Добрый день.
У клиента на хостинге завёлся зловред, грузит процессор под 10)% и сканирует все машины по локальной сети. Был создан пользователь httpd с UID 0 и GID 0, заведён пароль, от имени этого пользователя запускался python2 vnc.sh (очень смешно).
На самом деле python2 — это брутфорсер, а vnc.sh это список паролей, ну не суть.
Открываю логи.
окт 11 00:53:12 client systemd[1]: Started User Manager for UID 0.
окт 11 00:53:12 client systemd[1]: Started Session 6 of user root.
окт 11 00:53:12 client login[1496]: ROOT LOGIN on '/dev/tty1'
Дальше происходит эпичное:
окт 11 00:54:43 client sshd[1513]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=193.124.184.41 user=httpd
окт 11 00:54:45 client sshd[1513]: Failed password for httpd from 193.124.184.41 port 33768 ssh2
окт 11 00:55:00 client systemd[1]: Stopping OpenBSD Secure Shell server...
окт 11 00:55:00 client sshd[757]: Received signal 15; terminating.
Злоумышленник попытался зайти пользователем httpd через ssh, но в sshd отключен вход руту по паролю, поэтому ему пришлось поправить sshd.conf, в корне остался файл .bash_history примерно такого содержания:
curl ifconfig.me
nano /etc/ssh/sshd_config
service sshd restart
exit
Хостинг виртуальный. Используется KVM. /dev/tty1 — это первая виртуальная консоль, доступная только со стороны гипервизора. В эту консоль можно попасть через веб-панель управления хостера, там VNC-клиент в браузере. В веб-панели есть журнал входов и журнал подключений, за 11-е число оба чистые.
Моя мысль: сотрудник хостинга охренел на столько, что подключился к VNC, применил init=/bin/bash, завёл пользователя, залогинился, всунул зловред и ушёл. С этой мыслью я написал в ТП хостера от имени клиента.
Ответ хостера: «Если у вас есть подозрения на странную активность внутри сервера- рекомендуем сменить пароль и провести ряд мероприятий по настройке безопасности сервера.». На вопрос, а вдруг кто-то из сотрудников шалит: «Я не могу себе представить ситуацию, при которой кому-то из сотрудников пришло в голову зайти на ваш сервер, еще и таким образом.». И на вопрос, а вдруг кто-то со стороны взломал вашу панель: «Нет, нашу инфраструктуру не взламывали.».
Внимание, вопрос:
На /dev/tty1 действительно можно зайти только со стороны гипервизора, или я тупой? И есть какая-то уязвимость в ssh/nginx/openvpn, через которую можно зайти рутом на /dev/tty1?
Потому что если я не тупой, от этого хостера надо бежать как можно быстрее и как можно дальше.
P.S. Пока этот вопрос не прояснён, название хостера скрою.
