Onderwerp: Geavanceerde Apache exploit in the wild

http://www.net-security.org/secworld.php?id=14836


Looks bad.

Hmm, je bak moet wel al geroot zijn voordat deze backdoor geinstalleerd kan worden. En een bak die geroot is moet je toch opnieuw installeren.

Quote van:

http://blog.sucuri.net/2013/04/apach...d-servers.html

We also don’t have enough information to pinpoint how those servers are initially being hacked, but we are thinking through SSHD-based brute force attacks.

Herinstalleren zal ook niet helpen als je geen entry-point hebt. Dan worden ze binnen de kortste keren opnieuw geroot...

Het is ook een voorbeeld waar tarpitting had kunnen helpen, als er tenminste een SSH brute force attack aan de oorsprong ligt.

Oh ja, een deel van de servers draaide SSHD op een alternatieve poort. Schijnt een vertraging van enkele minuten opgeleverd te hebben.

Geen passwords gebruiken voor SSH, alles met keys doen!

Code:

PasswordAuthentication no

Verder met hosts.allow/deny enkel SSH connecties toe staan vanaf enkele hosts, zo hebben wij een paar "jump hosts" vanaf waar we onze machines in kunnen.

Daar beveilig je de keys weer met een passphrase en voila.

Uiteraard beveiligd dat je niet tegen een Apache exploit, maar je hebt geen last van brute-forces.