Dotaz: Apache si spouští proces KERNELUPGRADE

[DeejayMac]

Příloha:

• Snímek obrazovky 2014-06-10 v 21.45.45.png (369328 bytů)

Zdravím. Cca 3 dny zpět mi vyskočilo vytížení serveru CENTOS 6.5 RHEL 6 na 100%. Když se podívám co tam běží, tak mi to píše:

20818 apache 20 0 544m 5336 1136 S 353.8 0.1 4:36.22 kernelupgrade

Když to killnu, tak se za chvíli nastartuje zase. Hledal jsem na google ale nenašel nic z čehož jsem zděšen. Dělal jsem restart systému, ale podle mě s funkci KERNEL UPGRADE to nemá nic společného, spíše nechápu to že to spouští apache. Má s tím někdo nějaké zkušenosti?

Odpovědi

[David Heidelberg]

tak odhadem to vypadá na virus nebo spyware, pokud vědomě nevíš, že bys něco instaloval tohoto jména jako plugin apache.

[DeejayMac]

Určitě ne, ale doistaloval jsem HTOP a vidím toto:

28005 apache 20 0 544M 6812 1136 S 145. 0.2 0:34.31 ./kernelupgrade -B -o http://prx.hoseen454r.com:8332 -u funworks.9 -p passxxx

[Sten]

Jo, tak to těží bitcoiny.

[Sten]

Podle toho, jak to drtí CPU, to tipuju na něco, co posílá spam nebo těží bitcoiny. Pro víc informací by bylo potřeba vidět něco z /proc/$PID, třeba cmdline a maps. Pokud si s tím chcete hrát, ale nechcete, aby to něco dělalo, můžete to zkusit stopnout: kill -STOP $PID.

[DeejayMac]

CMDLINE

./kernelupgrade.-B.-o.http://prx.hoseen454r.com:7332.-u.funworks.9.-p.passxxx.

 

MAPS

00400000-0048e000 r-xp 00000000 fd:01 1317898                            /tmp/.ICE-unix/kernelupgrade
0068d000-00690000 rwxp 0008d000 fd:01 1317898                            /tmp/.ICE-unix/kernelupgrade
012f5000-01316000 rwxp 00000000 00:00 0                                  [heap]
34bb000000-34bb020000 r-xp 00000000 fd:01 261758                         /lib64/ld-2.12.so
34bb21f000-34bb220000 r-xp 0001f000 fd:01 261758                         /lib64/ld-2.12.so
34bb220000-34bb221000 rwxp 00020000 fd:01 261758                         /lib64/ld-2.12.so
34bb221000-34bb222000 rwxp 00000000 00:00 0
34bb400000-34bb58b000 r-xp 00000000 fd:01 261760                         /lib64/libc-2.12.so
34bb58b000-34bb78a000 ---p 0018b000 fd:01 261760                         /lib64/libc-2.12.so
34bb78a000-34bb78e000 r-xp 0018a000 fd:01 261760                         /lib64/libc-2.12.so
34bb78e000-34bb78f000 rwxp 0018e000 fd:01 261760                         /lib64/libc-2.12.so
34bb78f000-34bb794000 rwxp 00000000 00:00 0
34bbc00000-34bbc17000 r-xp 00000000 fd:01 261763                         /lib64/libpthread-2.12.so
34bbc17000-34bbe17000 ---p 00017000 fd:01 261763                         /lib64/libpthread-2.12.so
34bbe17000-34bbe18000 r-xp 00017000 fd:01 261763                         /lib64/libpthread-2.12.so
34bbe18000-34bbe19000 rwxp 00018000 fd:01 261763                         /lib64/libpthread-2.12.so
34bbe19000-34bbe1d000 rwxp 00000000 00:00 0
34bc000000-34bc007000 r-xp 00000000 fd:01 261785                         /lib64/librt-2.12.so
34bc007000-34bc206000 ---p 00007000 fd:01 261785                         /lib64/librt-2.12.so
34bc206000-34bc207000 r-xp 00006000 fd:01 261785                         /lib64/librt-2.12.so
34bc207000-34bc208000 rwxp 00007000 fd:01 261785                         /lib64/librt-2.12.so
34bd400000-34bd416000 r-xp 00000000 fd:01 261773                         /lib64/libresolv-2.12.so
34bd416000-34bd616000 ---p 00016000 fd:01 261773                         /lib64/libresolv-2.12.so
34bd616000-34bd617000 r-xp 00016000 fd:01 261773                         /lib64/libresolv-2.12.so
34bd617000-34bd618000 rwxp 00017000 fd:01 261773                         /lib64/libresolv-2.12.so
34bd618000-34bd61a000 rwxp 00000000 00:00 0
7f9630000000-7f9630023000 rwxp 00000000 00:00 0
7f9630023000-7f9634000000 ---p 00000000 00:00 0
7f9634000000-7f9634021000 rwxp 00000000 00:00 0
7f9634021000-7f9638000000 ---p 00000000 00:00 0
7f963b2e9000-7f963b5ea000 rwxp 00000000 00:00 0
7f963b5ea000-7f963b5ef000 r-xp 00000000 fd:01 261710                     /lib64/libnss_dns-2.12.so
7f963b5ef000-7f963b7ee000 ---p 00005000 fd:01 261710                     /lib64/libnss_dns-2.12.so
7f963b7ee000-7f963b7ef000 r-xp 00004000 fd:01 261710                     /lib64/libnss_dns-2.12.so
7f963b7ef000-7f963b7f0000 rwxp 00005000 fd:01 261710                     /lib64/libnss_dns-2.12.so
7f963b7f0000-7f963b7fc000 r-xp 00000000 fd:01 261716                     /lib64/libnss_files-2.12.so
7f963b7fc000-7f963b9fc000 ---p 0000c000 fd:01 261716                     /lib64/libnss_files-2.12.so
7f963b9fc000-7f963b9fd000 r-xp 0000c000 fd:01 261716                     /lib64/libnss_files-2.12.so
7f963b9fd000-7f963b9fe000 rwxp 0000d000 fd:01 261716                     /lib64/libnss_files-2.12.so
7f963b9fe000-7f963c000000 rwxp 00000000 00:00 0

