Actualicé el título de la pregunta para aclarar que esta publicación no le pide a la comunidad que responda "cómo nos piratearon", sino "qué registros buscar o indicadores que puedan ayudar en nuestra investigación". Creemos que esta pregunta fue rechazada porque se entendió mal.
Nuestro Postgres DB fue pirateado y retenido por rescate. Hacker eliminó todas las tablas en la base de datos y creó una sola tabla llamada "advertencia" con una sola fila que pedía 0.5 BTC para devolver una copia de nuestra base de datos.
No tenemos ningún experto en seguridad residente ni ningún miembro de Ops, ni experto en Linux ni DBA.
¿Alguien podría sugerir dónde comenzar nuestra investigación? ¿Qué archivos de registro buscar para Postgres o Ubuntu o Red?
Afortunadamente, teníamos una copia de seguridad para poder restaurar nuestro sistema, pero aún no pudimos descubrir cómo nos piratearon.
Fila de la tabla de "advertencia". columna: warning_text: envíe 0.5 BTC a esta dirección y vaya a este sitio enlace para recuperar su base de datos. ¡El volcado de SQL estará disponible después del pago!
Actualizar: Más información Un poco más de información: SSH fue solo para iniciar sesión en esta instancia. Sin embargo, teníamos todos los puertos abiertos, lo que, sin duda, fue un error, pero fuimos un poco descuidados porque era nuestro entorno de prueba. Nuestra primera conjetura es que la contraseña predeterminada de la cuenta postgres db fue hackeada a través de la fuerza bruta, pero no sabemos dónde buscar para rastrear eso.
Los archivos de registro de Postgres tienen registros como el que se muestra a continuación, lo que muestra que algunos scripts sh estaban cargando la base de datos. Pero no sabemos qué registros buscar para rastrear cómo piratearon la contraseña y cómo / cuándo borraron las tablas en la base de datos y crearon la tabla de advertencia.
--2016-12-29 01: 01: 25-- enlace Conectando a 173.199.124.112:8090 ... conectado. Solicitud HTTP enviada, esperando respuesta ... 200 OK Longitud: 1061 (1.0K) [solicitud / x-sh] Guardando en: ‘/tmp/mpool.sh’
0K . 100% 249M=0s
2016-12-29 01:01:25 (249 MB / s) - ‘/tmp/mpool.sh’ guardado [1061/1061]
% Total% recibido% Xferd Velocidad media Tiempo Tiempo Tiempo actual Carga de Carga Total de Velocidad Izquierda Gastada ^ M 0 0 0 0 0 0 0 0 -: -: - -: - - -: -: - 0 ^ M100 1061 100 1061 0 0 6567 0 -: -: - -: -: - -: -: - 6590