तत्काल एक्जिम 4.92 मा अपडेट गर्नुहोस् - त्यहाँ सक्रिय संक्रमण छ

आफ्ना मेल सर्भरहरूमा Exim संस्करण 4.87...4.91 प्रयोग गर्ने सहकर्मीहरू - CVE-4.92-2019 मार्फत ह्याक हुनबाट जोगिनका लागि पहिले नै Exim लाई रोकेको, संस्करण 10149 मा तत्काल अपडेट गर्नुहोस्।

विश्वभरका धेरै मिलियन सर्भरहरू सम्भावित रूपमा कमजोर छन्, जोखिमलाई महत्त्वपूर्ण रूपमा मूल्याङ्कन गरिएको छ (CVSS 3.0 आधार स्कोर = 9.8/10)। आक्रमणकारीहरूले तपाईंको सर्भरमा स्वेच्छाचारी आदेशहरू चलाउन सक्छन्, धेरै अवस्थामा रूटबाट।

कृपया निश्चित गर्नुहोस् कि तपाइँ एक निश्चित संस्करण (4.92) वा पहिले नै प्याच गरिएको एक प्रयोग गर्दै हुनुहुन्छ।
वा अवस्थित प्याच गर्नुहोस्, थ्रेड हेर्नुहोस् निर्दोष टिप्पणी.

को लागि अद्यावधिक गर्नुहोस् Centos 6: सेमी। Theodor द्वारा टिप्पणी — centos 7 को लागि यो पनि काम गर्दछ, यदि यो सिधै epel बाट आइपुगेको छैन भने।

UPD: Ubuntu प्रभावित छ 18.04 र 18.10, तिनीहरूको लागि एक अपडेट जारी गरिएको छ। संस्करणहरू 16.04 र 19.04 प्रभावित हुँदैनन् जबसम्म तिनीहरूमा अनुकूलन विकल्पहरू स्थापना गरिएको थिएन। थप विवरण तिनीहरूको आधिकारिक वेबसाइटमा.

Opennet मा समस्या बारे जानकारी
Exim वेबसाइटमा जानकारी

अब त्यहाँ वर्णन गरिएको समस्या सक्रिय रूपमा शोषण भइरहेको छ (एक बोट द्वारा, सम्भवतः), मैले केही सर्भरहरूमा संक्रमण देखेँ (4.91 मा चलिरहेको)।

थप पढाइ तिनीहरूका लागि मात्र सान्दर्भिक छ जसले पहिले नै "प्राप्त" गरिसकेका छन् - तपाईंले या त नयाँ सफ्टवेयरको साथ सफा VPS मा सबै चीजहरू ढुवानी गर्न आवश्यक छ, वा समाधान खोज्नुहोस्। के हामी प्रयास गरौं? यदि कसैले यो मालवेयरलाई जित्न सक्छ भने लेख्नुहोस्।

यदि तपाईं, एक एक्जिम प्रयोगकर्ता भई यो पढ्दै हुनुहुन्छ भने, अझै पनि अद्यावधिक गर्नुभएको छैन (४.९२ वा प्याच गरिएको संस्करण उपलब्ध छ भन्ने सुनिश्चित गर्नुभएको छैन), कृपया रोक्नुहोस् र अद्यावधिक गर्न दौडनुहोस्।

जो पहिले नै त्यहाँ पुगिसकेका छन्, जारी राखौं...

