Nosso VPS está sendo usado como uma mula Warez [duplicata]

Question

A empresa em que trabalho é responsável por uma série de lojas de comércio eletrônico em um VPS. É uma pilha WAMP, 50 GB de armazenamento.

Usamos um software arcaico de comércio eletrônico que opera quase inteiramente no lado do cliente. Quando um pedido é feito, ele é gravado no disco e depois agendamos uma tarefa para fazer o download dos pedidos uma vez a cada 10 minutos.

Alguns dias atrás, ficamos sem espaço em disco, o que causou a falha na gravação de pedidos. Eu rapidamente saltei para apagar alguns logs antigos do servidor de e-mail e liberei um par de GB rapidamente, mas eu me perguntava como poderíamos encher 50gb e nada mais do que logs.

Acontece que nós não fizemos. Escondido no diretório c:\System Volume Information , temos uma pilha de vídeos pirateados, que parecem ter aparecido (olhando para os timestamps) nas últimas três semanas. Porn, American Sports, mostra de culinária australiana. Uma coleção muito estranha. Não se parece com os gostos pessoais de um indivíduo - mais como o VPS está sendo usado como uma mula.

Temos uma política de 5 tentativas e você está bloqueada em nosso servidor FTP (além disso, não há uma conta de FTP com acesso a esse diretório), e a conta de usuário do Windows teve sua senha alterada recentemente. As principais avenidas são seladas - e os registros podem verificar isso. Eu pensei em assistir e ver se aconteceu de novo, e sim, outro programa de culinária apareceu esta manhã.

Eu sou o único a saber deste problema na minha empresa, e apenas um dos dois com acesso ao VPS (o outro sendo meu chefe, mas não - não é ele).

Então, como isso está acontecendo?

Existe alguma vulnerabilidade em algum software no VPS? Os proprietários do VPS estão vendendo warez em todo o nosso espaço alugado? (eles podem fazer isso?)

Eu não quero deletar o warez caso ele seja visto como uma ação hostil contra essa força externa, e eles escolhem retaliar.

O que devo fazer? Como faço para solucionar isso? Isso já aconteceu com alguém antes?

    

Answer 1

sem código de auditoria (você está usando software de armazenamento personalizado?), você não pode saber se há um bug sendo explorado (e mesmo que você não tenha encontrado nada que não signifique que não esteja lá). Você está usando código SQL personalizado, por exemplo? Com verificação de sanidade e limpeza de entrada?

Estou assumindo que todos os seus sistemas estão totalmente atualizados? Verificações de malware? Antivírus atualizado?

Uma vez que alguém quebra o sistema, eles poderiam ter rootkitted. Não importa como você insere alterações ou alterações de senha, se algo no sistema tiver sido alterado para permitir acesso de backdoor, você não o manterá fora. Além disso, pode estar registrando suas alterações de senha e pressionamentos de teclas, por isso você está apenas alimentando mais senhas para o invasor.

Você pode colocar em auditoria para ver de onde as conexões estão vindo, mas duvido que isso ajude muito.

No final, você precisa considerar uma limpeza e reinstalar do zero. É o modo único que você pode confiar na instalação novamente e saber que está limpo de código de trojan, já que a infecção pode se mascarar quando estiver no controle.

Mais assustador, se você estiver aceitando cartões de crédito, essas informações poderão ser roubadas e você será responsabilizado por ter as identidades dos clientes roubadas. Se você está nos EUA, isso tem ramificações onde é necessário notificar os clientes sobre possíveis roubos de identidade.

Se este for um servidor que lida com qualquer coisa que envolva dinheiro, talvez seja necessário considerar chamar contratados para auditar o sistema. Tire fotos do sistema para uso forense e limpe e reinstale. Quanto mais você esperar, mais responsabilidade você se abrirá.

Para responder como isso está acontecendo, se o servidor for um servidor dedicado, pode ser quebrando algo na sua vitrine (injeção de SQL, por exemplo) vulnerabilidade no Windows não corrigida qualquer coisa navegar na web com esse sistema? "Dirija por" downloaders de um website. Executar software nele que não é do sistema? Poderia ter sido infectado com alguma coisa. Senhas fracas. Auditoria-los sempre? E há a possibilidade de você não saber facilmente como eles fizeram isso. Minhas apostas estão no software da vitrine, especialmente se for um nicho, pois é fácil para os desenvolvedores não limparem a entrada da URL e abri-la para ataques de injeção. Ou se estiver usando PHP aberto para uma interface externa; você mantém isso atualizado? Você não menciona se ele usa algo como uma interface administrativa do php, mas a codificação do php desleixada também pode adicionar um vetor de ataque fácil.

Se você está com uma perda total de como lutar contra isso, a sério, contrate ajuda externa. Não é nenhuma vergonha em obter ajuda, e a regra geral é que, uma vez que você é hackeado, você NÃO PODE ter certeza de que está consertado, e se os dados do cliente fluírem nesse sistema, você estará se responsabilizando e prejudicando clientes inocentes. Além disso, se esse sistema não for particionado de outros sistemas na rede, ele poderá tentar interceptar outros dados do sistema.

    

Answer 2

Primeiro, acho que você encontrará pelo menos três pessoas com acesso ao VPS, não apenas as duas que você conhece. Acredito que o sistema tenha sido invadido e invadido. Eu também suspeito que agora é hospedagem de arquivos para uma rede P2P, provavelmente torrents. Você pode procurar por arquivos * .torrent, mas eles provavelmente estão escondidos de qualquer maneira.

Você não está mais no controle do sistema. Eles simplesmente deixaram você com essa ilusão. Se eles não tivessem sido tão descuidados a ponto de esgotar todo o espaço em disco, eles poderiam ter escapado por muito mais tempo. Incidentalmente, até mesmo um sistema de monitoramento rudimentar deveria alertá-lo sobre a diminuição do espaço em disco.

Neste ponto, você precisa seguir o conselho de Bart e reunir provas forenses na forma de um instantâneo do sistema. Em seguida, limpe-o completamente e reinstale do zero. Seus backups neste momento provavelmente não valem nada, já que você não tem como saber quando o hacking aconteceu.

Você precisa analisar o que pode ser feito para proteger melhor seu sistema recém-reconstruído. Para essa questão, eu consideraria reconstruí-lo em um novo host e continuar a usar o existente até que esteja pronto, em seguida, faça um corte.