[RÉSOLU] Intrusion serveur web

aquick · 02-09-2019 13:25:38

Bonjour,

j'ai un serveur web dédié chez un fournisseur internet pour mon site.

Il y a deux semaines, je me rend compte que je n'ai plus accès à ispconfig
je me connecte à phpmyadmin et je me rend compte que deux de mes bases de données n'existent plus.

Une autre est créée avec le nom : PLEASE_READ_ME_VVV

Avec une table warning et le message suivant à l’intérieur : .

"To recover your lost Database send 0.03 Bitcoin (BTC) to our Bitcoin address 1756fmLS26s7yNBFeaqfbgXoRcieuA9xox and contact us by Email with your Server IP or Domain name and a Proof of Payment. Your Database is downloaded and backed up on our servers. Backups that we have right now: isp, pmblast. Any email without your server IP Address or Domain Name and a Proof of Payment together will be ignored. If we dont receive your payment in the next 10 Days, we will delete your backup."

Je restaure mes sauvegardes et change tous mes mots de passe, je change aussi de ports pour ssh et ispconfig

une semaine plus tard rebelote suppression des bases et réapparition de la nouvelle base de donnée.

apparemment pas de backdoor ni de fichiers compromis (dixit chkrootkit et rkhunter)

auriez vous une idée sur la question ?

Debian 9 (à jour)
- openssh-server
- postfix
- mariadb-client
- mariadb-server
- openssl
- rkhunter
- binutils
- amavisd-new
- spamassassin
- clamav
- clamav-daemon
- apache2
- php7 + dependances
- php-fpm
- phpmyadmin
- fcgi
- mcrypt
- purftp
- bind9
- fail2ban
- ufw firewall
- ispconfig 3

Dernière modification par aquick (05-09-2019 14:11:52)

otyugh · 02-09-2019 13:40:30

Quand tu es compromis, il faut changer les mots de passe, et le mieux c'est de repartir d'une clean install et recharger les données à partir d'un backup, en espérant que ce backup n'a pas été touché avant par l'attaquant... Enfin, moi je ferai comme ça.
Y a aussi la possibilité que la faille vienne d'un endroit qu'il lui suffit de ré-exploiter (faille dans X logiciel, ou mauvaise configuration...)

Dernière modification par otyugh (02-09-2019 13:41:55)

aquick · 02-09-2019 13:50:47

Merci pour ta réponse.
j'ai eu la même réflexion que toi en repartant sur du clean.
Cependant j'aurais bien voulu savoir avant, d’où pouvait provenir la faille afin d'éviter l'installation d'un paquet ayant une faiblesse.
Si d'autres personnes ont eu cette malheureuse expérience merci pour vos retour.

Pour info (le backup est clean).

otyugh · 02-09-2019 13:56:21

Pour info (le backup est clean).

Si tu es normalement constitué et que tu ne sais pas comment/quand il est rentré, tu ne sais pas si tu backup est clean. Il est peut-être rentré il y a six mois, posé sa backdoor, et ne l'utilise que maintenant.

C'est un peu le problème avec les intrusions, c'est que c'est dur de regagner confiance après, je trouve...
On peut passer autant de scan qu'on veut, ils ne sont jamais absolu.

...Et les logs sont pas super fiable non plus vu qu'ils ont pu être altérés.

Mais aussi vite c'est juste "pas de bol" et ton site est tombé sous un bête script qui essayait les mot de passe les plus courant ? Ou un faille de ton site du moment pas encore corrigé. x)

Dernière modification par otyugh (02-09-2019 13:56:41)

aquick · 05-09-2019 14:10:39

je suis d'accord avec toi, mais mes backup sont de simples exports sql du coup peu de chance qu'ils soient infectés.

Encore merci pour tes conseils

Debian-facile

#1 02-09-2019 13:25:38

[RÉSOLU] Intrusion serveur web

#2 02-09-2019 13:40:30

Re : [RÉSOLU] Intrusion serveur web

#3 02-09-2019 13:50:47

Re : [RÉSOLU] Intrusion serveur web

#4 02-09-2019 13:56:21

Re : [RÉSOLU] Intrusion serveur web

#5 05-09-2019 14:10:39

Re : [RÉSOLU] Intrusion serveur web

Pied de page des forums