0x01 イベントの説明#
ある同僚がある組織で Linux ホストが正常に動作していないという問題に遭遇しました。サーバーに悪意のあるコードが埋め込まれている可能性があり、私に調査を依頼しました。同僚は、サーバーの業務に問題が発生し、顧客がサーバーにログインして状況を確認した後、異常なプロセスを検出し、削除した後に正常に戻ったが、その後もそのプロセスが再起動することがわかりました。
サーバーのログイン情報を取得した後、調査を開始しました。
0x02 脆弱性の調査#
- ユーザーのホームディレクトリに異常なファイルが見つかりました。
- 火绒（ファイアウォールソフトウェア）を使用してスキャンしました。
- stat コマンドを使用してファイルの状態を確認しました。
- Access: ファイルが最後にアクセスされた時間
- Modify: ファイルの内容が最後に変更された時間
- Change: ファイルの属性が最後に変更された時間
- 異常なアカウントが存在します。
- ホームディレクトリにも異常なファイル tufei34 が見つかりました。
- オンラインのサンドボックス（https://s.threatbook.cn）を使用して検出し、トロイの木馬であることが判明しました。
- utmpdump を使用してバイナリファイルから読み取れる内容を抽出し、多くの異常な IP への外部接続があることが判明しました。
火绒ウイルス対策ソフトウェアのスキャン結果。
![火绒杀毒][9]
- top コマンドを使用してプロセスを調査し、異常なプロセス
rvnshcqhiqを発見しました。プロセス ID は 13987 で、プロセス ID を分析すると、外部に接続されている IP アドレスが ip183.ip-178-32-145.eu であり、これも異常なドメインです。
- lsof -p PID コマンドを使用してプロセスの接続状況を確認しました。この異常なファイルは /usr/bin にあります。
![lsof -p13987][11]
![異常なドメイン][12]
- 異常なファイル
rvnshcqhiqをダウンロードし、オンラインのサンドボックス（https://s.threatbook.cn）を使用してこのトロイの木馬をさらに分析したところ、Xorddos トロイの木馬であることが判明しました。
![クラウド検出][13]
![クラウド検出][14]
- pstree を使用すると、異常なファイルのプロセスも表示されます。
![pstree][15]
strings /usr/bin/rvnshcqhiqを使用してトロイの木馬ファイルを調査すると、このトロイの木馬ファイルがスケジュールタスクを起動し、3 分ごとに実行されることが判明しました。
![strings /usr/bin/rvnshcqhiq][16]
- タスクスケジュールファイルを確認しました。
![計画タスクファイル][17]
![計画タスク][18]
- 同様に、/usr/bin/ ディレクトリに他のトロイの木馬ファイルも見つかりました。
![他のトロイの木馬ファイル][19]
![悪意のあるファイルの起動時の自動起動][20]
- 自動起動ファイル
ls /etc/rc*を確認しました。
![ls /etc/rc*][21]
0x03 clamavを使用したスキャン#
clamav を使用したスキャンの結果、clamscan -r /usr/bin
![clamav1][22]
![clamav2][23]
![clamav3][24]
その中の 1 つの /usr/bin/.ssh ファイルを分析すると、多数の異常な IP が見つかりました。
strings /usr/bin/.sshd | egrep '[1-9]{1,3}\.[1-9]{1,3}\.'
![.ssh][25]
/etc/ ディレクトリのファイルを clamav でスキャンしました。
![clamav4][26]
Mysql もトロイの木馬ファイルでした。
![Mysql][27]
ログイン記録を分析すると、最初の 2 つの成功したログインの IP は 54.36.137.146 と 37.44.212.223 で、これらの IP はいずれも海外の IP です。
grep 'Accepted' /var/log/secure | awk '{pirnt $11}' | sort | uniq -c | sorn -nr
![ログイン記録の分析 1][28]
![ログイン記録の分析 2][29]
![ログイン記録の分析 3][30]
0x04 解決策#
- サーバーの異常なファイルをクリーンアップし、トロイの木馬ファイルの権限を閉じ、起動時に自動的に実行されるトロイの木馬プログラムとシンボリックリンクを削除し、すべてのトロイの木馬の元のファイルを手動で削除し、悪意のあるファイルが生成したスケジュールタスクをクリアします。
- clamav をインストールして感染ファイルをスキャンして削除します。
- 条件が許すなら、サーバーを再デプロイすることをお勧めします。これにより、ウイルスによる残留の症状を防ぐことができます。