Dấu hiệu máy đã bị hack

Một máy bị xâm nhập hiếm khi trông như đã hỏng. Thường thì nó chỉ bắt đầu làm nhiều hơn một chút so với yêu cầu của bạn: CPU nóng lên, phát sinh lưu lượng đi ra, gõ cửa địa chỉ của người khác. Bạn càng phát hiện sớm, hậu quả càng ít.

Dấu hiệu sớm

• CPU liên tục ở mức 100% dù bạn không tạo tải — bạn có thể thấy điều này trên biểu đồ trong mục “Tổng quan” của bảng điều khiển /hosting/vds/m/<id>.
• Lưu lượng đi ra ở mức phẳng lì suốt ngày đêm — xem mức sử dụng lưu lượng.
• Dung lượng đĩa biến mất không rõ lý do.
• Nhật ký ghi nhận một lần đăng nhập thành công từ địa chỉ lạ — xem nhật ký đăng nhập.
• Xuất hiện người dùng mới hoặc tác vụ định kỳ mới.
• Nhà cung cấp của bạn nhận được khiếu nại về máy của bạn — phát tán spam hoặc tham gia tấn công.

Trường hợp mọi thứ “chỉ chậm đi” đặc biệt nguy hiểm: các trình đào coin cố ý không vắt kiệt máy đến mức hỏng để có thể ẩn mình lâu hơn.

Kiểm tra

top -c
ps auxf
ss -tunp
ss -tnp state established

Hãy tìm các tiến trình có tên vô nghĩa chạy dưới www-data hoặc một người dùng dịch vụ khác, và các kết nối đi ra tới địa chỉ lạ.

Người dùng và mục khởi động tự động:

awk -F: '$3 >= 1000 {print $1}' /etc/passwd
awk -F: '$2 == "" {print $1}' /etc/shadow
crontab -l
crontab -l -u www-data
ls -la /etc/cron.d/ /var/spool/cron/crontabs/
systemctl list-units --type=service --state=running
systemctl list-timers

Các thay đổi gần đây trong thư mục hệ thống:

find /etc /usr/bin /usr/sbin -mtime -7 -type f
find /tmp /dev/shm /var/tmp -type f -executable

Các tệp thực thi trong /tmp và /dev/shm gần như luôn là của người lạ.

Khóa truy cập:

cat /root/.ssh/authorized_keys
for d in /home/*; do cat $d/.ssh/authorized_keys 2>/dev/null; done

Một khóa lạ được thêm vào là cách phổ biến nhất để tạo chỗ đứng trên máy.

Nếu đã xác nhận

Đừng cố “dọn sạch rồi tiếp tục làm việc”. Bạn không biết chính xác những gì đã bị thay đổi: kẻ tấn công có thể đã tráo đổi các lệnh hệ thống, nên cả ps lẫn ls đều có thể nói dối bạn.

Thứ tự đúng:

1. Ngắt máy khỏi các dịch vụ bên ngoài, đổi mật khẩu và khóa ở mọi nơi chúng từng được dùng.
2. Thu thập những gì cần cho điều tra: nhật ký, danh sách tiến trình, thời điểm đăng nhập đáng ngờ đầu tiên.
3. Chỉ sao chép dữ liệu ra, không sao chép tệp thực thi. Sao chép mã từ một máy đã bị xâm nhập nghĩa là chuyển luôn backdoor.
4. Cài lại hệ thống trong tab “Truy cập” của bảng điều khiển /hosting/vds/m/<id>.
5. Dựng lại từ đầu, bắt đầu với tăng cường bảo mật trong giờ đầu tiên.
6. Bịt lỗ hổng ban đầu: một ứng dụng lỗi thời, một mật khẩu yếu, một cơ sở dữ liệu công khai không có mật khẩu.

Kẻ tấn công thường vào bằng cách nào

Cài lại có vẻ tốn kém, nhưng nó rẻ hơn một chiếc máy mà bạn không còn tin tưởng được vào bất cứ việc gì. Một trình đào coin hay chiến dịch spam bị phát hiện cũng là hành vi vi phạm điều khoản sử dụng từ phía máy của bạn, kể cả khi bạn không phải người khởi chạy chúng.