Нашел SSH Backdoor на VServer. Что делать?

Это - то, что необходимо сделать во всех системах, что у Вас было это sniffer.tgz на: Уничтожьте Их С Орбиты сразу и начните с чистой установки. (Таким образом, уничтожьте систему (системы), переустановите чистый, данные загрузки из чистых резервных копий - предположение, что у Вас есть резервные копии, это чисто, и затем укрепляет систему (системы) перед откладыванием их в Интернете).

Каждый раз, когда Вы сделали вредоносное программное обеспечение, или хакеры входят в Вашу систему как это, пора повторно проанализировать, как Ваша система настроена, и удостоверьтесь, что не повторили те же шаги, с которыми они вошли. Но, потому что это не может быть системой, которую у Вас есть способность взять в стороне и криминалистически проанализировать, и так как это может быть Вашим единственным сервером, пора просто уничтожить виртуальную систему и запуститься с нуля (как я сказал выше).

(И это относится к любой такой ситуации, где Вы получаете вредоносное программное обеспечение в системе. Если у Вас нет запасных аппаратных средств для замены чего-то вроде этого так, что можно изолировать и криминалистически исследовать нарушенную систему, которую обычно не имеет большинство пользователей, у Вас нет выбора, кроме как уничтожить систему и запуститься.)

Не анализируя Ваш сервер я не могу действительно сказать, что Вы сделали неправильно, но вероятно, что этот бэкдор глубже в системе, чем просто простая 'программа', которая была установлена. И, так как плохие парни уже добрались для установки бэкдора в системе, можно предположить, что все пароли теперь нарушены и больше не безопасные (ли это быть для SSH, или корня MySQL или любого другого типа пароля, который КОГДА-ЛИБО вводился в эту компьютерную систему). Время для изменения всех паролей!

После того как Вы вернулись в чистой среде, вот некоторые основные подсказки относительно укрепления шагов для рассмотрения. Обратите внимание, что, потому что они делают его намного более более широким тема, я не могу действительно вырыть в деталь здесь, но пора определенно сделать некоторые укрепляющиеся шаги для защиты системы:

1. Включите брандмауэр и только предоставьте доступ к портам, которые должны быть открыты. ufw существует, чтобы быть простым, поэтому давайте использовать это. sudo ufw enable. (Конфигурирование ufw правильно для Вашей среды другая история, и это идет вне ограничений этого вопроса.)

2. Ограничьте доступ к удаленному SSH. Это не всегда выполнимо, но Вы идеально определили бы IP-адреса, которые принадлежат Вам и конкретно добавляют их в белый список в брандмауэре. (Если Вы находитесь на динамическом жилом пропуске IP-адреса этот шаг).

3. Заблокируйте вниз доступ SSH к своему серверу и потребуйте использования ключей SSH только для аутентификации. Таким образом, хакеры не могут напасть на Ваш сервер и попытаться просто предположить пароли. Намного НАМНОГО более трудно предположить надлежащий закрытый ключ (потому что у Вас были бы к "в лоб" все они), и это помогает защитить от нападений bruteforcing.

4. При выполнении веб-сайта удостоверьтесь, что заблокировали вниз полномочия так, чтобы люди не могли загрузить/выполнить вещи на своем досуге. Выполнение этого варьируется от места к месту, таким образом, я не могу дать Вам больше указаний здесь (невозможно сделать так).

5. Также при выполнении использования веб-сайта Joomla или Wordpress или такой удостоверьтесь, что Вы совершенствуете среду и исправленный с уязвимостями системы обеспечения безопасности от поставщиков программного обеспечения.

6. Где возможно, установка, настраивают и используют двухфакторную аутентификацию (2FA) методы для вещей, с которыми Вы проходите проверку подлинности. Существует много решений для аутентификации второго фактора для другого applicaitons и обеспечения различных приложений, которые этот путь выходит за рамки этого сообщения, таким образом, необходимо провести исследование по этому вопросу перед выбором решения.

7. Если абсолютно необходимо использовать пароли в установке, используйте достойный менеджер паролей (облачные являются не обязательно хорошим выбором), и используйте большую длину (25 + символы), случайные, ненезабываемые пароли, которые отличаются для каждого отдельного объекта, это защищается паролями (следовательно рекомендация для менеджера паролей). (Однако необходимо сильно считать пароли не использования где возможными (такой что касается аутентификации SSH), и использование 2FA где возможный).