Возможная уязвимость в Vesta 0.9.8.19

[mr.flash]

Правило opencloseSSH открывает доступ к ssh на шесть часов.

10 минут с головой.
Но в этом случае не помогло бы.

[upxbot]

Если бы пароли сбрутили то была бы информация в логах auth.log об успешной авторизации

логи можно затереть имея руут
думаю как то все связанно с юзером админ
пароль который генерируется к нему подходит для руут от бд
записывается в многих файликах
у меня есть такое мнение что сломали сервера только тех клиентов у которых парол не менялся после установки

[StudioMaX]

Если бы пароли сбрутили то была бы информация в логах auth.log об успешной авторизации

логи можно затереть имея руут
думаю как то все связанно с юзером админ
пароль который генерируется к нему подходит для руут от бд
записывается в многих файликах
у меня есть такое мнение что сломали сервера только тех клиентов у которых парол не менялся после установки

Есть сомнения что бот настолько умный, что сначала удаляет строку об успешной авторизации из логов, после этого парсит дату последней успешной авторизации, и изменяет дату модификации файла лога на старую дату. В моём случае этот файл логов не менялся с конца марта.

[omega80]

Правило opencloseSSH открывает доступ к ssh на шесть часов.

10 минут с головой.
Но в этом случае не помогло бы.

можно поинтересоваться почему?
Считал, что отсутствие доступа по 8083 и по SSH просто не позволил бы произвести какие-либо действия.

[mr.flash]

Вдруг поможет. На взломанном сервере у юзера admin ssh access установлен nologin. Но если дать команду su admin ... у вас есть доступ чего быть не должно. На не взломанном сервере admin выдает вот это This account is currently not available.
В панели установлен nologin а passwd admin:x:1002:1002:@gmail.com:/home/admin:/bin/sh

[omega80]

обновил до 20 версии все весты

[imperio]

Не забудьте убить все процессы вируса и удалить файлы вируса если система не переустанавливалась
https://superuser.com/questions/877896/ ... 24#1004724

[mr.flash]

Подскажите в чем была причина?

[omega80]

Подскажите в чем была причина?

в английской ветке отписались, что вектор был направлен на метод небезопасной проверки пароля

[imperio]

Похоже так и есть