В Сети зафиксирован массовый взлом серверов на базе Linux

2

5

не Ъ — читают новость на опеннете

Ъ:

Третий день в Сети наблюдается массовый взлом серверов на базе Linux. Имеется подозрение, что атака совершается через неисправленную 0-day уязвимость в одном из доступных по сети сервисов. Среди взломанных систем отмечаются серверы на базе CentOS и другие дистрибутивы на основе пакетной базы RHEL 5 и 6, на которых установлены все доступные обновления. На многих взломанных системах используются панели управления cPanel, DirectAdmin, ISP config и Plesk, но пока не ясно могут ли они быть источником проникновения.
В результате атаки в системе неизвестным образом появляется файл /lib64/libkeyutils.so.1.9 (для 32-разрядных систем /lib/libkeyutils.so.1.9). После взлома процесс sshd начинает устанавливать подозрительные соединения: при входе на взломанный сервер по ssh, по протоколу UDP осуществляется отправка данных о введённых логине и пароле на 53 порт внешнего хоста. Кроме того, на сервер размещается код для участие в ботнете, используемом для рассылки спама и возможно для совершения дальнейших атак.

Ссылка

←	Тесты эльбруса

gnome-shell готов

→

← 1 2 3 →

Ответ на: комментарий от router 19.02.13 16:47:21 MSK

З.Ы. хорошо иметь централизованную систему мониторинга.

На центральном сервере xymon: /etc/xymon/client-local.cfg

[linux]
file:/lib64/libkeyutils.so.1.9
file:/lib/libkeyutils.so.1.9
[...]

/etc/xymon/analysis.all.cfg:

CLASS=linux
        FILE /lib64/libkeyutils.so.1.9 RED noexist
        FILE /lib/libkeyutils.so.1.9 RED noexist
[...]

router ★★★★★
(19.02.13 17:07:52 MSK)
Последнее исправление: router 19.02.13 17:08:34 MSK (всего исправлений: 2)

Ссылка

# locate libkeyutils.so
#

FFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFfUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUUU

Pyzia ★★★★★
(19.02.13 17:59:53 MSK)

Ответ на: комментарий от Pyzia 19.02.13 17:59:53 MSK

Употребление жаргона не по назначению вызывает у читающих когнитивный диссонанс :)

router ★★★★★
(19.02.13 18:06:37 MSK)

при чём здесь вообще keyutils? там sshd подменяется на патченый вот что главное, и патч то предельно простой: сливать успешные логины на сторонний сервачёк, да пускать по захардкоженому паролю.
даже статья на хабре была пару дней назад.
а ломануть однотипные системы некоторым набором эксплоитов можно было и 10 лет назад, только вот однотипные системы найти было сложно.

mm3 ★★★
(19.02.13 18:20:16 MSK)

Ссылка

Ответ на: комментарий от tazhate 19.02.13 16:26:02 MSK

Они дополняют друг друга. PaX предотвращает большой класс эксплойтов, selinux изолирует друг от друга процессы, пользователей, данные.

XVilka ★★★★★
(19.02.13 18:22:59 MSK)

Ответ на: комментарий от XVilka 19.02.13 18:22:59 MSK

Они дополняют друг друга. PaX предотвращает большой класс эксплойтов, selinux изолирует друг от друга процессы, пользователей, данные.

А grsecurity? :)

tazhate ★★★★★
(19.02.13 18:26:17 MSK)

Ссылка

Ответ на: комментарий от IPR 19.02.13 16:04:20 MSK

А, так это ты админ, который не осиливает поддержку bsd?

unanimous ★★★★★
(19.02.13 18:29:01 MSK)

Отличный intitle:«index of:» libkeyutils.so.1.9 запрос к гуглю (из ru-linux.livejournal)

greenman ★★★★★
(19.02.13 18:35:19 MSK)
Последнее исправление: greenman 19.02.13 18:38:21 MSK (всего исправлений: 2)

Ответ на: комментарий от router 19.02.13 18:06:37 MSK

Ну, я надеялся поковырять эту библиотеку, а так, когда знаю, что меня это не касается, специально скачивать её неохота.