UPS: supersmile2009 ले अर्को प्रकारको मालवेयर फेला पार्यो र सही सल्लाह दिन्छ:

त्यहाँ मालवेयर को एक ठूलो विविधता हुन सक्छ। गलत कुराको लागि औषधि सुरु गरेर र लाइन खाली गरेर, प्रयोगकर्ता निको हुँदैन र उसलाई के उपचार गर्न आवश्यक छ थाहा नहुन सक्छ।

संक्रमण यस्तो देखिन्छ: [kthrotlds] प्रोसेसर लोड हुन्छ; कमजोर VDS मा यो 100% छ, सर्भरहरूमा यो कमजोर छ तर ध्यानयोग्य छ।

संक्रमण पछि, मालवेयरले क्रोन प्रविष्टिहरू मेटाउँछ, प्रत्येक 4 मिनेटमा चलाउनको लागि त्यहाँ मात्र दर्ता गर्दै, क्रोनट्याब फाइललाई अपरिवर्तनीय बनाउँदै। क्रोनट्याब - ई परिवर्तनहरू बचत गर्न सक्दैन, त्रुटि दिन्छ।

अपरिवर्तनीय हटाउन सकिन्छ, उदाहरणका लागि, यो जस्तै, र त्यसपछि आदेश रेखा (1.5kb) मेटाउनुहोस्:

chattr -i /var/spool/cron/root
crontab -e

अर्को, crontab सम्पादक (vim) मा, रेखा मेटाउनुहोस् र बचत गर्नुहोस्:dd
:wq

जे होस्, केहि सक्रिय प्रक्रियाहरू फेरि ओभरराइट गर्दै छन्, म यसलाई बाहिर निकाल्दै छु।

एकै समयमा, त्यहाँ स्थापनाकर्ता स्क्रिप्ट (तल हेर्नुहोस्) बाट ठेगानाहरूमा झुन्डिएका सक्रिय wgets (वा कर्लहरू) को गुच्छा छन्, म तिनीहरूलाई अहिलेको लागि यसरी ढकढक गर्दैछु, तर तिनीहरू फेरि सुरु गर्नुहोस्:

ps aux | grep wge[t]
ps aux | grep cur[l]
echo "Stopping..."
kill -9 `ps aux | grep wge[t] | awk '{print $2}'`
kill -9 `ps aux | grep cur[l] | awk '{print $2}'`

मैले यहाँ ट्रोजन स्थापनाकर्ता स्क्रिप्ट फेला पारे (सेन्टोस): /usr/local/bin/nptd... म यसलाई जोगिनको लागि पोस्ट गरिरहेको छैन, तर यदि कोही संक्रमित छन् र शेल लिपिहरू बुझ्छन् भने, कृपया यसलाई अझ सावधानीपूर्वक अध्ययन गर्नुहोस्।

जानकारी अपडेट भएपछि म थप्नेछु।

UPD 1: फाइलहरू मेटाउन (प्रारम्भिक chattr -i संग) /etc/cron.d/root, /etc/crontab, rm -Rf /var/spool/cron/root ले मद्दत गरेन, न त सेवा रोक्न - मैले गर्नुपर्‍यो। अहिलेको लागि crontab यसलाई पूर्ण रूपमा फाल्नुहोस् (बिन फाइलको नाम परिवर्तन गर्नुहोस्)।

UPD 2: ट्रोजन स्थापनाकर्ता कहिलेकाहीँ अन्य ठाउँहरूमा पनि लुकेको थियो, आकारद्वारा खोजी गर्न मद्दत गर्‍यो:
फेला पार्नुहोस् / -साइज 19825c

UPD ०२/२३/२०२०: सावधानी सेलिनक्स असक्षम पार्नुको अतिरिक्त, ट्रोजनले पनि आफ्नै थप्छ SSH कुञ्जी ${sshdir}/authorized_keys मा! र /etc/ssh/sshd_config मा निम्न क्षेत्रहरू सक्रिय गर्दछ, यदि तिनीहरू पहिले नै YES मा सेट गरिएको छैन भने:
PermitRootLogin हो
RSAA प्रमाणीकरण हो
PubkeyAuthentication हो
echo UsePAM हो
पासवर्ड प्रमाणीकरण हो

UPD 4: अहिलेको लागि संक्षेपमा: Exim, cron (जडहरू सहित) असक्षम गर्नुहोस्, तुरुन्तै ssh बाट ट्रोजन कुञ्जी हटाउनुहोस् र sshd कन्फिगरेसन सम्पादन गर्नुहोस्, sshd पुन: सुरु गर्नुहोस्! र यो अझै स्पष्ट छैन कि यसले मद्दत गर्नेछ, तर यो बिना समस्या छ।

