Possibilidade de que a máquina ubuntu seja infectada por um malware FTP

Question

Eu sei que esta pergunta pode estar duplicada, mas aqui está o que aconteceu.

Nosso servidor web recebeu um ataque injetando os links de spam no arquivo de script do servidor (servidor Web executando Coldfusion9 / .cfm / Window / IIS).

Nós bloqueamos o acesso FTP somente ao nosso endereço IP do escritório após o primeiro ataque e também alteramos a senha do FTP.

No entanto, o ataque ainda continua depois dos próximos dias. O hacker pode ter vindo através de outro canal, mas eu gostaria de ter certeza de que fizemos as melhores práticas para a segurança do Ubuntu enquanto rodamos o Ubuntu na máquina do desenvolvedor. (Conecte-se ao FTP através do Eclipse Remote File System e do FileZilla - sem Wine instalado)

• Seria possível que um hacker invadisse a máquina Ubuntu enquanto o computador estivesse em execução e se conectasse ao FTP para modificar o arquivo? (Eles não podem roubar senhas e conectar-se ao FTP do seu lado porque bloqueamos todo o acesso externo ao servidor da web, exceto o nosso IP de escritório único, portanto, o hacking precisa ser feito em tempo real se vier por FTP)

• Há algo que possamos fazer para evitar / verificar isso, se for o caso?

Acordando às 2 da manhã no meu fuso horário para consertar os scripts flexionados que eu não sei quando isso vai acontecer novamente, isso me deixa louca. : (

Sua ajuda seria muito apreciada. Obrigado antecipadamente caras.

    

Answer 1

Ninguém pode aconselhá-lo sobre como bloquear um invasor até que você descubra como o invasor está obtendo acesso aos seus sistemas. Para descobrir como o invasor está obtendo acesso, você precisará monitorar ativamente a rede de um sistema que não tenha sido comprometido, usando alguns softwares como o snort .

Se o seu sistema Ubuntu tiver sido invadido, você precisará fazer uma reinstalação completa, alterar todas as senhas de usuário e desativar quaisquer métodos de acesso remoto confiáveis (por exemplo, chaves confiáveis ssh) e redefinir todas as contas de usuário. Caso contrário, você corre o risco de que um backdoor possa estar oculto no sistema operacional, no sistema de arquivos ou nos diretórios iniciais.

Fazer uma limpeza pós-comprometimento adequada pode dar muito trabalho. Se vale a pena fazer depende de quanto você valoriza sua segurança. Conheço uma empresa em que a gerência decidiu que não queria dedicar recursos para investigar um hack de sucesso, mesmo que não soubessem como os hackers entraram ou até que ponto eles haviam comprometido a rede. A realidade é que muitas empresas acabam nessa situação.