VDS взломали

Зависит от того что у тебя на серваке крутится. По любому надо смотреть логи, и проверять все пакеты на аутентичность.

Я думаю что переустановка системы не поможет, ведь уязвимость останется.

Если подскажете, куда копать, чтобы найти уязвимое место — было бы здорово.

Ну так всё уже система скомпрометирована, наиболее вменяемый вариант перекатится на любимый CRUX.

админы vds провайдера развлекаются ))

Вот и нужно выяснить как это было сделано.

Откуда такая уверенность, что в crux нет той же дыры.

жопорук

Не даром я не доверяю дистрибутивам типа Debian, CentOS, потому что хрен знает, что там внутрях у него крутится.

Конечно, это ведь не дистрибутивы с 3.5 пакетами :D

Я знаю, что установи я свой уютненький CRUX, ничего бы такого не случилось.

Хм?

Не даром я не доверяю дистрибутивам типа Debian, CentOS

Systemd?

Просто он никому не нужен :)

Ничего не сломали

а повесили майнер

Запустили процесс на хоте == сломали, причём в щепки

Я знаю, что установи я свой уютненький CRUX, ничего бы такого не случилось.

Ну, не факт =)

Если подскажете, куда копать

Позволить сделать это ещё раз, сделать снимок системы (как угодно) хоть рекурсивно ls на всё сделать или Inotify. Далее как только появится процесс майнера сделать ещё раз снимок, логов, файлов, процессов . И погасить систему, автоматически естественно. Причём резко так что бы майнер не успел что-то сделать. Затем по снимкам выяснить, что, когда и где появилось. Как запустись и кем. Родительский процесс чей? Ну и всё дело в шляпе.

Спуф, вот скажи честно, ты после обнаружения пытался найти подобные кейсы? Или как обычно ограничился своим тупым «я сам»? Вопрос скорее риторический, потому-что не факт что смена дистра изменит ситуацию.

да ладно, тупняк уровня спуфа наверняка. что то из разряда авторизации по ключам с неотключенным логином, рутом, дефолтным портом, игнор логов здравствуй брут.

По теме - возьми open-scap и посмотри, что но скажет.

Я знаю, что установи я свой уютненький CRUX, ничего бы такого не случилось.

Вот нифига не угадал. Большая часть уязвимостей (после тупых админов) - это application-layer, и их наличие зависит не от дистрибутива, а от того, какой софт установлен

Не даром я не доверяю дистрибутивам типа Debian, CentOS, потому что хрен знает, что там внутрях у него крутится.

Ты точно знаешь, что крутится внутри твоего уютного апача/nginx-а?

А что еще за сервисы крутятся помимо ssh?

Вопрос совсем тупой, но пароли ssh все поменял? Логи подключений смотрел?

Какие вообще сервисы на твоем сервачке крутятся? web, mail, proxy, ssh, vpn-шлюз?

ну вот картинко: https://files.catbox.moe/adjrf6.png

jabberd2, nginx со статикой (php-fpm просто так, нигде не используется), exim, и чатики (mcabber | irssi).

на вдс ничего ценного, тупо почта для спама (для регистрации на сайтах) и чатики крутятся. это вдс-однодневка, сегодня есть, завтра нет. принимает на себя все «атаки», проксирует безопасный трафик до домашнего nginx (чтобы не светить домашний провайдерский IP). поэтому отношение соответствующее, никаких обновлений не делал. вот и поплатился.

надо в crontab-e пихать apt-get update && apt-get upgrade теперь :)

exim

Там недавно дыра была, надо было вовремя обновлять.

Для автоматических обновлений есть https://haukola.ru/2017/unattended-upgrades/

прикольно, спасибо, воспользуюсь этой утилитой для обновлений безопаности.

Я знаю, что установи я свой уютненький CRUX, ничего бы такого не случилось.

Да! Ведь ты проинспектировал все исходники всего софта который идет в комплекте с CRUX!

Не обязательно, что именно на сервере уязвимость. Могли с его рабочей машины ключи стянуть.

https://www.virustotal.com/gui/file/4e481f41263b649df1e5ae03e001c58ed31457f3d...