मैले प्याच/अद्यावधिकहरू बारे टिप्पणीहरूबाट टिप्पणीको सुरुमा महत्त्वपूर्ण जानकारी सारियो, ताकि पाठकहरूले यसलाई सुरु गर्न सकून्।

UPD ०२/२३/२०२०: अर्को डेनी लेख्छन् कि मालवेयरले WordPress मा पासवर्ड परिवर्तन गर्यो।

UPD ०२/२३/२०२०: Paulmann एक अस्थायी उपचार तयार, परीक्षण गरौं! रिबुट वा शटडाउन पछि, औषधि गायब देखिन्छ, तर अहिलेको लागि कम्तिमा यो हो।

जो कोहीले एक स्थिर समाधान बनाउँछ (वा फेला पार्छ), कृपया लेख्नुहोस्, तपाईंले धेरैलाई मद्दत गर्नुहुनेछ।

UPD ०२/२३/२०२०: प्रयोगकर्ता clsv लेख्छ:

यदि तपाईंले पहिल्यै भन्नुभएन भने भाइरस पुनरुत्थान भएको छ एक्जिममा नपठाइएको पत्रलाई धन्यवाद, जब तपाइँ फेरि पत्र पठाउने प्रयास गर्नुहुन्छ, यो पुनर्स्थापित हुन्छ, /var/sool/exim4 मा हेर्नुहोस्।

तपाईले सम्पूर्ण एक्जिम लामलाई यसरी खाली गर्न सक्नुहुन्छ:
exipick -i | xargs exim - श्रीमान
लाममा प्रविष्टिहरूको संख्या जाँच गर्दै:
एक्जिम - बीपीसी

UPD 8: फेरि जानकारी को लागी धन्यवाद OtherDenny: FirstVDS ले उपचार लिपिको आफ्नो संस्करण प्रस्ताव गर्यो, यसलाई परीक्षण गरौं!

UPD 9: यस्तो देखिन्छ работает, धन्यवाद किरिल स्क्रिप्टको लागि!

मुख्य कुरा यो बिर्सनु हुँदैन कि सर्भर पहिले नै सम्झौता गरिएको थियो र आक्रमणकारीहरूले केहि थप असामान्य चीजहरू रोप्न व्यवस्थित गर्न सक्थे (ड्रपरमा सूचीबद्ध छैन)।

तसर्थ, यो पूर्ण रूपमा स्थापित सर्भर (vds) मा सार्न राम्रो छ, वा कम्तिमा विषय अनुगमन जारी - यदि केहि नयाँ छ भने, यहाँ टिप्पणीहरूमा लेख्नुहोस्, किनभने स्पष्ट रूपमा सबैजना नयाँ स्थापनामा सर्ने छैनन् ...

UPD 10: फेरि धन्यवाद clsv: यसले सर्भरहरू मात्र संक्रमित छैनन् भनेर सम्झाउँछ, तर रास्पबेरी Pi, र सबै प्रकारका भर्चुअल मेसिनहरू... त्यसैले सर्भरहरू बचत गरेपछि, आफ्नो भिडियो कन्सोलहरू, रोबोटहरू, आदि बचत गर्न नबिर्सनुहोस्।

UPD 11: बाट उपचार लिपि को लेखक म्यानुअल हेलरहरूको लागि महत्त्वपूर्ण नोट:
(यस मालवेयर विरुद्ध लड्ने एक वा अर्को विधि प्रयोग गरेपछि)

तपाईंले निश्चित रूपमा रिबुट गर्न आवश्यक छ - मालवेयर कतै खुला प्रक्रियाहरूमा बस्छ र तदनुसार, मेमोरीमा, र प्रत्येक 30 सेकेन्डमा क्रोन गर्नको लागि आफैंले नयाँ लेख्छ।

