మెషీన్ హ్యాక్ అయినట్లు సూచించే లక్షణాలు

దాడి జరిగిన మెషీన్ అరుదుగా పాడైనట్లు కనిపిస్తుంది. ఎక్కువగా, మీరు అడిగిన దానికంటే కొంచెం ఎక్కువ చేయడం ప్రారంభిస్తుంది: CPU వేడెక్కడం, బయటకు ట్రాఫిక్ పంపడం, ఇతరుల చిరునామాలను తట్టడం. మీరు దీన్ని ఎంత త్వరగా గమనిస్తే, పరిణామాలు అంత తక్కువగా ఉంటాయి.

ముందస్తు సంకేతాలు

• మీ నుండి ఎలాంటి లోడ్ లేకుండానే CPU నిరంతరం 100% వద్ద ఉండటం — ప్యానెల్ /hosting/vds/m/<id> లోని “Overview” లో గ్రాఫ్‌పై మీరు దీన్ని చూడవచ్చు.
• రాత్రింబవళ్లు స్థిరంగా ఒకే స్థాయిలో ఉండే బయటకు ట్రాఫిక్ — ట్రాఫిక్ వినియోగం చూడండి.
• డిస్క్ స్పేస్ ఎక్కడికో మాయమవుతోంది.
• లాగ్‌లలో పరిచయం లేని చిరునామా నుండి విజయవంతమైన లాగిన్ కనిపిస్తోంది — లాగిన్ లాగ్‌లు చూడండి.
• కొత్త యూజర్లు లేదా షెడ్యూల్డ్ టాస్క్‌లు కనిపించాయి.
• మీ మెషీన్ గురించి మీ ప్రొవైడర్‌కు ఫిర్యాదు అందింది — స్పామ్ పంపడం లేదా దాడిలో పాల్గొనడం.

అంతా “మందగించింది” అనిపించే సందర్భం ప్రత్యేకంగా ప్రమాదకరం: మైనర్లు ఎక్కువ కాలం గుర్తించబడకుండా ఉండటానికి మెషీన్‌ను ఉద్దేశపూర్వకంగా పూర్తిగా కాల్చివేయరు.

తనిఖీ చేయడం

top -c
ps auxf
ss -tunp
ss -tnp state established

అర్థం లేని పేర్లతో www-data లేదా మరో సర్వీస్ యూజర్‌గా నడుస్తున్న ప్రాసెస్‌ల కోసం, పరిచయం లేని చిరునామాలకు ఉన్న బయటకు కనెక్షన్‌ల కోసం వెతకండి.

యూజర్లు మరియు ఆటోస్టార్ట్ ఎంట్రీలు:

awk -F: '$3 >= 1000 {print $1}' /etc/passwd
awk -F: '$2 == "" {print $1}' /etc/shadow
crontab -l
crontab -l -u www-data
ls -la /etc/cron.d/ /var/spool/cron/crontabs/
systemctl list-units --type=service --state=running
systemctl list-timers

సిస్టమ్ డైరెక్టరీలలో ఇటీవలి మార్పులు:

find /etc /usr/bin /usr/sbin -mtime -7 -type f
find /tmp /dev/shm /var/tmp -type f -executable

/tmp మరియు /dev/shm లోని ఎగ్జిక్యూటబుల్ ఫైల్‌లు దాదాపు ఎప్పుడూ బయటివే.

యాక్సెస్ కీలు:

cat /root/.ssh/authorized_keys
for d in /home/*; do cat $d/.ssh/authorized_keys 2>/dev/null; done

జోడించిన పరిచయం లేని కీ మెషీన్‌పై పట్టు సాధించడానికి అత్యంత సాధారణ మార్గం.

ఇది నిర్ధారణ అయితే

“దీన్ని శుభ్రం చేసి పని కొనసాగించడం” ప్రయత్నించవద్దు. ఏమి మార్చబడిందో మీకు ఖచ్చితంగా తెలియదు: దాడి చేసిన వ్యక్తి సిస్టమ్ కమాండ్‌లను మార్చి ఉండవచ్చు, కాబట్టి ps మరియు ls రెండూ మీ ముఖం మీదే అబద్ధం చెప్పవచ్చు.

సరైన క్రమం:

1. మెషీన్‌ను బాహ్య సేవల నుండి డిస్‌కనెక్ట్ చేయండి, అవి ఉపయోగించిన ప్రతిచోటా పాస్‌వర్డ్‌లు మరియు కీలను మార్చండి.
2. దర్యాప్తు కోసం మీకు అవసరమైనవి సేకరించండి: లాగ్‌లు, ప్రాసెస్‌ల జాబితా, మొదటి అనుమానాస్పద లాగిన్ సమయం.
3. డేటాను మాత్రమే కాపీ చేయండి, ఎగ్జిక్యూటబుల్ ఫైల్‌లను కాదు. దాడి జరిగిన మెషీన్ నుండి కోడ్ కాపీ చేయడం అంటే బ్యాక్‌డోర్‌ను బదిలీ చేయడం.
4. ప్యానెల్ /hosting/vds/m/<id> లోని “Access” ట్యాబ్‌లో సిస్టమ్‌ను రీఇన్‌స్టాల్ చేయండి.
5. మొదటి గంట హార్డెనింగ్ తో ప్రారంభించి దాన్ని మళ్లీ నిర్మించండి.
6. అసలు రంధ్రాన్ని మూయండి: పాత అప్లికేషన్, బలహీనమైన పాస్‌వర్డ్, పాస్‌వర్డ్ లేని పబ్లిక్ డేటాబేస్.

దాడి చేసేవారు సాధారణంగా ఎలా లోపలికి వస్తారు

రీఇన్‌స్టాల్ చేయడం ఖరీదైనదిగా అనిపిస్తుంది, కానీ ఏ విషయంలోనూ మీరు ఇక నమ్మలేని మెషీన్ కంటే అది తక్కువ ఖర్చుతో కూడుకున్నది. కనుగొనబడిన మైనర్ లేదా స్పామ్ ప్రచారం కూడా, మీరు వాటిని ప్రారంభించకపోయినా, మీ మెషీన్ వైపు నుండి వినియోగ నిబంధనల ఉల్లంఘనే.