Príznaky, že stroj bol napadnutý

Poškodený stroj málokedy vyzerá pokazene. Oveľa častejšie jednoducho začne robiť o niečo viac, než si žiadal: zahrieva CPU, odosiela odchádzajúcu prevádzku, klope na adresy iných ľudí. Čím skôr si to všimneš, tým menšie budú následky.

Prvé príznaky

• CPU je neustále na 100 % bez toho, aby si ho ty zaťažoval — vidíš to na grafe v „Prehľade“ ovládacieho panela /hosting/vds/m/<id>.
• Odchádzajúca prevádzka na rovnej rovine nonstop — pozri využitie prevádzky.
• Miesto na disku mizne ktovie kam.
• V logoch je úspešné prihlásenie z neznámej adresy — pozri prihlasovacie logy.
• Pribudli noví používatelia alebo naplánované úlohy.
• Tvoj poskytovateľ dostal sťažnosť na tvoj stroj — šírenie spamu alebo účasť na útoku.

Prípad, keď sa „len všetko spomalilo“, je obzvlášť nebezpečný: ťažiari zámerne nevyťažujú stroj až do zlyhania, aby zostali dlhšie neodhalení.

Kontrola

top -c
ps auxf
ss -tunp
ss -tnp state established

Hľadaj procesy s nezmyselnými názvami bežiace ako www-data alebo iný servisný používateľ a odchádzajúce spojenia na neznáme adresy.

Používatelia a položky automatického spúšťania:

awk -F: '$3 >= 1000 {print $1}' /etc/passwd
awk -F: '$2 == "" {print $1}' /etc/shadow
crontab -l
crontab -l -u www-data
ls -la /etc/cron.d/ /var/spool/cron/crontabs/
systemctl list-units --type=service --state=running
systemctl list-timers

Nedávne zmeny v systémových adresároch:

find /etc /usr/bin /usr/sbin -mtime -7 -type f
find /tmp /dev/shm /var/tmp -type f -executable

Spustiteľné súbory v /tmp a /dev/shm sú takmer vždy cudzie.

Prístupové kľúče:

cat /root/.ssh/authorized_keys
for d in /home/*; do cat $d/.ssh/authorized_keys 2>/dev/null; done

Pridaný cudzí kľúč je najčastejší spôsob, ako si útočník na stroji vybuduje oporu.

Ak sa to potvrdí

Neskúšaj to „vyčistiť a pokračovať v práci“. Nevieš presne, čo bolo zmenené: útočník mohol vymeniť systémové príkazy, takže aj ps aj ls ti môžu klamať do očí.

Správny postup:

1. Odpoj stroj od externých služieb, zmeň heslá a kľúče všade, kde boli použité.
2. Zozbieraj, čo potrebuješ na vyšetrovanie: logy, zoznam procesov, čas prvého podozrivého prihlásenia.
3. Skopíruj von len dáta, nie spustiteľné súbory. Kopírovanie kódu z poškodeného stroja znamená prenos zadných vrátok.
4. Preinštaluj systém v karte „Prístup“ ovládacieho panela /hosting/vds/m/<id>.
5. Znovu ho vybuduj, počnúc zabezpečením v prvej hodine.
6. Zatvor pôvodnú dieru: zastaraná aplikácia, slabé heslo, verejná databáza bez hesla.

Ako sa útočníci zvyčajne dostanú dnu

Preinštalácia vyzerá draho, ale stojí menej než stroj, ktorému už nemôžeš nič dôverovať. Odhalený ťažiar alebo spamová kampaň je zo strany tvojho stroja aj porušením podmienok používania, aj keď si ich nespustil ty.