머신이 해킹된 징후

해킹된 머신은 좀처럼 고장 난 모습을 보이지 않습니다. 대개는 요청한 것보다 조금 더 많은 일을 하기 시작할 뿐이에요. CPU가 뜨거워지고, 외부로 트래픽을 보내고, 다른 사람들의 주소를 두드리기 시작하죠. 이걸 빨리 알아챌수록 뒤따르는 결과도 줄어듭니다.

초기 징후

• 여러분이 부하를 주지 않았는데도 CPU가 계속 100%입니다. 제어판 /hosting/vds/m/<id>의 “개요”에 있는 그래프에서 확인할 수 있어요.
• 24시간 내내 평평한 고원을 그리는 외부 트래픽 — 트래픽 사용량을 참고하세요.
• 디스크 공간이 어디론가 사라지고 있습니다.
• 로그에 낯선 주소에서의 로그인 성공 기록이 보입니다 — 로그인 로그를 참고하세요.
• 새로운 사용자나 예약 작업이 생겼습니다.
• 호스팅 제공업체에 여러분의 머신에 대한 신고가 접수되었습니다 — 스팸 발송이나 공격 가담이 사유입니다.

모든 것이 “그냥 느려졌다”는 상황이 특히 위험합니다. 채굴 프로그램은 더 오래 들키지 않으려고 일부러 머신을 완전히 망가뜨릴 정도로 혹사시키지 않거든요.

점검

top -c
ps auxf
ss -tunp
ss -tnp state established

www-data나 다른 서비스 사용자 권한으로 실행되는, 의미 없는 이름의 프로세스와 낯선 주소로 향하는 외부 연결을 찾아보세요.

사용자와 자동 시작 항목:

awk -F: '$3 >= 1000 {print $1}' /etc/passwd
awk -F: '$2 == "" {print $1}' /etc/shadow
crontab -l
crontab -l -u www-data
ls -la /etc/cron.d/ /var/spool/cron/crontabs/
systemctl list-units --type=service --state=running
systemctl list-timers

시스템 디렉터리의 최근 변경 사항:

find /etc /usr/bin /usr/sbin -mtime -7 -type f
find /tmp /dev/shm /var/tmp -type f -executable

/tmp와 /dev/shm에 있는 실행 파일은 거의 항상 외부에서 들어온 것입니다.

접근 키:

cat /root/.ssh/authorized_keys
for d in /home/*; do cat $d/.ssh/authorized_keys 2>/dev/null; done

외부 키가 추가된 것이 머신에 발판을 마련하는 가장 흔한 방법입니다.

확인되었다면

“깨끗이 정리하고 계속 쓰자”고 하지 마세요. 무엇이 바뀌었는지 정확히 알 수 없습니다. 공격자가 시스템 명령을 바꿔치기했을 수 있어서 ps도 ls도 여러분에게 거짓말을 할 수 있어요.

올바른 순서는 다음과 같습니다.

1. 머신을 외부 서비스에서 분리하고, 사용했던 모든 곳의 비밀번호와 키를 변경하세요.
2. 조사에 필요한 것을 모으세요: 로그, 프로세스 목록, 첫 번째 의심스러운 로그인 시각.
3. 데이터만 복사하고 실행 파일은 복사하지 마세요. 해킹된 머신에서 코드를 복사하는 것은 백도어를 옮기는 것과 같습니다.
4. 제어판 /hosting/vds/m/<id>의 “접근” 탭에서 시스템을 재설치하세요.
5. 첫 시간 보안 강화부터 시작해 다시 구성하세요.
6. 원래의 구멍을 막으세요: 오래된 애플리케이션, 취약한 비밀번호, 비밀번호 없는 공개 데이터베이스.

공격자가 주로 침입하는 방법

재설치는 비싸 보이지만, 더 이상 아무것도 신뢰할 수 없는 머신보다는 비용이 적게 듭니다. 발견된 채굴 프로그램이나 스팸 캠페인은 여러분이 실행하지 않았더라도 여러분의 머신 측에서 이용 약관을 위반한 것이 됩니다.