Onderwerp: Apache geinfecteerd?

Iedereen kent het waarschijnlijk wel de Roundcube bug
ik kwam er pas laatst achter, zag dat een process telkens 100% trok
van 1 core. bleek er allemaal troep te draaien en in /tmp en in /var/tmp behoorlijk wat files aanwezig (ja ook compiled) nu heb ik het allemaal
weggehaald en chkrootkit laten draaien. vond niks.... alle processen waren
dus ook weg. en nu zie ik ineens dit:

web1:~# netstat -ap | grep bash
udp 0 0 *:54409 *:* 20574/bash
web1:~# lsof | grep 20574
bash 20574 apache cwd DIR 0,16 2060 19786038 /dev/shm/...
bash 20574 apache rtd DIR 9,2 4096 2 /
bash 20574 apache txt REG 0,16 492135 19786086 /dev/shm/.../bash
bash 20574 apache mem REG 0,0 0 [heap] (stat: No such file or directory)
bash 20574 apache mem REG 9,2 67364 9470907 /lib/tls/i686/cmov/libresolv-2.3.6.so
bash 20574 apache mem REG 9,2 17840 9470900 /lib/tls/i686/cmov/libnss_dns-2.3.6.so
bash 20574 apache mem REG 9,2 38372 9470901 /lib/tls/i686/cmov/libnss_files-2.3.6.so
bash 20574 apache mem REG 9,2 1241392 9470892 /lib/tls/i686/cmov/libc-2.3.6.so
bash 20574 apache mem REG 9,2 88164 9453570 /lib/ld-2.3.6.so
bash 20574 apache 0w REG 0,16 34 19786060 /dev/shm/.../LinkEvents
bash 20574 apache 3u IPv4 20712422 UDP *:54409
web1:~#

En ja hier snap ik eerlijk gezegd geen zak van. Iemand begon tegen mij te zeuren dat ik die server moet herinstalleren maar daar ben ik niet zo heel blij mee.... (je ziet wel dat er geen traffic over de poort is geweest?) iptables laat dat ook niet toe als het goed is.

Een 'schone' server is wel beter dan zo blijven draaien kan je niet even de pakketten over zetten op een 2e machine en later terug zetten ?

Zo doen wij het hier meestal.

Kim

Hmm, die stomme bak zit ook in software raid. etc word weer een leuk werkje zucht maar ik denk wel dat het moet ja. het process blijft maar terugkomen kan niet vinden waar het vandaan komt.... die bak draait DA maar met oude apache, mss verstandig meteen nieuwe te pakken?

Oorspronkelijk geplaatst door Tweak

Hmm, die stomme bak zit ook in software raid. etc word weer een leuk werkje zucht maar ik denk wel dat het moet ja. het process blijft maar terugkomen kan niet vinden waar het vandaan komt.... die bak draait DA maar met oude apache, mss verstandig meteen nieuwe te pakken?

Indien gewenst kan ik wel even een kijkje nemen, ik vermoed dat er nog enkele scripts draaien, wellicht iets (verborgen) in de /tmp/ map.

Kijk ook even in de apache crontab of daar nog dingen worden gestart
kijk met opdracht crontab -e -u apache

Zet trouwens de apache cron even in de deny.

Oorspronkelijk geplaatst door Tweak

die bak draait DA maar met oude apache, mss verstandig meteen nieuwe te pakken?

Hmm... wat denk je... komt dit soort ellende meestal bij oude software of bij up2date software voor?

Oorspronkelijk geplaatst door ichosting

Kijk ook even in de apache crontab of daar nog dingen worden gestart
kijk met opdracht crontab -e -u apache

Zet trouwens de apache cron even in de deny.

Als je enkel hoeft te kijken is 'crontab -u apache -l' genoeg en sneller

Ik vermoed dat er ergens e.o.a. bash scriptje is geplaatst (dmv roundcube, html2text (meen ik zo te herinneren)).
Het was volgens mij genaamd 'wssh' als ik mij niet vergis wat ik gelezen heb.

Oorspronkelijk geplaatst door daveww

Als je enkel hoeft te kijken is 'crontab -u apache -l' genoeg en sneller

Dat klopt, maar als er wel iets instaat en je moet hem dan alsnog gaan openen, dan was het eerste toch sneller geweest

Maar voor alleen kijken is jouw oplossing de beste.

Jup daar staat het.. in de crontab leuk ding ook gevonden....

web1:/dev/shm/...# ./xh
XHide - Process Faker, by Schizoprenic Xnuxer Research (c) 2002

maar goed ik had /tmp al gecleaned en /var/tmp hoe komt het in die /dev ??!?!?
allemaal via die roundcube?

Oorspronkelijk geplaatst door Tweak

Jup daar staat het.. in de crontab leuk ding ook gevonden....

web1:/dev/shm/...# ./xh
XHide - Process Faker, by Schizoprenic Xnuxer Research (c) 2002

maar goed ik had /tmp al gecleaned en /var/tmp hoe komt het in die /dev ??!?!?
allemaal via die roundcube?

Dit komt door een bug in 1 van de files in de roundcube.

Makkelijkste en snelste is zowieso (zodra je de database gegevens hebt gebackup'ed):

Code:

rm -rf /var/www/html/roundcube*

En even de nieuwste versie downloaden en installeren (daar zou de bug al in opgelost moeten zijn)

Verder even wat checkers laten draaien voor het geval dat, zo heeft bijvoorbeeld CSF/LFD het voordeel dat (LFD) automatisch verdachte files etc in een mail (indien ingesteld) naar je toestuurd.

PS: Ik zou meteen even zoveel mogelijk software updaten, oude software gebruiken brengt nogal wat risico's met zich mee

Alsnog raad ik je aan om van een clean installatie te beginnen.

Oorspronkelijk geplaatst door mikeh

Alsnog raad ik je aan om van een clean installatie te beginnen.

Dat is natuurlijk het allerbeste om te doen, dan weet je in ieder geval 100% zeker dat die vage scripts eraf zijn

Oorspronkelijk geplaatst door mikeh

Alsnog raad ik je aan om van een clean installatie te beginnen.

Kan, maar je kunt ook gewoon het systeem even goed checken. De boel schoonmaken (zowel handmatig als met de daarvoor bedoelde proggies) en controleren, dan de boel updaten en de beveiliging aanscherpen / aanpassen waar nodig.

alles is nu weg weet bijna wel zeker dat er geen vage scripts meer zijn ik blijf dit gewoon in de gaten houden. Die machine word toch binnenkort vervangen door een goeie. meteen nieuwste kernel erop en nieuwste apache etc. had roundcube al meteen eraf gegooid. wel stom ik las toen over die bug en had zoiets van zal wel meevallen.. niet dus.

Oorspronkelijk geplaatst door Spyder01

Kan, maar je kunt ook gewoon het systeem even goed checken. De boel schoonmaken (zowel handmatig als met de daarvoor bedoelde proggies) en controleren, dan de boel updaten en de beveiliging aanscherpen / aanpassen waar nodig.

U doelt op welke "proggies" ?

Alsnog raad ik aan om een herinstallatie te overwegen, een rootkit hunter detecteerd de laatst nieuwe (lees; niet public released) backdoor/rootkits niet.
Het team gaat uit van publieke informatie, tegenwoordig worden in de security (whitehats ) groepen codes van bugs niet meer openbaar gemaakt.
Je zult zulke maliciouse code dan ook nooit op milworm of packetstormsecurity.com aantreffen

Suc6 met reinstallen.