[Diskussion] Dynamische Malware infiziert Webseiten

[marneus]

Moin!

Ich stelle hier den News-Artikel zur Diskussion, da ich gerade nicht auf blobs Frage eingehen kann mangels Zeit.

In dem Beitrag über neuen Virus, wäre es gut, noch dazuzuschreiben, wo exakt man was an der Apache-Konfiguration ändern muß. Ich habe nach dynamisch laden in den web-Modulen-Einstellung gesucht, aber das Ähnlichste was ich fand ist Dynamic Shared Object (DSO), und ich weiß nicht ob/was man wo ändern muß.

--marneus

 

[blob]

Ja sehr gut, es ist auch sehr wichtig und gut, in diesem Forum immer über neuste Probleme gewarnt zu werden

 

[traced]

wo exakt man was an der Apache-Konfiguration ändern muß

Kann mir da gerade auch noch nix drunter vorstellen. Gebt meinem überarbeiteten Gehirn doch einen kleinen Anstoss

lg
Basti

 

[Roger Wilco]

Kann mir da gerade auch noch nix drunter vorstellen. Gebt meinem überarbeiteten Gehirn doch einen kleinen Anstoss

http://httpd.apache.org/docs/2.2/dso.html
http://httpd.apache.org/docs/2.2/install.html#configure

 

[charli]

Hallo,

Zitat aus dem Newsartikel:

Ist eine Infektion (auf Hosterseite) festgestellt reicht das Zurücksetzen des Servers oder Neueinspielung der Webseiten nicht aus.

das hat noch nie ausgereicht, wenn ein Server gehackt wurde muß man nicht nur (zwingend) neuinstallieren, man muß auch das alte Loch stopfen, sonst ist der Hacker schnell wieder drin.

Die genaue Ursache für die schnelle Neuinfizierung des frisch aufgesetzten Systems ist derzeit noch nicht bekannt.

Wenn der angreifende Rechner (Hackerrechner, infizierter Server, was auch immer) sich schlichtweg merkt wen er erfolgreich infiziert hat, ein paarmal am Tag nachguckt ob der Server noch infiziert ist und ggf. den Angriff wiederholt (und der Webmaster sein löchriges Script wieder auf den frisch aufgesetzten Server gespielt hat) passiert genau das. Mehr "Zauber" ist dazu nicht nötig.

Bislang ist nur die Infizierung von 230 britischen Webseiten bekannt.

Es wäre sehr interessant, welche das sind bzw was darauf läuft. Ich wette, die haben alle irgendeine wohlbekannte große PHP-Anwendung drauf - entweder nicht mit den letzten Updates oder mit einem noch unbekannten Loch in der neuesten Version - und PHP als Apachemodul.

Die einzige derzeitige Lösung für Serverbetreiber und Webhoster ist die Deaktivierung des dynamischen Nachladens von Modulen.

Wie bekommt man ein Malwaremodul in den Apachen, wenn PHP (korrekt abgesichert, z.B. suPHP) als CGI läuft? Mit dem (sehr verbreiteten) PHP-Modul dürft es möglich sein.

Ich sehe keinen Grund völlig neue Ursachen zu suchen, wenn die Angelegenheit (bis jetzt ) mit den bekannten Ursachen erklärbar ist.

 

[marneus]

Mensch charli, Du scheinst ja bald bei den Top-Securityfirmen ganz oben auf der Gehaltsliste zu stehen, wenn Du diese ganzen Erkenntnisse aus den Brocken an Infos ziehen kannst. Respekt!

--marneus

 

[blob]

Verstehe ich richtig, daß man dann httpd am besten neu übersetzt mit --enable-<module>=static , und muß man dann ALLE Module statisch übersetzen und ALLE LoadModule ... vermeiden, oder nur php ?? Sind außer im hauptsächlichen config-file von httpd alle LoadModule ... enthalten oder muß man sonstwo noch danach suchen um alles abzusichern ??

@ #5 : Ist damit das phpBB2 -Forum gemeint ? Gut daß ich keine englische web-Seite habe, meine ist in portugiesisch

 

[traced]

Ich denke wenn sich dieser "Virus" erstmal verbreitet hat, dann ist egal ob spanisch, portugiesisch, südostvietnamesisch oder ostdeutsch

 

[Saint2000]

Kann jetzt mal jemand irgendwas genaues sagen? Gibts da irgendwelche tuts oder howtos?