Pyzia ★★★★★
(19.02.13 18:37:10 MSK)

Ссылка

Ответ на: комментарий от greenman 19.02.13 18:35:19 MSK

Ссыкотно светить ip в логах поломанного хоста

router ★★★★★
(19.02.13 18:43:09 MSK)

Ссылка

Ответ на: комментарий от unanimous 19.02.13 18:29:01 MSK

Чё?

IPR ★★★★★
(19.02.13 18:52:08 MSK)

Ссылка

$ ./audit libkeyutils.so.1.9 output
$ strings output |grep -Eo '[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}'
78.47.139.110

.. *google a bit*...

$ host mail.rubop.com
mail.rubop.com has address 78.47.139.110

$ whois rubop.com
....

Rgistrant:
 Ibragimov
 Polanskay 11
 Moskow, Russia 11223
 RU
 70958627014


Domain Name: RUBOP.COM

Administrative Contact:
 Ibragimov, Sergey pmadison12@gmail.com
 Polanskay 11
 Moskow, Russia 11223
 RU
 70958627014

http://www.reddit.com/r/netsec/comments/18ro3c/sshd_rootkit/

kerneliq ★★★★★
(19.02.13 20:33:33 MSK)
Последнее исправление: kerneliq 19.02.13 20:33:59 MSK (всего исправлений: 1)

Ссылка

Ставлю на дырявые проприетарные панельки.

winddos ★★★
(19.02.13 21:22:38 MSK)

На многих взломанных системах используются панели управления cPanel, DirectAdmin, ISP config и Plesk, но пока не ясно могут ли они быть источником проникновения.

А то и пиарится везде новая панель управления Windows, кстати, разрабы cPanel её и пилят.

nihil ★★★★★
(19.02.13 21:31:39 MSK)
Последнее исправление: nihil 19.02.13 21:32:57 MSK (всего исправлений: 1)

Ссылка

Что-то как-то вяленько, зря я потер вброс, надо было еще и ссылку на патч Бармина добавить.

pekmop1024 ★★★★★
(20.02.13 01:42:53 MSK)

Ссылка

Ответ на: комментарий от IPR 19.02.13 16:04:20 MSK

3:2 в пользу FreeBSD.

iZEN ★★★★★
(20.02.13 01:54:53 MSK)

Используйте Gentoo и не используйте панели.

~~science~~ ★★☆
(20.02.13 02:10:55 MSK)

Ответ на: комментарий от science 20.02.13 02:10:55 MSK

Используйте генту! Держите компилятор на сервере! Заставьте проц сервера работать на свои 100%!

Siado ★★★★★
(20.02.13 08:34:43 MSK)

Ответ на: комментарий от Siado 20.02.13 08:34:43 MSK

Используйте генту! Держите компилятор на сервере! Заставьте проц сервера работать на свои 100%!

Почему нет? Если у вас сервер не на Pentium II MMX, конечно.

Из профита будет также гарантия того, что в пакет ничего не всунули по дороге, пока он шел к вам. Свежайшие обновления, безопасность же. А главное никакого PHP, никаких панелей! Все администрируется вручную, надежно.

~~science~~ ★★☆
(20.02.13 10:44:10 MSK)

Ответ на: комментарий от science 20.02.13 10:44:10 MSK

Удваиваю этого господина.

Господа, использующие генту, смотрят на проблемы всяких панелек свысока.

ekzotech ★★★★
(20.02.13 12:07:22 MSK)

Ссылка

Ответ на: комментарий от iZEN 20.02.13 01:54:53 MSK

3:2 в пользу FreeBSD.

