เปิด port ด้วย VNC แล้วหนาว ๆ ชอบกล

vnc port
vnc port

ศุกร์ที่ 1 ก.ค.54 เกิดเห็นร้ายจากการเปิด port 21 (FTP) ในเครื่องอันนี่พอต (Honey pot : web server) แล้วมีการโจมตีเข้ามา เพราะไม่ได้เปิดแบบ secure port และรหัสผ่านไม่ได้มาตรฐาน ทำให้การโจมตีของสคริ๊ปประสงค์ร้าย (Intruder Script) สำเร็จ .. แล้วผลของการถูกบุกรุกเข้าสู่ระบบ คือ เกิดการลบแฟ้มทีละแฟ้มทีละโฟร์เดอร์ มาทราบผลตอนได้รับแจ้งจากผู้ใช้ (Monitor) ว่าเข้าข้อมูลที่เขาต้องการไม่พบ เมื่อหยุดระบบถึงทราบว่าห้องเก็บข้อมูลหายไปเกือบร้อยกว่าห้อง เมื่อกู้ด้วย recuva ก็ได้มาไม่ครบ ส่วนระบบสำรองข้อมูลก็ทำมาแล้ว 6 เดือน  (Innovation) แต่มีคำปลอบใจว่าโจรขึ้นบ้านสิบครั้งไม่เท่าไฟไหม้ครั้งเดียว (Awareness)

มาวันนี้ติดตั้ง RealVNC เพื่อทดสอบการ Remote Control เข้ามาดูแล ก็พบว่าหลังติดตั้งจะเปิด Port 5800 และ 5900 แล้วนึกได้ว่าไม่เปิดดีกว่า ถ้าจะใช้เมื่อไรก็ค่อยเปิด เพราะเปิดไว้มีปัญหา 2 เรื่อง คือ เครื่องทำงานมากขึ้นเพราะต้องรอให้บริการ และถ้าผู้ไม่ประสงค์ดียิงเข้ามาอาจมีสักวันที่ Hack Password ได้สำเร็จ เหมือนที่เคยถูกกระทำมาแล้ว