BTW bei ostdeutschen Servern funzt der Virus wegen der vielen Ö`s und dem Dialekt nicht *duck*

 

[lo scolaro]

Strato-V-Power Server betroffen???

Seit 15:51 ist mein V-Server vom Netz abgehängt worden (war gerade in der Shell am arbeiten...).
Ein Anruf bei Strato erbrachte, das es ein technisches Problem bei den V-Power Servern gäbe, welches aber schnellstmöglich behoben werde.
Sind das jetzt bereits Auswirkungen?

Tatsache ist die BackUp-Controll aktiv ist. Wahrscheinlich werden jetzt bei den V-Servern die Backups von gestern eingespielt. (Ein Tag umsonst gearbeitet? )

Das Problem ist jedenfalls noch nicht behoben!

 

[Roger Wilco]

Jetzt schiebt mal keine unbegründete Panik. Die Informationen aus dem Artikel sind schon ganz schön dürftig und auf den üblichen Mailinglisten hat das auch noch keine größeren Wellen geschlagen. Also ruhig Blut.

 

[Firewire2002]

Was, ihr sprecht kein ostdeutsch?

 

[charli]

Hallo,

Mensch charli, Du scheinst ja bald bei den Top-Securityfirmen ganz oben auf der Gehaltsliste zu stehen

das wird nix mehr, dafür bin ich zu alt.

Ein Anruf bei Strato erbrachte, das es ein technisches Problem bei den V-Power Servern gäbe, welches aber schnellstmöglich behoben werde.

nicht nur Vserver, meine beiden Rootserver waren ebenfalls weg, direkt vorher hatte ich Emails wegen Trafficüberschreitung bekommen, es liegt aber keine vor (Kundenmenü).

Sind das jetzt bereits Auswirkungen?

Nö, da ist wohl ein Trafficerfassungssystem abgefackelt.

Das Problem ist jedenfalls noch nicht behoben!

Seit ein paar Minuten ist einer meiner Server wieder da.

Nachtrag: jetzt lebt auch der zweite wieder, scheinbar werden die alle nacheinander wiederbelebt.

Verstehe ich richtig, daß man dann httpd am besten neu übersetzt mit --enable-<module>=static

so ist das wohl gemeint - ganz schön Arbeit wenn man sich bisher auf den Paketmanager verlassen hat.

@ #5 : Ist damit das phpBB2 -Forum gemeint?

Ich hab kein bestimmtes gemeint, aber sowas in der Art.

Es ist lediglich meine Vermutung, daß der Einstieg (wie fast immer) über ein Loch in einem PHP-Paket erfolgt und die weiteren Angriffsschritte PHP als Modul voraussetzen (nur dann läuft PHP unter Apache-User und man kann das im Speicher laufenden Apachen manipulieren.

Bei mir rennt PHP ausschließlich als CGI via suPHP, wenn ich morgen auch Viren ausspucke weis ich, daß ich mich geirrt habe.

 

[blob]

Ich übersetze sowieso immer selbst httpd, aber wollte gerne wissen in welchen config-Dateien man nach solchen Modulen zu suchen hat um gleich alle auf einmal zu behandeln. Und in diesen config-Dateien, muß man dann die Zeilen LoadModule löschen, oder durch etwas anderes ersetzen ? Was bedeutet denn suPHP und CGI, muß man dazu php auch neu übersetzen (wenn ja, mit welchen Optionen) ?

 

[charli]

Hallo,

bei (neueren) Suse geht das über /etc/sysconfig/apache2 darin APACHE_MODULES="....." und wird vom Startscript nach /etc/apache2/sysconfig.d umgesetzt. Bei anderen Distributionen hilft grep.

Um PHP als CGI zu nutzen muß man ein php-cgi-Binary übersetzen, also ohne "--with-apxs" und Infos über suphp gibt's bei suphp.org.

 

[Saint2000]

So, also, es langt nicht irgendein Modul zu unloaden, sondern man sollte den ganzen Apache neu übersetzen?

Und wie das ganze auf einem Produktiven Server mit zig Homepages?