Ставить пароль фо фряхе на рута 123456 - косяк самой фряхи? Забавно, я думал это кривые руки админа.

ekzotech ★★★★
(20.02.13 12:08:02 MSK)

Ссылка

взламываю сервера по фотографии
могу взламывать массово через тельавизор/радио

Bad_ptr ★★★★★
(20.02.13 12:09:40 MSK)
Последнее исправление: Bad_ptr 20.02.13 12:10:02 MSK (всего исправлений: 1)

Ссылка

Ответ на: комментарий от IPR 19.02.13 16:04:20 MSK

бздуны уже оправились от локал рута на x86_64 процессорах?

~~xtraeft~~ ★★☆☆
(20.02.13 15:35:20 MSK)

Ссылка

Ответ на: комментарий от winddos 19.02.13 21:22:38 MSK

что, во всех сразу? скорее опять в ядре дырища

~~xtraeft~~ ★★☆☆
(20.02.13 15:36:56 MSK)
Последнее исправление: xtraeft 20.02.13 15:37:05 MSK (всего исправлений: 1)

Ответ на: комментарий от science 20.02.13 02:10:55 MSK

знаешь, сколько в свое время было изнасиловано серверов разных хостеров с hardened gentoo?:)

~~xtraeft~~ ★★☆☆
(20.02.13 15:38:21 MSK)

Ссылка

Ответ на: комментарий от xtraeft 20.02.13 15:36:56 MSK

Удаленная что ли? Не ну правда, сплоент ведь сначала надо как то влить.
К тому же если дыра именно в ядре, то почему нет информации о взломах Debian, странно слишком.

winddos ★★★
(20.02.13 15:42:47 MSK)

Ответ на: комментарий от winddos 20.02.13 15:42:47 MSK

Удаленная что ли? Не ну правда, сплоент ведь сначала надо как то влить.

тут писали, что хостеры плачутся.
влить к ним совсем не проблема
насчет панелей - ну ты правда думаешь, что во всех этих панелях общий код и как следствие общая уязвимость?:) даже не смешно

~~xtraeft~~ ★★☆☆
(20.02.13 15:51:32 MSK)
Последнее исправление: xtraeft 20.02.13 15:52:03 MSK (всего исправлений: 1)

Ответ на: комментарий от xtraeft 20.02.13 15:51:32 MSK

насчет панелей - ну ты правда думаешь, что во всех этих панелях общий код и как следствие общая уязвимость?:)

Я понимаю, что панельки тут не факт что причем.
Особенно DirectAdmin который вообще не выполняет роль контролирующего демон, а просто является интерфейсом мониторинга/правки конфигов.

Но у многих мелких/средних хостеров как ты наверное знаешь есть свои серваки с биллингами и такими же панельками.
Обычно ломают их, а потом уже из биллингов root-доступы, API-ключи к другим сервакам.
Вполне возможно что ломанули одну панельку, а остальные по цепочке пробекдорили.

Локальных дырок в ядре было и будет дофига, но разве была хоть одна которая работала на RHEL, но не работала на debian?
Наоборот были, а вот как сейчас - не припомню.

winddos ★★★
(20.02.13 16:01:41 MSK)

Ответ на: комментарий от winddos 20.02.13 16:01:41 MSK

Локальных дырок в ядре было и будет дофига, но разве была хоть одна которая работала на RHEL, но не работала на debian?

abftw.c которая в паблике была такая, под дебиан надо было отдельно пилить

~~xtraeft~~ ★★☆☆
(20.02.13 16:06:29 MSK)

Ответ на: комментарий от xtraeft 20.02.13 16:06:29 MSK

abftw.c которая в паблике была такая, под дебиан надо было отдельно пилить

Но ведь здесь явно не совсем паблик сплоит, и автор сего действа явно знал что делает и сколько серваков будет подломано.

Так что, имхо, тут что то интереснее банального сплоита на ядро, может быть какой бекдор в репах.

winddos ★★★
(20.02.13 16:46:55 MSK)

Ответ на: комментарий от IPR 19.02.13 16:04:20 MSK

Ололо-продакшен во всей красе. Будет чем бзд-хейтеров сопливой мордой ткнуть.

