Linux/Cdorked.A, backdoor ve webovém serveru

Bezpečnostní firmy ESET a Sucuri odhalily koncem dubna na napadených serverech backdoor ve webovém serveru Apache. Backdoor byl pojmenován Linux/Cdorked.A. Při zkoumání dalších napadených serverů byl Linux/Cdorked.A objeven také ve webových serverech Lighttpd a nginx. Pro detekci Linux/Cdorked.A byl zveřejněn program dump_cdorked_config.c. [Slashdot]

9.5.2013 15:13 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[foldy]

0 infikovaných :)

[PaulosV]

Minimálně stovky infikovaných.

[trekker.dk]

Ty Google Ads fungují perfektně... kdyby se z té zprávičky někdo pos..., může si tady hned kliknout na reklamu na ultratenké plenky v lidlu

[Rezza]

Jedu pres AMS zrejme, vse je holandsky :D

[Bedňa]

Ja tam mám ponuku embedded plošákov Nemáš náhodou malé dieťa a zhánaš preň niečo? Pretože veľký brat sleduje čo robíš na nete a podľa toho ti ponúka reklamy.

[ivi]

Toto je ako napisane? Spravne?

Pro detekci Linux/Cdorked.A byl zveřejněn program dump_cdorked_config.c. [Slashdot]

Nechapem to je ako ten program na detekciu ci ako sa to mysli?

[Sten]

Pro detekci i pro dump, když chcete Esetu pomoct s výzkumem, Cdorked se totiž skrývá přímo v procesu httpd a jinak není k nalezení.

Jinak Eset to vylepšil, teď stačí jen Python.

[NN]

POkud ma nejkdo starsi python, tak staci upravit:

shmid = shmget(SHM_KEY, SHM_SIZE, 0o666)

na hodnotu 0666

[pan strakapoud]

Jo, .A je soucast nazvu toho backdooru, ne zacatek dalsi vety. ;)

[lucorp]

tu je k tomu tiez nieco. Podla komentaru pod clankom, ak tomu dobre rozumiem su ohrozene iba servery na ktorych bezi cpanel pod rootom, vdaka comu sa podari nahradit apache napadnutou verziou?

[Martin Matějek]

Jestli to správně chápu, tak jde o modifikované binárky apache, které se na servery musely nějak dostat. Zatím se neví jak, ovšem odhad je brute force útoky na SSH , čili slabá hesla. A cPanel za to pravděpodobně nemůže, protože ne všechny apache (lightty a nginx) s cPanel jsou napadené (už nevím kde přesně jsem to četl - ty články se odkazují navzájem a je to pěkně nepřehledné).

Pěkné shrnutí zde.

[lucorp]

vdaka za info :)

[Robert Kupka]

dump_cdorked_config.c mi hlasi moznu infekciu na vsetkych strojoch kde mam apache2.

./dump_cdorked_config 
A shared memory matching Cdorked signature was found.
You should check your HTTP server's executable file integrity.
The Cdorked configuration was dumped in the httpd_cdorked_config.bin file.

Vytvoreny dump file je plny nul. Nic viac.

rpm -Va nehlasi vobec nic.

ipcs -m -p

------ Shared Memory Creator/Last-op --------
shmid      owner      cpid       lpid      
3768320    root       29627      29627     
3375105    root       1462       29641 

pid 29627 je naozaj master proces httpd.

Binarka httpd nema nastaveny immutable bit. Jej odstranenie a opätovne nainstalovanie balicka apache2-mpm-prefork, ktory binarku httpd obsahuje, nic neriesi. dump_cdorked_config hlasi opät moznu infekciu.

Tak mam infekciu, ci nie ?

[Robert Kupka]

Este dodam, ze po reboote dump_cdorked_config nehlasi nic. Takze zrejme som infekciu mal, apache je deravy a pockame si na patch.... Divne je, ze dump httpd_dump_cdorked_config.bin je vlastne obsah tej shared memory a mal by obsahovat kod backdooru. Ten dump su ale ciste nuly.

[petr_p]

Po reinstalaci musíš apache restartovat. Ale jinak testovací program pouze hledá alokaci sdílené paměti o konkrétní velikosti. To je celé, co dělá. Takže falešný poplach je celkem možný.