Znaci da je mašina hakovana

Kompromitovana mašina retko izgleda pokvareno. Češće jednostavno počne da radi malo više nego što si tražio: greje CPU, šalje odlazni saobraćaj, kuca na tuđe adrese. Što pre to primetiš, to su manje posledice.

Rani znaci

• CPU je stalno na 100% bez tvog opterećenja — vidiš to na grafikonu u „Pregledu“ panela /hosting/vds/m/<id>.
• Odlazni saobraćaj na ravnom platou non-stop — vidi potrošnju saobraćaja.
• Prostor na disku nestaje ko zna gde.
• U logovima se vidi uspešna prijava sa nepoznate adrese — vidi logove prijava.
• Pojavili su se novi korisnici ili zakazani zadaci.
• Tvoj provajder je dobio pritužbu na tvoju mašinu — distribucija spama ili učešće u napadu.

Posebno je opasan slučaj kada sve „samo postane sporije“: rudari namerno ne troše mašinu do kraja da bi duže ostali neprimećeni.

Provera

top -c
ps auxf
ss -tunp
ss -tnp state established

Traži procese sa besmislenim imenima koji rade kao www-data ili drugi servisni korisnik, kao i odlazne konekcije ka nepoznatim adresama.

Korisnici i stavke automatskog pokretanja:

awk -F: '$3 >= 1000 {print $1}' /etc/passwd
awk -F: '$2 == "" {print $1}' /etc/shadow
crontab -l
crontab -l -u www-data
ls -la /etc/cron.d/ /var/spool/cron/crontabs/
systemctl list-units --type=service --state=running
systemctl list-timers

Nedavne izmene u sistemskim direktorijumima:

find /etc /usr/bin /usr/sbin -mtime -7 -type f
find /tmp /dev/shm /var/tmp -type f -executable

Izvršne datoteke u /tmp i /dev/shm su skoro uvek strane.

Pristupni ključevi:

cat /root/.ssh/authorized_keys
for d in /home/*; do cat $d/.ssh/authorized_keys 2>/dev/null; done

Dodat strani ključ je najčešći način da se napadač učvrsti na mašini.

Ako se potvrdi

Ne pokušavaj da „očistiš i nastaviš da radiš“. Ne znaš tačno šta je izmenjeno: napadač je mogao da zameni sistemske komande, pa ti i ps i ls mogu lagati u lice.

Ispravan redosled:

1. Odvoji mašinu od spoljnih servisa, promeni lozinke i ključeve svuda gde su korišćeni.
2. Prikupi ono što ti treba za istragu: logove, listu procesa, vreme prve sumnjive prijave.
3. Prekopiraj samo podatke, ne izvršne datoteke. Kopiranje koda sa kompromitovane mašine znači prenošenje zadnjih vrata.
4. Reinstaliraj sistem u kartici „Pristup“ panela /hosting/vds/m/<id>.
5. Ponovo ga izgradi, počevši od očvršćivanja u prvom satu.
6. Zatvori prvobitnu rupu: zastarela aplikacija, slaba lozinka, javna baza podataka bez lozinke.

Kako napadači obično ulaze

Reinstalacija izgleda skupo, ali košta manje od mašine kojoj više ne možeš ni u šta da veruješ. Otkriveni rudar ili spam kampanja je i kršenje uslova korišćenja sa strane tvoje mašine, čak i ako ih nisi pokrenuo.