Ппц, я фигею с тебя :) Знаний - ноль, а вот выводы такие долгосрочные.

tazhate ★★★★★
(20.02.13 16:55:56 MSK)

Ответ на: комментарий от science 20.02.13 10:44:10 MSK

Все администрируется вручную, надежно.

Это что за винда такая в моей уютной гентушечке? man оркестраторы.

tazhate ★★★★★
(20.02.13 17:04:04 MSK)

Ссылка

Ответ на: комментарий от Siado 20.02.13 08:34:43 MSK

Используйте генту! Держите компилятор на сервере! Заставьте проц сервера работать на свои 100%!

Зачем? Один билд сервер решает проблему более чем.

tazhate ★★★★★
(20.02.13 17:04:29 MSK)

Ответ на: комментарий от tazhate 20.02.13 16:55:56 MSK

И чем ты измерял мои знания? И как кореллирует кривость линуска и мои знания? Я на этой гадости лет 6 назад сидел.

IPR ★★★★★
(20.02.13 17:05:46 MSK)

Ответ на: комментарий от IPR 20.02.13 17:05:46 MSK

И чем ты измерял мои знания? И как кореллирует кривость линуска и мои знания? Я на этой гадости лет 6 назад сидел.

Это по суждениям видно, в том числе и о самой фре.

tazhate ★★★★★
(20.02.13 17:18:18 MSK)

Ответ на: комментарий от winddos 20.02.13 16:46:55 MSK

Так что, имхо, тут что то интереснее банального сплоита на ядро, может быть какой бекдор в репах.

вполне возможно. я имею ввиду, что панельки тут ни при чем

~~xtraeft~~ ★★☆☆
(20.02.13 17:22:04 MSK)

Ссылка

Ответ на: комментарий от tazhate 20.02.13 17:04:29 MSK

излишняя сущность

~~xtraeft~~ ★★☆☆
(20.02.13 17:22:20 MSK)

Ответ на: комментарий от winddos 20.02.13 16:01:41 MSK

http://www.webhostingtalk.com/showpost.php?p=8566703&postcount=845

Вот тут сломаны и цента и деб.

tazhate ★★★★★
(20.02.13 17:22:55 MSK)

Ссылка

Ответ на: комментарий от xtraeft 20.02.13 17:22:20 MSK

излишняя сущность

А мне вот жалко простаивающие мощности серверов. Почему бы ими и не попользоваться.

tazhate ★★★★★
(20.02.13 17:23:20 MSK)

Ответ на: комментарий от tazhate 20.02.13 17:18:18 MSK

ахаха, а ты смешной. если кто-то не любит мой линуск, значит он ламер и нихрена не понимает. просто ты фанатик, смирись.

IPR ★★★★★
(20.02.13 17:31:13 MSK)

Ответ на: комментарий от IPR 20.02.13 17:31:13 MSK

ахаха, а ты смешной. если кто-то не любит мой линуск, значит он ламер и нихрена не понимает. просто ты фанатик, смирись.

Нет, просто с тех части не видел от тебя ничего полезного. Фанатизм тут уже не при чем.

tazhate ★★★★★
(20.02.13 17:31:54 MSK)

Ответ на: комментарий от tazhate 20.02.13 17:31:54 MSK

Взаимно.

IPR ★★★★★
(20.02.13 17:46:13 MSK)

Ответ на: комментарий от IPR 20.02.13 17:46:13 MSK

Взаимно.

Тогда загляни в тех разделы, зай.

tazhate ★★★★★
(20.02.13 17:53:32 MSK)

Ответ на: комментарий от science 20.02.13 10:44:10 MSK

генту...Свежайшие обновления,

сколько можно уже? то что там довольно быстро появляются свежие версии некоторых программ вовсе не означает, что там быстро появляются security-фиксы.

собственно мой опыт общения с гентой говорил о том, что в ней зачастую нет ни первого (в официальном дереве были нужные мне программы, последняя версия которых была старее, чем в debian stable), ни второго (обновления в debian и rhel приходят в течение суток, а в генте и пара месяцев - не предел).

maloi ★★★★★
(20.02.13 18:00:11 MSK)