это ты его уже на virustotal залил? :) Судя по выхлопу, что-то свежее, первый образец только сегодня в базе появился час назад

а какой у тебя был пароль на SSH, не слишком ли короткий

cron и таймеры проверял? Может оно автоматом откуда-то скачивается?

# crontab -e
36 * * * * /bin/dhpcd -o de.minexmr.com:4444 -B >/dev/null 2>/dev/null

какой вы проницательный. :) но механизм возникновения /bin/dhpcd ещё остался загоднойж.

К серверам часто перебирают пароли к SSH. Не конкретных людей, просто кого попало. Мой рекорд - через минуту, после аренды сервера и установки ОС. Решил отключением входа по паролю.

Я знаю, что установи я свой уютненький CRUX

Получилось бы то же самое.

К серверам часто перебирают пароли к SSH. Не конкретных людей, просто кого попало. Мой рекорд - через минуту, после аренды сервера и установки ОС. Решил отключением входа по паролю.

Это где такие пароли?

При создании нового инстанса ОС на VDS, обычно пароль рута а ля to5nai4Rairu2e.

Это где такие пароли?

Не в смысле, что через минуту взломали, а начали брутить пароль

В 00:00 по MSK файл восстановился

Прям по крону)

Покрвырявшись чуть-чуть в твоём бинарнике, вот что похоже тебя покусало: https://github.com/brian112358/avermore-miner

Угадай спуфинга по посту. BTW, вангую простой пароль рута и неотключенный вход по паролям.

BTW, тут недавно в битриксах замечал побитый постфикс. Может и здесь через почту зашли…

У тебя правда пользовательский софт от рута запущен, или ты нас троллишь?

Твой dhcpd это:

/home/den/mydata/build_xmrig-5.2.0_on_Alpine_3.10/xmrig-5.2.0/scripts/build/...

XMRig High performance, open source, cross platform miner.

Это легальный майнер, который используют ботнеты.

Судя по скриншоту процессов и, судя по тому, что это непатченная Debian, то, с огромной вероятностью, что-то в духе этого:

- https://security-tracker.debian.org/tracker/CVE-2019-10149

- https://security-tracker.debian.org/tracker/CVE-2019-15846

- https://security-tracker.debian.org/tracker/CVE-2019-16928

И ещё что-то было. Стоит проверить - пропатчено ли. Если пропатчено - значит с другим сервисом проблемы. Но, скорее всего, оно самое.

И да, просто обновить систему теперь не вариант. Ибо могли инжектировать руткит после эксплуатации уязвимости. Систему в любом случае придёться переустановить.

Только с нуля. Остальное полумеры.

Вангую, что у него был открыт root доступ по ssh, и пароль 12345, так что не только ключами боты логинятся. Мож, провайдер vds уже в образе кривые настройки ssh поставил

Дай вывод openscap.

И, серьезно, посмотри логи ssh-подключений на предмет подозрительных входов. Смотри примерно вокруг тех моментов, когда у тебя майнер поднимался.

Да exim виноват с вероятностью 99%.

Ставлю на криво настроенный ssh, но это еще надо проверить.

криво настроенный ssh

Что это значит? В оппосте написано, вход по ключам. Даже если включен логин по паролям, у спуфинга пароль не qwerty, никто не брутит целенаправленно нищевдсы больше чем по обычному вордлисту.

Еще он прямым текстом пишет, что стоит exim без обновлений.

Что это значит? В оппосте написано, вход по ключам.

То, что вход по паролю мог быть и не отключен.

Даже если включен логин по паролям, у спуфинга пароль не qwerty, никто не брутит целенаправленно нищевдсы больше чем по обычному вордлисту.

А какой у него пароль - мы не знаем.

сначала раскажи, как ОС защищал...

Спуфя опять таблеточки забыл накатить. А ему в это время накатили майнер. Ну, хорошо хоть на бутылку не посадили. За крукс давно пора натянуть эту жирную сволочь.

Да уж лучше Спуфик, чем понторезы вроде kirk_johnson и ptarh.