Oznaki, że maszyna została zhakowana

Zhakowana maszyna rzadko wygląda na zepsutą. Częściej po prostu zaczyna robić trochę więcej, niż ją prosiłeś: grzeje procesor, wysyła ruch wychodzący, puka do adresów innych ludzi. Im szybciej to zauważysz, tym mniej będzie konsekwencji.

Pierwsze sygnały

• Procesor jest stale na 100%, choć nic od ciebie nie działa — zobaczysz to na wykresie w „Przeglądzie” panelu /hosting/vds/m/<id>.
• Ruch wychodzący na równym poziomie przez całą dobę — zobacz wykorzystanie ruchu.
• Miejsce na dysku znika nie wiadomo gdzie.
• W logach widnieje udane logowanie z nieznanego adresu — zobacz logi logowania.
• Pojawili się nowi użytkownicy albo nowe zadania zaplanowane.
• Twój dostawca dostał skargę na twoją maszynę — rozsyłanie spamu albo udział w ataku.

Szczególnie groźny jest przypadek, gdy wszystko „po prostu zwolniło”: koparki celowo nie palą maszyny na śmierć, żeby dłużej pozostać niezauważone.

Sprawdzanie

top -c
ps auxf
ss -tunp
ss -tnp state established

Szukaj procesów o bezsensownych nazwach działających jako www-data lub inny użytkownik usługi oraz połączeń wychodzących do nieznanych adresów.

Użytkownicy i wpisy autostartu:

awk -F: '$3 >= 1000 {print $1}' /etc/passwd
awk -F: '$2 == "" {print $1}' /etc/shadow
crontab -l
crontab -l -u www-data
ls -la /etc/cron.d/ /var/spool/cron/crontabs/
systemctl list-units --type=service --state=running
systemctl list-timers

Ostatnie zmiany w katalogach systemowych:

find /etc /usr/bin /usr/sbin -mtime -7 -type f
find /tmp /dev/shm /var/tmp -type f -executable

Pliki wykonywalne w /tmp i /dev/shm prawie zawsze są obce.

Klucze dostępu:

cat /root/.ssh/authorized_keys
for d in /home/*; do cat $d/.ssh/authorized_keys 2>/dev/null; done

Dodany obcy klucz to najczęstszy sposób na zdobycie przyczółka na maszynie.

Jeśli to potwierdzone

Nie próbuj tego „posprzątać i pracować dalej”. Nie wiesz dokładnie, co zostało zmienione: atakujący mógł podmienić polecenia systemowe, więc zarówno ps, jak i ls mogą kłamać ci w żywe oczy.

Właściwa kolejność:

1. Odłącz maszynę od usług zewnętrznych, zmień hasła i klucze wszędzie, gdzie były używane.
2. Zbierz to, co potrzebne do śledztwa: logi, listę procesów, czas pierwszego podejrzanego logowania.
3. Skopiuj tylko dane, nie pliki wykonywalne. Kopiowanie kodu z zhakowanej maszyny oznacza przenoszenie backdoora.
4. Przeinstaluj system w zakładce „Dostęp” panelu /hosting/vds/m/<id>.
5. Zbuduj go od nowa, zaczynając od zabezpieczenia w pierwszej godzinie.
6. Zamknij pierwotną dziurę: nieaktualna aplikacja, słabe hasło, publiczna baza danych bez hasła.

Jak atakujący zwykle się dostają

Ponowna instalacja wygląda na kosztowną, ale kosztuje mniej niż maszyna, której nie możesz już do niczego zaufać. Wykryta koparka albo kampania spamowa to także naruszenie warunków korzystania ze strony twojej maszyny, nawet jeśli to nie ty je uruchomiłeś.