फ़्लोटिंग मालवेयर

मैं एक फ्रीलांसर हूं, और मेरा मुख्य विशेषज्ञता Asterisk- आधारित आईपी टेलीफोनी समाधान है।

दूसरे दिन, मुझे मेरे एक पुराने ग्राहक से संपर्क किया गया, जिसके पिछले साल मैंने ऑनलाइन स्टोर के कॉल सेंटर के लिए टेलीफोनी की शुरुआत की थी। वहां मैंने केवल और विशेष रूप से पैकेज के साथ एस्टरिस्क को स्थापित और कॉन्फ़िगर किया, स्थानीय सिस्टम व्यवस्थापक सर्वर और ओएस (उबंटू) स्थापित करने में लगे हुए थे, साथ ही कार्यान्वयन के बाद सिस्टम का समर्थन कर रहे थे, और कभी-कभी मुझे एक समय के गैर-तुच्छ कार्यों के साथ संपर्क किया गया था जो कि साधारण योग्यता से अधिक की आवश्यकता थी। डायलन में संपादन संदर्भ। इस बार, उन्हें बदले में प्राप्त कॉल के आंकड़ों के संदर्भ में सीडीआर के तर्क को बदलने की जरूरत थी।

लागत और समय पर सहमत होने के बाद, मैंने काम करना तय किया। सीडीआर में अधूरी कॉल के लॉगिंग को चालू करने के बाद, जब "फेल" की स्थिति के साथ ला "UNKNOWN UNKNOWN" रिकॉर्ड की एक धारा शुरू हुई तो मेरा आश्चर्य क्या था! इसके अलावा, डायलिंग के प्रयास कोड +370 में कई लिथुआनियाई नंबरों को निर्देशित किए गए थे।

चूंकि सत्यापन के बाद बाहर से तारांकन से जुड़ने के विचार को तुरंत ही खारिज कर दिया गया था (कार्यान्वयन चरण में सभी सुरक्षा सिफारिशें लागू की गई थीं, विफल 2ban थे, और घूंट खातों में एक सख्त आईपी प्रतिबंध था), और उसी समय एएमआई अक्षम था, केवल एक विकल्प था - कॉल फाइलें। और इसलिए यह निकला। मैंने ग्राहक के साथ स्पष्ट किया: उन्होंने इस तकनीक का उपयोग नहीं किया और, इसके अलावा, लिथुआनिया को फोन नहीं किया। नैतिक? यह सही है, एक तुच्छ हैक।

कॉल-फ़ाइलों को हटाते समय, वे कुछ समय बाद फिर से दिखाई देते हैं। उम्मीद है, क्रोन में कुछ भी अतिरिक्त नहीं मिला। मेरे सिर को खरोंचने के बाद, मैंने साइकिल से lsof शुरू किया - लेकिन वह आउटगोइंग में कुछ भी दिलचस्प नहीं पकड़ सका। फिर एक छोटी गुगली के बाद, भारी तोपखाने - inotify_tools - लड़ाई में चले गए। एक जिज्ञासु चित्र उभरा: कुछ लगातार कुख्यात फ़ाइलों को प्रति सेकंड कुछ टुकड़ों पर उत्पन्न करता है। जिससे मैंने निष्कर्ष निकाला कि मैं एक निर्धारित कार्य के साथ नहीं, बल्कि एक प्रक्रिया या डेमॉन के साथ काम कर रहा था।

तब यह सरल है: शीर्ष और पीएस के माध्यम से, "बैकअप" नामक एक संदिग्ध प्रक्रिया को जल्दी से पकड़ लिया गया और /var/tmp/bkb.d में था। यह सबसे सरल लिपि बन गई, लगातार दर्जनों कॉल फ़ाइलों को कॉपी करके / var / spool / तारांकन / आउटगोइंग में एक ही स्थान पर पड़ी रहती है, जिसमें विभिन्न लिथुआनियाई नंबरों पर एक अंतर्राष्ट्रीय कॉल की दीक्षा होती है। एक ही समय में, क्या सबसे दिलचस्प, कॉल (या बल्कि, डायल करने के प्रयास) एक गैर-मौजूद ट्रंक के माध्यम से किए गए थे, और कॉल-फ़ाइलों में किसी और के साथ डायल करने के बाद कनेक्शन का संकेत नहीं था।

मैलवेयर को काटकर सीडीआर लॉजिक में आवश्यक संशोधन किए, मैंने हैकिंग के लिए अनुमानित समय के ग्राहक को सूचित किया और उम्मीद के मुताबिक, इस तथ्य की खोज के लिए एक अलग सामग्री आभार प्राप्त किया। वह आगे इसके साथ क्या करेगा - मुझे नहीं पता, एक छेद खोजने का कार्य जिसके माध्यम से हैकिंग संभव हो गई, मेरे सामने नहीं था। यद्यपि केवल एसआईपी, एसएसएच और http-प्राधिकरण द्वारा बंद किए गए आंकड़े वहां अटक गए (बेशक, अपाचे, तारांकन की तरह, जड़ से नहीं चला था), इसलिए पसंद छोटा है।

शायद मैलवेयर को खोजने के लिए एक सरल और तेज समाधान था - लेकिन मैं अभी भी खुद को एक लिनक्स व्यापक-आधारित व्यवस्थापक नहीं मानता हूं, और जो मन में आया उसे लागू किया और रास्ते से भटक गया। हालांकि, मुझे अभी भी समझ में नहीं आया है कि कौन पसंद करता है, और, सबसे महत्वपूर्ण बात यह है कि उसने इस तरह की अर्थहीन हैक क्यों की।