Isto é o que você deve fazer em todos os sistemas que você teve este sniffer.tgz em: Nuke Eles De Orbit imediatamente , e começar de novo de um limpo instalação. (Ou seja, destruir o (s) sistema (s), reinstalar dados de carga limpos de backups de limpar - supondo que você tenha backups limpos e, em seguida, endureça o (s) sistema (s) antes de colocá-los de volta Internet).
Sempre que você tiver malware ou hackers entrando no sistema desse jeito, é hora de analisar novamente como o sistema está configurado e não repetir as mesmas etapas com as quais entraram. Mas, como isso pode não ser um sistema que você pode anular e analisar forense, e como esse pode ser seu único servidor, é hora de apenas destruir o sistema virtual e recomeçar do zero. (como eu disse acima).
(E isso se aplica a qualquer situação em que você recebe malware no sistema. A menos que você tenha hardware sobressalente para substituir algo assim para isolar e examinar forense o sistema violado, que geralmente a maioria dos usuários não tem, você tem não há escolha a não ser bombardear o sistema e começar de novo.)
Sem analisar o seu servidor, não posso realmente dizer o que você fez de errado, mas é provável que esse backdoor esteja mais fundo no sistema do que apenas um simples 'programa' instalado. E como os malvados já conseguiram instalar um backdoor no seu sistema, você pode assumir que todas as suas senhas agora estão violadas e não estão mais seguras (seja para SSH, MySQL, ou qualquer outro tipo de senha que tenha EVER). introduzido neste sistema informático). Hora de mudar todas suas senhas!
Depois que você fizer o backup em um ambiente limpo, veja algumas dicas básicas sobre as etapas de proteção a serem consideradas. Note que, como isso torna o tópico muito mais amplo, não consigo detalhar os detalhes aqui, mas é hora de fazer algumas etapas de proteção para proteger seu sistema:
-
Ativar um firewall e permitir somente o acesso a portas que precisam ser abertas .
ufwexiste para ser simples, então vamos usar isso. %código%. (Configurarsudo ufw enableadequadamente para o seu ambiente é uma história diferente, e isso vai além dos limites desta questão.) -
Restringir o acesso ao SSH remoto . Isso nem sempre é factível, mas você idealmente identifica os endereços IP que pertencem a você e, especificamente, os coloca na lista de permissões no firewall. (Se você estiver em um endereço IP residencial dinâmico, pule esta etapa).
-
Bloqueie o acesso SSH ao seu servidor e exija o uso de chaves SSH somente para autenticação . Desta forma, os hackers não podem atacar o seu servidor e tentar apenas adivinhar senhas. É muito mais difícil adivinhar a chave privada adequada (porque você teria que obrigar a força bruta a todos eles), e isso ajuda a proteger contra ataques de força bruta.
-
Se você estiver executando um website, certifique-se de bloquear as permissões para que as pessoas não possam fazer upload / executar coisas quando desejarem . Fazendo isso varia de site para site, então eu não posso te dar mais orientações aqui (é impossível fazê-lo).
-
Além disso, se você estiver usando um site usando Joomla ou Wordpress, certifique-se de manter o ambiente atualizado e corrigido com as vulnerabilidades de segurança dos provedores de software .
-
Sempre que possível, configure, configure e use métodos de autenticação de dois fatores (2FA) para os itens que você autentica com . Existem muitas soluções para autenticação de segundo fator para diferentes aplicativos, e proteger vários aplicativos dessa maneira está além do escopo deste post, portanto, você deve fazer sua pesquisa sobre este ponto antes de escolher uma solução.
-
Se você precisar usar senhas em sua configuração, use um gerenciador de senhas decente (as baseadas em nuvem não são necessariamente boas escolhas) e use caracteres longos (mais de 25 caracteres), senhas aleatórias e memoráveis que são diferentes para cada item individual que está sendo protegido por senhas (daí a recomendação para o gerenciador de senhas). (No entanto, você deve considerar NÃO usar senhas quando possível (como para autenticação SSH) e usar 2FA sempre que possível).