اکسپلویت بسیار خطرناک جدید SSHD Rootkit (همکاران مدیر سرور بخوانید)

[nginxweb]

نحوه نفوذ به سیستم چطور هست؟ هنوز مشخص نشد؟

ظاهرا از طریق آپدیت های سیستم عامل و همچین لوکال سیستم رو آلوده میکنه و ربطی به امنیت سرور شما نداره
به عوان مثال 2 سرور خود ما با وجود امنیت بسیار مطلوب بر روی وب سرور و... باز هم بدون هیچ تغییری آلوده شده و اختلالات زیادی توش به وجود اومده و متاسفانه عملا جز os reload نمیشه به هیچ کد و پچی فعلا اعتماد کرد چون همه دست نویس و نظریه شخصی هستند

[CityKala.net]

دوستان بشدت پیشنهاد میشه که دسترسی به ssh سرورتونو رو از حالت password method به حالت key authentication تغییر دهید
100% فعلا اینکار رو کنید و پورت ssh رو هم به هیچ وجه پیش فرض(22) قرار ندهید

خدارو شکرت..
Ssh رو موردی نیست
قبلا انجام دادیم
-
دیگه چیکار کنیم؟

[i-whost]

خدارو شکرت..
Ssh رو موردی نیست
قبلا انجام دادیم
-
دیگه چیکار کنیم؟

روش نفوذ اطلاع دارید؟

[CityKala.net]

روش نفوذ اطلاع دارید؟

تمام تاپیک مطالعه شد
چیزی در این مورد ندیدم

[rezaonline.net]

cupsd       762        root  mem       REG        8,1    13672     393313 /lib/i386-linux-gnu/libkeyutils.so.1.4
sshd        805        root  mem       REG        8,1    13672     393313 /lib/i386-linux-gnu/libkeyutils.so.1.4
whoopsie   1058    whoopsie  mem       REG        8,1    13672     393313 /lib/i386-linux-gnu/libkeyutils.so.1.4
saslauthd  2482        root  mem       REG        8,1    13672     393313 /lib/i386-linux-gnu/libkeyutils.so.1.4
saslauthd  2483        root  mem       REG        8,1    13672     393313 /lib/i386-linux-gnu/libkeyutils.so.1.4
saslauthd  2484        root  mem       REG        8,1    13672     393313 /lib/i386-linux-gnu/libkeyutils.so.1.4
saslauthd  2486        root  mem       REG        8,1    13672     393313 /lib/i386-linux-gnu/libkeyutils.so.1.4
saslauthd  2487        root  mem       REG        8,1    13672     393313 /lib/i386-linux-gnu/libkeyutils.so.1.4
sshd      22379        root  mem       REG        8,1    13672     393313 /lib/i386-linux-gnu/libkeyutils.so.1.4
sshd      22524 hostnetwork  mem       REG        8,1    13672     393313 /lib/i386-linux-gnu/libkeyutils.so.1.4

دستور

strings /lib/i386-linux-gnu/libkeyutils.so.1.4

یه سری چیزا توش نوشته الان چه جوری بفهمم آلوده شده یا نه ؟
سیستم عامل اوبونتو 12.4

[nginxweb]

cupsd       762        root  mem       REG        8,1    13672     393313 /lib/i386-linux-gnu/libkeyutils.so.1.4
sshd        805        root  mem       REG        8,1    13672     393313 /lib/i386-linux-gnu/libkeyutils.so.1.4
whoopsie   1058    whoopsie  mem       REG        8,1    13672     393313 /lib/i386-linux-gnu/libkeyutils.so.1.4
saslauthd  2482        root  mem       REG        8,1    13672     393313 /lib/i386-linux-gnu/libkeyutils.so.1.4
saslauthd  2483        root  mem       REG        8,1    13672     393313 /lib/i386-linux-gnu/libkeyutils.so.1.4
saslauthd  2484        root  mem       REG        8,1    13672     393313 /lib/i386-linux-gnu/libkeyutils.so.1.4
saslauthd  2486        root  mem       REG        8,1    13672     393313 /lib/i386-linux-gnu/libkeyutils.so.1.4
saslauthd  2487        root  mem       REG        8,1    13672     393313 /lib/i386-linux-gnu/libkeyutils.so.1.4
sshd      22379        root  mem       REG        8,1    13672     393313 /lib/i386-linux-gnu/libkeyutils.so.1.4
sshd      22524 hostnetwork  mem       REG        8,1    13672     393313 /lib/i386-linux-gnu/libkeyutils.so.1.4

دستور

strings /lib/i386-linux-gnu/libkeyutils.so.1.4

یه سری چیزا توش نوشته الان چه جوری بفهمم آلوده شده یا نه ؟
سیستم عامل اوبونتو 12.4

ظاهراه سیستم شما 32 بیتی هستش
متاسفانه debian هم آلوده کرده این maleware خانمان سوز جهت تست دستور زیرو وارد کنید:

strings /lib/i386-linux-gnu/libkeyutils.so.1.4

سپس 20 خطر اخر رو بییند آیا چیزی شبیه زیر هستش؟

p(.:?
P&(:?
Pi.:?
\#:?
`#:?
&.:?
.&:?
i.:?
h.:?
 1&:?
pm.:?
 i&:?
0R#:?
k.:?
g#:?
X&:?
h.:?
@l#:?

[noyfound]

دوستان به جای اينكه محتوای فایل‌ها رو با هم مقايسه كنین خیلی ساده ببینید تاریخ modify شدن فایل كی هست ،ساده - راحت - ایمن :دی مثلا من libkeyutils.so.1.3 رو دارم كه تاریخ مودیفایش مال 7/2012 پس اخیرا كسی توش دست نبرده

[nader12]

واقعا خیلی ممنون از اطلاع رسانیتون

[≡ ALEX ≡]

اگر از ابتدا سرور هاتون رو بطور موثر Secure کنید، این چنین حفره های امنیتی باعث آسیب سرور های شما نخواهند شد. در واقع باگ های سیستم اصلی ممکنه وجود داشته باشند و توسط هکر ها مورد سوء استفاده قرار بگیرند ولی تنظیمات امنیتی و پیشگیرانه در سرور شما موجب کاهش سطوح دسترسی و در نهایت عدم دسترسی موثر از سوی هکر خواهد گردید.

[ertebat7]

Recommendations

• Disable direct root logins.
• Use SSH keys
• Force the use of HTTPS in WHM.
• Scan your system for malware.
• Change root password.