 

Proces jsem stopnul a vypadá to že už nenastartoval. Předtím když jsem ho udělal KILLALL -9 tak vždy nastartoval. O co se jedná?

[Jendа]

O co se jedná?

Někdo tě vyhackoval. Nejspíš přes nějaký děravý web, který hostuješ.

[DeejayMac]

Sakra. Dá se zjistit z jakého to pochází? Mám jich tam asi 100. Stačila by mi doména nebo co ji spouští. Každopádně díky moc za info.

[Jendа]

Špatně. Nejlepší je vytvořit každé stránce/každému člověku zvláštního uživatele a spouštět PHP pod tímto uživatelem.

Můžeš zkusit nějaké nepřímé indicie - najít tu binárku, najít v access logu username na ten Bitcoin pool…

[ewew]

Skús zablokovať port cez iptables. Ďalej skús netstat -anvpe | pager. Hladaj port ktorý je uvedený v príkazovom riadku pre mining.

[DeejayMac]

tcp        0      0 93.91.240.108:51223         62.113.238.98:7332          SPOJENO     48         15726523   29614/./kernelupgra
tcp    28056      0 93.91.240.108:47247         62.113.238.98:1123          SPOJENO     48         15726526   29614/./kernelupgra

To je jediné co jsem našel. Vím jen že uživatel je 48, ale jak ho identifikovat netuším. Zakázání portu by asi nepomohlo, protože dva řádky a každý má jiný.

[ewew]

Aké služby poskytuješ ? Stačí zavrieť firewall tak, že povoliš vystupné pakety len na určité porty. Skús nahodiť utilitu chkrootkit. Zrejme to bude binárka schovaná pomocou bodky pred názvom. ls -la by mal zobraziť všetky súbory vrátane skrytých. Pravdepodobne to bude niekde v adresároch webov. Pokiaľ viem ak nie je užívateľ root tak nemôže volne behať po adresároch.

Ďalší krok je odzálohovať data a potom preinštalovať systém. Ak máš zálohy webov tak urob diff či nie je niečo pridané do súborov webu. Zatiaľ môžeš dať do firewallu nasledujúci príkaz iptables -I OUTPUT -p TCP -m owner --uid-owner 48 -j DROP.

[Jendа]

Aké služby poskytuješ ? Stačí zavrieť firewall tak, že povoliš vystupné pakety len na určité porty.

No pokud hostuje web a někdo mu vyownoval Apache/PHP, nemůže zafirewallovat Apache…

Cesta k binárce by možná šla zjistit z /proc/PID/exe.

[ewew]

00400000-0048e000 r-xp 00000000 fd:01 1317898 /tmp/.ICE-unix/kernelupgrade

0068d000-00690000 rwxp 0008d000 fd:01 1317898 /tmp/.ICE-unix/kernelupgrade

Tieto dva riadky hovoria, že škodlivá aplikácie je v /tmp/.ICE-unix.

[Sten]

Uživatel 48 je Apache, to je vidět v topu.

Celkem jednoduché řešení je zablokovat PHP spouštění aplikací tím, že nastavíte tohle

[Sten]

Potom, co tohle nastavíte, tak uvidíte v logu, které weby se to snaží spouštět