Många tyska server med Ebury – Rootkit inficerad

av **Admin** tor maj 08, 2014 6:43 pm

CERT - Bund har redan hittat Linux rootkit på hundratals tyska servrar, förmodligen påverkas betydligt mer . Admins bör testa sina system nu .
Ebury - Rootkit är inte ett tyskt problem, finns tusentals servrar världen över är smittade med skadlig programvara . Det är ett rootkit som installerar sig på Unix-liknande system i SSH- program och så vidare dels en bakdörr till systemet ger , å andra sidan , andra lösenord och SSH-nycklar för inkommande och utgående SSH sessioner samlande. Infekterade system används också, då mass spam eller missbrukas för så kallade drive -by bedrifter .
H Security hade rapporterat ett år sedan om detta SSH rootkit, under tiden , det har uppenbarligen funnit mer utbredd . I synnerhet har angriparna också utvecklat mer sofistikerade metoder för att gömma sig i en gång äventyras systemet . För närvarande rekommenderar CERT - Bund två metoder för att upptäcka en Ebury infektion : På servern kan i sig användas för att visa kommandot " ipcs - m " är att använda delat minne för kommunikation mellan processer . Ebury skapar vanligtvis en eller flera segment med minst 3 MB med fullständiga rättigheter (666 ) :

I nätverk kan trafiken från Ebury spår, som döljer sig som DNS-frågor . Kännetecknande är långa tal i hexadecimalt format som värdnamn innan en IP-adress - dvs en påstådd DNS begäran om något wie5742e5e76c1ab8c01b1defa5.1.2.3.4
Operatörer av infekterade system bör detta om möjligt att helt installera om , rekommenderar CERT - Bund . På sin egen FAQ sida E Bury CERT - Bund hittar mer information och även ger en Snort regel färdig , med vilken du kan starta nätverket Intrusion Detection System till den misstänkta trafiken .