Mal das Pferd anders aufgesäumt, weiss man schon näheres? Wie erkennt man ein Infiziertes System?

 

[charli]

Hallo,

So, also, es langt nicht irgendein Modul zu unloaden, sondern man sollte den ganzen Apache neu übersetzen?

nach meinem Verständnis genügt es, das PHP-Modul rauszunehmen und durch PHP-cgi zu ersetzen, wird aber auch schwierig auf dem produktiven Server.

Und wie das ganze auf einem Produktiven Server mit zig Homepages?

Solange Du nur compilierst läuft der Server ungestört weiter. Dann bleibt wohl nur ein Backup zu erstellen, den neuen Apachen zu installieren und zu beten. Notfalls Backup zurück damit die Kiste so schnell wie möglich zumindest im alten Zustand wieder läuft.

Nachtarbeit ist angesagt, da stört der Ausfall am wenigsten.

Mal das Pferd anders aufgesäumt, weiss man schon näheres?

scheinbar nicht.

Wie erkennt man ein Infiziertes System?

Ich hab keines, aber man soll es daran erkennen, daß der Server HTML-Dokumente (ob statische oder durch PHP erzeugte oder beides kann ich nicht sagen) verseucht und dabei ein Virenscanner auf dem PC anspricht.

Ich würde im Moment an einen produktiv genutzten Server nicht experimentieren sondern die Entwicklung abwarten. Die eigenen Homepages (und die der Servermitnutzer) öfter mal aufrufen von einem PC mit aktuellem Virenscanner ist natürlich sinnvoll.

 

[blob]

Ich habe jetzt httpd 2.2.8 neu übersetzt und laufen lassen

Jetzt gehen aber keine Seiten mehr die php benutzen, nur noch andere:
www.copaya.yi.org/info.php geht nicht
Index of /tgz geht
www.copaya.yi.org/index.html geht , aber da ein php-Applet darin ist (Anzeige ip des Benutzers) was momentan nicht geht, rufe ich es normalerweise als link dorthin www.copaya.yi.org/index.php auf das geht nicht

Mit #httpd -l wird ausgegeben, daß u.a. die Module dav, ssl da sind, aber php5, security2, auth_any, auth_external, authz_svn , cband , dav_svn , mono, python nicht.

Früher hat alles funktioniert.

Woran liegt denn das ??

Unten die jetzige Konfiguration, und die frühere als Kommentar . Ich habe --enable-so herausgenommen damit jah nichts mehr dynamisch geladen wird, und diverse Module explizit als statisch angegeben. Ich fürchte, nur diese gehen nicht, aber alle anderen werden trotzdem weiterhin [entgegen der Beschreibung] als dynamisch geladen und gehen deshalb ...

#./configure  --prefix=/usr/local/apache2 --enable-so  --enable-modules=all 
./configure  --prefix=/usr/local/apache2 --enable-static-support  --enable-modules=all --enable-php5=static --enable-security2=static --enable-dav=static --enable-ssl=static --enable-auth_any=static --enable-auth_external=static --enable-authz_svn=static --enable-cband=static --enable-dav_svn=static --enable-mono=static --enable-python=static

@ #16: Zumindest wenn man httpd korrekt neu übersetzt (bei mir oben ist noch irgendwas falsch), hat das nichts mit der Anzahl an sites zu tun, man muß danach nur httpd restarten mit #/usr/local/apache2/bin/apachectl restart , aber das geht augenblicklich

 

[Roger Wilco]

nach meinem Verständnis genügt es, das PHP-Modul rauszunehmen und durch PHP-cgi zu ersetzen, wird aber auch schwierig auf dem produktiven Server.

Wie kommst du darauf? In der Originalmeldung ist nicht ein Wort über PHP zu lesen und auch sonst gäbe es genügend andere Einfallstore.

Ich bin immer noch der Meinung, dass der Orignalartikel bzgl. der Verbreitung und der Wirkung massiv übertreibt.

 

[charli]

Hallo,

ich hab's nicht ausprobiert (verlaß mich auf das CGI-PHP), aber nach Doku schreib man nur "--enable-php5" usw ohne "=static":

http://www.cirt.cnr.it/manual/de/install.html