El servidor de un cliente ha sido hackeado anoche. Es una distribución estándar de Debian con mysql, apache y ssh para acceso remoto.
La forma en que ha sido hackeado es muy peculiar. La URL estándar mostraba una página de defecto con un enlace a nethack.alt.org. He buscado en todo el disco y no pude encontrar los archivos que pertenecían a esta página desfigurada (es decir, bg.jpg). Además, el servicio ssh y mysql no eran accesibles. El reinicio simple no ayudó.
Veo dos escenarios posibles:
- Los hackers de alguna manera instalaron un sistema paralelo que se inició en lugar del debian original.
- De alguna manera redirigieron todo el tráfico a algún otro servidor (dirección IP también, no solo DNS)
¿Alguien tiene experiencia con este tipo de ataque? ¿Dónde puedo buscar archivos comprometidos?
Nota: Reinstalaré todo el sistema desde cero, pero me gustaría saber cómo entraron, para poder prevenirlo en el futuro.
Editar: Información adicional. Esta línea es la última en mi syslog cuando el sistema malicioso se estaba iniciando en lugar del real.
Jan 21 08:33:09 Debian-76-wheezy-64-minimal kernel: [ 17.223513] nf_conntrack version 0.5.0 (16384 buckets, 65536 max)
En un inicio normal, el mysql se inicia en ese punto:
Jan 21 09:12:12 Debian-76-wheezy-64-minimal mysqld_safe: Starting mysqld daemon with databases from /var/lib/mysql