http://www.realvnc.com/products/download.html

พบคำว่า ไซต์นี้อาจเป็นอันตรายต่อคอมพิวเตอร์ของคุณ ในไซต์ขององค์กร

มีการ upload แฟ้ม และพบว่าแฟ้มมี signature อันตราย

13 มี.ค.53 พบปัญหาจึงมีขั้นตอนการดำเนินการที่แบ่งกิจกรรมเป็น 3 ส่วนที่สำคัญคือ ที่มาของปัญหา การตรวจสอบ และการดำเนินการแก้ไข รายละเอียดมีดังนี้ 1) ผู้ใหญ่ท่านหนึ่งโทรศัพท์แจ้งว่าผลสืบค้นเว็บไซต์ขององค์กร พบคำว่า “ไซต์นี้อาจเป็นอันตรายต่อคอมพิวเตอร์ของคุณ”  เมื่อค้นด้วย url ของเว็บไซต์กับ google.com ก็พบว่ามี 2 ไซต์ในเครื่องบริการเดียวกันติดโผปัญหานี้จริง 2) ใช้ FTP เข้าไปตรวจแฟ้มจากที่บ้าน ซึ่งเครื่องบริการใช้ code ของ wordpress กับทั้ง 2 ไซต์ พบว่ามี script ประเภท badware อยู่จริง โดยแฟ้มถูกปรับปรุงจากผู้พัฒนาเว็บไซต์เมื่อเวลา 12.30น. (วันนี้เอง) จึง download code มาแก้ไขด้วยการลบ script บรรทัดปัญหาออกไปไม่กี่แฟ้ม แล้ว upload เข้าไปทับแฟ้มเดิมใหม่ ซึ่งเชื่อว่าไม่กระทบในทางลบจึงดำเนินการโดยไม่แจ้งผู้พัฒนาเว็บไซต์ 3) ผลการทดสอบ view source ยังพบบรรทัดปัญหาที่เป็นผลการทำงานของ badware อยู่ที่นั่นเช่นเดิม การ scan เข้าไปในระบบทั้งหมดจากที่บ้านอาจไม่สะดวกเรื่องความเร็วในการประมวลผล จึงเดินทางไปที่องค์กรแล้วแก้ปัญหาหน้าเครื่องด้วยการ scan แฟ้มทั้งหมด พบว่า signature ของไวรัสหรือ badware อยู่ 4 แบบ คือ eval, doc.write ด้วย javascript 2 แบบ และ script ที่พบในครั้งแรก 4) ใช้ file search ของ windows ร่วมกับ replace แบบ multi-line ของ editplus ในการ scan แล้วสั่งลบ signature ออกจากแฟ้มทั้งหมด ซึ่งพบว่ากว่า 200 แฟ้มนั้นมีเวลาถูกแก้ไขในเวลาประมาณ 12.30 -12.55น. ซึ่งตรงกับเวลาที่ผู้พัฒนาเว็บไซต์ส่งแฟ้มเข้าไปในระบบ แสดงเวลา upload ชัดเจนใน log ของ FTP Server มีประเด็นที่น่าสงสัยคือทำไมผลไปแสดงใน google.com เร็วมาก และถูกตรวจพบในเวลาที่รวดเร็ว รวมไม่ถึง 3 ชั่วโมงเท่านั้น .. จึงสงสัยว่า code มีปัญหามาก่อน 12.30น. หรือไม่ 5) ผลการแก้ไขทำให้ signature ของไวรัสถูกลบออกไปทั้งหมด เนื่องจากคาดว่า server ไม่ได้ติดไวรัสโดยตรง แต่คาดว่าเครื่องของผู้พัฒนาเว็บไซต์อาจติดไวรัส แล้วส่งแฟ้มที่ถูกแก้ไขเข้าเครื่องบริการ ที่สงสัยเช่นนั้นเพราะผู้เขียนใช้ ftp เชื่อมต่อเข้าระบบ ทำการดาวน์โหลดและอัพโหลด แต่ไม่เกิดผลต่อแฟ้มที่ดำเนินการ เมื่อแก้ไขแล้วก็ยังไม่พบไวรัสทำงานอีกครั้ง .. สรุปว่ารอดูอาการต่อไปเพื่อพิสูจน์ข้อสงสัย 6) ดำเนินการกับ google.com ด้วยการเข้าไปในส่วนของ webmaster tools แล้ว verify เว็บไซต์ทั้ง 2 แบบ download file แทนแก้ code เพราะสะดวกที่จะดำเนินการกับ wordpress ที่อาจมีการแก้ไขแฟ้ม index.php ในภายหลัง 7) เลือก ขอรับการตรวจสอบ จากระบบของ webmaster tools ใน google.com เนื่องจากดำเนินการแก้ไขปัญหาหรือต้นเหตุของ badware หรือ malware ทั้งหมดแล้ว .. เพราะแก้ไขแล้วจริง ๆ และคาดว่าทางผู้พัฒนาเว็บไซต์จะตรวจสอบตนเองพบ และไม่ส่งแฟ้มที่มีปัญหามาเผยแพร่ในเว็บไซต์ขององค์กรอีก เพื่อความแน่นอนในต้นเหตุของปัญหาจึงต้องตรวจสอบกับทีมผู้พัฒนาเว็บไซต์ในองค์กรว่าไม่มีใครมีไวรัสไว้ในครอบครองหรือไม่ .. สรุปว่าขณะนี้อยู่ระหว่างรอด google.com ตรวจสอบ
     8) หลังแจ้งให้ google.com ดำเนินการยกเลิกการ block ในเวลาประมาณ 22.00 น. พบว่ามีการแก้ไขแล้วเมื่อเวลา 8.00น. ของวันรุ่งขึ้น สรุปว่าการดำเนินการครั้งนี้สำเร็จ และต้องเฝ้าดู (monitor) ต่อไปว่าจะไม่เกิดเหตุแบบนี้ขึ้นอีก

 

รวมภาพแสดงการทำงาน แก้ปัญหา virus ใน script

+ http://www.google.com/webmasters/tools/dashboard?hl=th
+ http://www.google.co.th/search?q=ayume.eu
+ http://www.google.co.th/search?q=cartoon.co.th