VPS 中毒了，Ebury，据说传播范围很大

This topic created in 4434 days ago, the information mentioned may be changed or developed.

https://www.cert-bund.de/ebury-faq
侵入了SSH服务器，会开后门，偷走所有经过本机的SSH用户名密码、密钥等
在本机运行ipcs -m，如果发现666权限，超过3M的空间那就是中毒了
介绍里还有一句很重要：
The network of cPanel Inc.'s support department was compromised and machines used for connecting to customers' servers were found to be infected with Ebury [3].

本机

ssh

Ebury

29 replies • 1970-01-01 08:00:00 +08:00

ScotGu

Mar 23, 2014

哇~~~ 赶紧检查了一下。。。

yylzcom

Mar 23, 2014

感谢提醒，昨天看到新闻了，没注意。刚才通通排查了一遍，没有发现被感染的迹象。

所有服务器都是单独密钥，openssh换成了dropbear，端口号都改过

initialdp

Mar 23, 2014

还好，没中毒。

binux

Mar 23, 2014

有一台中毒了，其他的没事，按照传播途径来说，所有登录都是用同一个密钥，而且禁用了密码登录
后台没有用cPanel，系统和软件是官方源安装的。。不知道怎么中的。。

------ Shared Memory Segments --------
key shmid owner perms bytes nattch status
0x000005a5 0 100 666 3429836 0

hadoop

Mar 23, 2014

@binux 中途途径？ cpanel？

cielpy

Mar 23, 2014

key shmid owner perms bytes nattch status
0x00000000 0 root 600 524288 4 dest
没中。有预防措施吗。

lyragosa

Mar 23, 2014

~ ipcs -m

------ Shared Memory Segments --------
key shmid owner perms bytes nattch status

空的表示没问题吗？

我的网站都是手动配置的环境，从不用控制面板。

xd547

Mar 23, 2014

------ Shared Memory Segments --------
key shmid owner perms bytes nattch status

同问空的是没有问题吗？

niseter

Mar 23, 2014

同问什么情况是正常的？

binux

Mar 23, 2014

@hadoop 我所有机器都只从同一台机器登录，除了 hostigation 的面板没有装面板

darksheen

Mar 23, 2014

------ Shared Memory Segments --------
key shmid owner perms bytes nattch status
0x00000000 0 root 600 524288 7 dest
0x000005ff 32769 ntp 666 3301428 0
0x000005dc 65538 ntp 666 2870144 0
0x000006c2 98307 tcpdump 666 2822960 0

难道我中招了？

ericls

Mar 23, 2014

还好都没中
从来不开密码登陆。。

lsylsy2

Mar 23, 2014

@lyragosa
@xd547
@xd547
@niseter
空的就是安全的，只要没这个，具体可以点原文链接进去看
预防方法……不知道，平时管理好SSH密钥吧，按照上面的换dropbear等其他的也许也是个办法

lsylsy2

Mar 24, 2014

@binux 也许是0day吧……

sitin

Mar 24, 2014

还好，安全。

yanwen

Mar 24, 2014

------ Shared Memory Segments --------
key shmid owner perms bytes nattch status
0x00000000 294912 root 600 524288 7 dest

@binux
@lyragosa

这样中了么？

yylzcom

Mar 24, 2014

@yanwen

大于26k 且666权限的基本就是中招了，你的是600，不符合

yanwen

Mar 24, 2014

@yylzcom 谢谢。。

2ex

Mar 24, 2014 via Android

这个要回去查查.服务器太多了

anheiyouxia

Mar 24, 2014

谢谢提醒，还好没中，一直都是改了端口，没禁用root和密码登陆也没事，我是不是应该继续侥幸下去？
------ Shared Memory Segments --------
key shmid owner perms bytes nattch status

TankyWoo

Mar 24, 2014

没中，我ssh只允许公私钥登录

hadoop

Mar 24, 2014

我一堆600权限的有没有问题？

------ Shared Memory Segments --------
key shmid owner perms bytes nattch status
0x00000000 1731919872 azureuser 600 196608 2 dest
0x00000000 1733525505 azureuser 600 2579992 1 dest
0x00000000 1852211202 azureuser 600 2579992 1 dest
0x00000000 1852178435 azureuser 600 998400 2 dest
0x00000000 1734082564 azureuser 600 2725872 1 dest