10 Bin Unix Sunucu Trojandan Etkilendi mi?

[yakusha]

Şu sayfada 10 Bin Unix/Linux sunucunun bir trojandan etkilendiğinden bahsedilmiş

http://itsfoss.com/10000-unix-servers-infected-trojan/

ve şu kod ile sınama yapılabileceği söylenmiş

Kod Seç Genişlet

ssh -G 2>&1 | grep -e illegal -e unknown > /dev/null && echo "System clean" || echo "System infected"

Kodu denediğimde System Clean diyor ama mantığını anlamadım.

Bilgisi olan varsa bilgi verebilir mi. Yoksa yine sadece gelgeç bir uydurma haber midir?

[heartsmagic]

Uydurma değildir, ESET rapor yayımlamış [1][2]. Tabi şimdiye kadar görülen sunuculara örnek vermemiş ancak özellikle üzerinde durulan Ebury konusu için ayrıntılı bir açıklama yapılmış [3]. Mesele günlük sistemler değil ama, haliyle söylendiği üzere sunucular. Bunun olması için de sunucuya bir şekilde giriş yapılmış (root haklarıyla) olması gerekiyor. Bu aşamada istenilen şey elbette gerçekleştirilebilir. Bunun da ötesinde sızılan sunucudan başka sunuculara root haklarıyla geçiş varsa elbette o sunucularda da işlem yapılabilir. Hatta etkilenmiş sunucu üzerine SSH yapmak isteyen birilerinin de parolaları uzak bir başka sunucuya gönderiliyor. Kısacası bir sunucuya sızılıyor, OpenSSH değiştiriliyor, ardından ona gelen istekler toplanıyor, gönderiliyor vs.

Denetim için verilen komut SSH için -G parametresi alıyor, fakat orada da söylendiği üzere OpenSSH'ın böyle bir parametresi yok. Fakat değişiklik yapılarak yerleştirilen OpenSSH Ebury için bu paramatreyi barındırıyor. Komutu bu yönde kullanmış ESET takımı. Son bağlantı işin teknik kısmını anlatıyor, meraklıları bakabilir.


[1] http://blog.eset.ie/2014/03/18/operation-windigo-malware-used-to-attack-over-500000-computers-daily-after-25000-unix-servers-hijacked-by-backdoor-trojan/
[2] http://www.welivesecurity.com/wp-content/uploads/2014/03/operation_windigo.pdf
[3] http://www.welivesecurity.com/2014/02/21/an-in-depth-analysis-of-linuxebury/