Linux伺服器應急事件溯源報告

by pumoadmin55 · 2016-02-23

Linux伺服器應急事件溯源報告

0x00 目錄

關於目標環境的中間進度檢測報告

１.情況概述

2.取證情況

2.1 目標網路情況

2.2 針對xxx伺服器中介軟體的檢測

2.3 針對xxx伺服器進程及埠的檢測

2.4 發現攻擊者的攻擊操作

3.溯源操作

3.1 關於攻擊者的反向檢測

4.攻擊源確定

4.1 確定攻擊入口處

5.安全性建議

關於目標環境的中間進度檢測報告

0x01 情況概述

監控軟體監控到伺服器存在異常的訪問請求，故對此伺服器進行安全檢查。

通過提供的材料發現內網機器對某公網網站存在異常的訪問請求，網路環境存在著異常的網路資料的訪問情況。針對其伺服器進行綜合分析發現了病毒檔兩例，內網掃描器兩例，通過以上的發現證實伺服器已被駭客入侵。

0x02 取證情況

2.1 目標網路情況

下文中的內網內ip以及公網ip為替換後的ip。

IP	所属	操作系统
1.168.xxx.xxx	某业务员服务器	Linux2.6.32 x86_64操作系统
192.168.0.0/24	DMZ区	Linux&windows
10.10.0.0/24	核心区	Linux&windows
	防火墙

2.2 針對xxx伺服器中介軟體的檢測

監測存在異常的伺服器開放了80埠和21埠，安裝了tomcat中介軟體。首先進行tomcat中介軟體的排查，查詢得知伺服器對外開tomcat資料夾路徑為/home/XXX/tomcat/XXX _tomcat ，查詢tomcat未使用弱密碼：

201602180811257760313

圖1：tomcat未使用默認弱口令

針對tomcat部署服務進行檢查，未發現可疑部署元件：

201602180811266312022

圖2：未發現可疑的部署組件

201602180811288388932

p3 圖3：未發現可疑的host配置

2.3 針對xxx伺服器進程及埠的檢測

針對目標伺服器進行了進程以及埠的檢測，發現了可疑現象入下圖所示：

201602180811314301641

圖4:發現可疑佔用情況

發現可疑現象後查找“l”所在的路徑，入下圖所示：

201602180811341325551

圖5：發現可疑檔路徑

在/dev/shm路徑下發現存在“l”與“conf.n”文件

201602180811357502861

圖6：找到可疑文件

將“l”與“conf.n”下載到本地進行分析，“l”程式為inux遠控木馬Linux.DDOS.Flood.L，經本地分析“l”程式為linux下僵屍木馬，同時具有遠控的功能

201602180811379492371

圖7：證實為Linux.DDOS.Flood.L木馬

通過繼續分析目標伺服器中的可以進程與埠佔用情況，發現另外可疑檔，如下圖所示：

201602180811384924681

圖8：發現可疑文件vkgdqddsx

將可疑檔進行本地分析，證實此檔為病毒檔：

201602180811401760591

圖9：證實為病毒檔

2.4 發現攻擊者的攻擊操作

針對目標環境進行徹底排查，發現攻擊者使用wget操作從 http://111.205.192.5:2356伺服器中下載“l”病毒檔，並執行了“777”加權的操作。

其記錄檔如下圖所示：

2016021808114285730101

圖10：發現木馬檔下載操作

2016021808114368628111

圖11：通過l檔的時間狀態定位到疑似攻擊者下載時間為2015-01-18 04:54:05

2016021808114534911121

圖12:定位到可疑時間段連接ip位址

2016021808114653846131

圖13：不同時間段的可疑連接ip

通過進一步的對可疑。

通過分析目標伺服器日誌檔，發現攻擊者下載病毒檔後又使用內網掃描軟體“.x”調用其“pascan”和“scanssh”模組進行內網ssh掃描，通過分析發現攻擊者收集到了目標網路環境中的常用密碼來進行針對性的掃描測試。

如下圖所示：

201602180811486789014

圖14：發現目標伺服器中存在ssh爆破以及網段掃描軟體

201602180811492422515

圖15：通過在測試環境中測試發現為掃描軟體

201602180811511310816

圖16：攻擊者使用掃描軟體進行內網網段的掃描

通過繼續對掃描軟體進行深入挖掘，發現攻擊者使用掃描軟體得到的其他內網的ip位址（部分）：

201602180811527964317

圖：17 攻擊者得到的內網部分位址及密碼

嘗試使用此位址中的192.168.21.231和192.168.21.218進行ssh登錄，可使用root:huawei成功進行ssh連接（其他位址及口令不再進行測試），並在內網機器中發現使用弱口令“123456”並發現了同樣的“l”病毒檔。

其記錄檔如下圖所示：

201602180811539439618

圖18：進行ssh連接

201602180811553633619

圖19:連接成功後進行“ifconfig”操作

201602180811566599620

圖：在網路中的其他機器也發現了同樣的病毒檔

在掃描器中發現了攻擊者使用的“passfile”字典檔，從中可以發現攻擊者使用的字典具有很強的針對性（初步斷定攻擊者為在網路環境中通過查詢密碼檔等操作獲取的相關密碼）：

隱私資訊–此處不貼圖

圖20：發現針對性極強的密碼字典

通過繼續對日誌檔進行排查，發現攻擊者使用掃描器進行攻擊的歷史記錄，驗證了搜集到的資訊：

2016021808115840168211

圖21：攻擊者進行攻擊的歷史記錄

通過即系分析，發現攻擊者在進入目標伺服器後，又進行了防火牆許可權修改、“udf”許可權提升、遠端連接等其他操作。其中“udf病毒檔”未在目標伺服器中發現，在後期進行反追蹤中在攻擊者伺服器中獲取到“udf”檔，進行本地檢測後病毒檔。

其記錄檔如下圖所示：

2016021808115921337221

圖22: 修改iptables防火牆配置

201602180812008786423

圖23：被修改後的防火牆配置

圖24：攻擊者進行提權的操作

201602180812035808525

圖25：“udf”檔證實為病毒檔

通過對攻擊者完整的攻擊取證，可證實攻擊者通過SSH連接的方式使用guest_cm使用者而和root用戶進行遠端連接，連接之後使用Wget方式下載並種植在目標伺服器中“l”和“vkgdqddusx”病毒檔，並使用“udf”進行進一步的許可權操作，然後使用“.x”掃描軟體配合針對性極強的密碼字典進行內網的掃描入侵，並以目標伺服器為跳板使用root和xxx帳戶登錄了內網中的其他機器在入侵過程中入侵者將部分相關日誌進行了清除操作。

0x03 溯源操作

3.1 關於攻擊者的反向檢測

在取證過程中發現攻擊者伺服器使用以下三個ip

xxx.xxx.xxx.x、xxx.xxx.xxx.xxx、xxx.xx.xxx.xx（打個馬賽克）

通過對這三個IP進行溯源找到

http://111.205.192.5:2356/ 網站使用hfs伺服器搭建，檔案伺服器內存儲著各種病毒檔，其中找到了在“l”“udf”等病毒檔，證實前文中的判斷。

201602180812055752526

圖26：檔案伺服器中存儲著在本次攻擊中所使用的病毒檔

通過其他手段查詢得知使用ip位址曾綁定 www.xxxx.com網站，並查找出疑似攻擊者真實姓名xxx、xxx，其團體使用xxxxxx@qq.com、wangzxxxxxx.yes@gmail.com等郵箱，使用61441xx、3675xx等QQ。並通過某種手段深挖得知攻擊者同事運營著多個博彩、私服類網站。

其他資訊請看下圖：

201602180812078567927