UPD ०२/२३/२०२०: supersmile2009 फेला पर्यो Exim सँग यसको पङ्क्तिमा अर्को(?) मालवेयर छ र तपाइँलाई उपचार सुरु गर्नु अघि तपाइँको विशेष समस्या अध्ययन गर्न सल्लाह दिन्छ।

UPD ०२/२३/२०२०: lorc सल्लाह दिन्छ बरु, सफा प्रणालीमा सार्नुहोस्, र फाइलहरू अत्यन्त सावधानीपूर्वक स्थानान्तरण गर्नुहोस्, किनभने मालवेयर पहिले नै सार्वजनिक रूपमा उपलब्ध छ र अन्य, कम स्पष्ट र अधिक खतरनाक तरिकाहरूमा प्रयोग गर्न सकिन्छ।

UPD 14: आफूलाई आश्वस्त गर्दै कि स्मार्ट मानिसहरू जराबाट भाग्दैनन् - अर्को कुरा clsv बाट जरुरी सन्देश:

यदि यसले रूटबाट काम गर्दैन भने पनि, ह्याकिङ हुन्छ... मसँग डेबियन जेसी UPD छ: मेरो ओरेन्जपीमा स्ट्रेच, एक्जिम डेबियन-एक्जिमबाट चलिरहेको छ र अझै पनि ह्याकिङ भयो, मुकुटहरू हराएको, आदि।

UPD 15: सम्झौता गरिएको सर्भरबाट सफा सर्भरमा सर्दा, स्वच्छताको बारेमा नबिर्सनुहोस्, w0den बाट उपयोगी रिमाइन्डर:

डाटा स्थानान्तरण गर्दा, निष्पादन योग्य वा कन्फिगरेसन फाइलहरूमा मात्र ध्यान नदिनुहोस्, तर खराब आदेशहरू हुन सक्ने कुनै पनि कुरामा ध्यान दिनुहोस् (उदाहरणका लागि, MySQL मा यो CREATE TRIGGER वा CREATE EVENT हुन सक्छ)। साथै, .html, .js, .php, .py र अन्य सार्वजनिक फाइलहरू (आदर्श रूपमा यी फाइलहरू, अन्य डाटाहरू जस्तै, स्थानीय वा अन्य विश्वसनीय भण्डारणबाट पुनर्स्थापित गरिनु पर्छ) बारे नबिर्सनुहोस्।

UPD ०२/२३/२०२०: daykkin и savage_me अर्को समस्या सामना गर्नुभयो: प्रणालीमा पोर्टहरूमा एक्जिमको एउटा संस्करण स्थापना गरिएको थियो, तर वास्तवमा यो अर्को चलिरहेको थियो।

त्यसैले सबैजना अद्यावधिक पछि तपाईंले निश्चित गर्नुपर्छ तपाईं नयाँ संस्करण प्रयोग गर्दै हुनुहुन्छ कि!

exim --version

हामीले तिनीहरूको विशिष्ट अवस्थालाई सँगै मिल्यौं।

सर्भरले DirectAdmin र यसको पुरानो da_exim प्याकेज (पुरानो संस्करण, जोखिम बिना) प्रयोग गर्यो।

एकै समयमा, DirectAdmin को custombuild प्याकेज प्रबन्धकको सहयोगमा, वास्तवमा, Exim को नयाँ संस्करण स्थापना गरिएको थियो, जुन पहिले नै कमजोर थियो।

यस विशेष अवस्थामा, अनुकूलन निर्माण मार्फत अद्यावधिक गर्न पनि मद्दत गर्यो।

त्यस्ता प्रयोगहरू अघि ब्याकअपहरू बनाउन नबिर्सनुहोस्, र यो पनि सुनिश्चित गर्नुहोस् कि अपडेट गर्नु अघि / पछि सबै एक्जिम प्रक्रियाहरू पुरानो संस्करणका छन्। रोकिएका थिए र मेमोरीमा "अडकिएको" होइन।

स्रोत: www.habr.com