsv कडून तातडीचा ​​संदेश:

जरी ते रूट पासून कार्य करत नसले तरी, हॅकिंग होते... माझ्याकडे डेबियन जेसी यूपीडी आहे: माझ्या ऑरेंजपीवर स्ट्रेच, डेबियन-एक्झिम वरून एक्झिम चालू आहे आणि तरीही हॅकिंग झाले, मुकुट गमावले इ.

UPD 15: तडजोड केलेल्या सर्व्हरवरून स्वच्छ सर्व्हरवर जाताना, स्वच्छतेबद्दल विसरू नका, w0den कडून उपयुक्त स्मरणपत्र:

डेटा हस्तांतरित करताना, केवळ एक्झिक्युटेबल किंवा कॉन्फिगरेशन फायलींकडेच लक्ष द्या, परंतु दुर्भावनायुक्त आदेश असू शकतात अशा कोणत्याही गोष्टीकडे देखील लक्ष द्या (उदाहरणार्थ, MySQL मध्ये हे क्रिएट ट्रिगर किंवा क्रिएट इव्हेंट असू शकते). तसेच, .html, .js, .php, .py आणि इतर सार्वजनिक फायलींबद्दल विसरू नका (आदर्शपणे या फायली, इतर डेटाप्रमाणे, स्थानिक किंवा इतर विश्वसनीय स्टोरेजमधून पुनर्संचयित केल्या पाहिजेत).

UPD 16/XNUMX/XNUMX: डेक्किन и savage_me दुसरी समस्या आली: सिस्टममध्ये पोर्ट्समध्ये एक्झिमची एक आवृत्ती स्थापित होती, परंतु प्रत्यक्षात दुसरी आवृत्ती चालू होती.

त्यामुळे प्रत्येकजण अद्ययावत केल्यानंतर आपण खात्री करावी की तुम्ही नवीन आवृत्ती वापरत आहात!

exim --version

आम्ही त्यांची विशिष्ट परिस्थिती एकत्रितपणे सोडवली.

सर्व्हरने DirectAdmin आणि त्याचे जुने da_exim पॅकेज वापरले (जुनी आवृत्ती, भेद्यतेशिवाय).

त्याच वेळी, DirectAdmin च्या कस्टमबिल्ड पॅकेज मॅनेजरच्या मदतीने, खरं तर, एक्झिमची नवीन आवृत्ती स्थापित केली गेली, जी आधीच असुरक्षित होती.

या विशिष्ट परिस्थितीत, कस्टमबिल्डद्वारे अद्यतनित करणे देखील मदत करते.

अशा प्रयोगांपूर्वी बॅकअप घेण्यास विसरू नका आणि हे देखील सुनिश्चित करा की अपडेट करण्यापूर्वी/नंतर सर्व एक्झिम प्रक्रिया जुन्या आवृत्तीच्या आहेत. थांबवले होते आणि मेमरीमध्ये "अडकलेले" नाही.

स्त्रोत: www.habr.com