Tanda-tanda mesin telah diretas

Mesin yang disusupi jarang terlihat rusak. Lebih sering, mesin itu mulai melakukan sedikit lebih banyak dari yang Anda minta: CPU memanas, mengirim lalu lintas keluar, mengetuk alamat orang lain. Semakin cepat Anda menyadarinya, semakin kecil konsekuensinya.

Tanda-tanda awal

• CPU terus-menerus di 100% tanpa beban dari Anda — Anda bisa melihatnya pada grafik di "Overview" panel /hosting/vds/m/<id>.
• Lalu lintas keluar pada dataran datar sepanjang waktu — lihat penggunaan lalu lintas.
• Ruang disk menghilang entah ke mana.
• Log menunjukkan login berhasil dari alamat yang tidak dikenal — lihat log login.
• Muncul pengguna baru atau tugas terjadwal.
• Penyedia Anda menerima keluhan tentang mesin Anda — distribusi spam atau partisipasi dalam serangan.

Kasus ketika semuanya "tiba-tiba melambat" sangat berbahaya: miner sengaja tidak membakar mesin hingga rusak agar bisa tetap tidak terdeteksi lebih lama.

Pemeriksaan

top -c
ps auxf
ss -tunp
ss -tnp state established

Cari proses dengan nama tak bermakna yang berjalan sebagai www-data atau pengguna layanan lain, dan koneksi keluar ke alamat yang tidak dikenal.

Pengguna dan entri autostart:

awk -F: '$3 >= 1000 {print $1}' /etc/passwd
awk -F: '$2 == "" {print $1}' /etc/shadow
crontab -l
crontab -l -u www-data
ls -la /etc/cron.d/ /var/spool/cron/crontabs/
systemctl list-units --type=service --state=running
systemctl list-timers

Perubahan terbaru di direktori sistem:

find /etc /usr/bin /usr/sbin -mtime -7 -type f
find /tmp /dev/shm /var/tmp -type f -executable

File yang dapat dieksekusi di /tmp dan /dev/shm hampir selalu asing.

Kunci akses:

cat /root/.ssh/authorized_keys
for d in /home/*; do cat $d/.ssh/authorized_keys 2>/dev/null; done

Kunci asing yang ditambahkan adalah cara paling umum untuk mendapatkan pijakan di sebuah mesin.

Jika terbukti

Jangan mencoba "membersihkannya dan tetap bekerja". Anda tidak tahu persis apa yang telah diubah: penyerang bisa saja menukar perintah sistem, sehingga ps dan ls sama-sama bisa berbohong kepada Anda.

Urutan yang benar:

1. Putuskan mesin dari layanan eksternal, ubah kata sandi dan kunci di mana pun keduanya pernah digunakan.
2. Kumpulkan yang Anda butuhkan untuk investigasi: log, daftar proses, waktu login mencurigakan pertama.
3. Salin keluar hanya data, bukan file yang dapat dieksekusi. Menyalin kode dari mesin yang disusupi berarti memindahkan backdoor.
4. Instal ulang sistem di tab "Access" panel /hosting/vds/m/<id>.
5. Bangun kembali, dimulai dengan pengerasan jam pertama.
6. Tutup celah aslinya: aplikasi usang, kata sandi lemah, basis data publik tanpa kata sandi.

Bagaimana penyerang biasanya masuk

Instal ulang terlihat mahal, tetapi biayanya lebih kecil daripada mesin yang tidak bisa lagi Anda percayai untuk apa pun. Miner atau kampanye spam yang ditemukan juga merupakan pelanggaran ketentuan penggunaan dari pihak mesin Anda, meskipun Anda tidak menjalankannya.