Solución definitiva

https://docs.google.com/document/d/1-jQbzNH2WoOddGG-Gp7opDtgQSiUDbApd8LZlHHXrn0/edit#

Mitigación

Detectamos que tenemos un ataque de este estilo cuando la máquina se queda sin memoria, sin cpu, y en ocasiones se llega a bloquear por completo.

Con un usuario sudo hacemos:

ps aux | grep "donate-level"

Si estamos bajo el ataque veremos muchos procesos en ejecución.

Normalmente, con el usuario con el que se haya ejecutado la aplicación de Tomcat (nos ocurre típicamente con nuxeo), en el «server» se cuelan dos ficheros «pwn.txt» y «command.txt», y en el /home/root/, otro fichero «init».

«init» es realmente el dañino.

Mientras no sepamos cómo parar totalmente el ataque, tenemos un script que podemos utilizar:

Si creamos el script en /home/jmj/kill_donate.sh

pkill -f donate-level
pkill -f donate-level
pkill -f donate-level
pkill -f donate-level
> /root/init

Y en crontab:

* * * * * root /usr/bin/flock -w 0 /home/jmj/kill_donate.cron.lock /home/jmj/kill_donate.sh
* * * * * root sleep 10; /usr/bin/flock -w 0 /home/jmj/kill_donate.cron.lock /home/jmj/kill_donate.sh
* * * * * root sleep 20; /usr/bin/flock -w 0 /home/jmj/kill_donate.cron.lock /home/jmj/kill_donate.sh
* * * * * root sleep 30; /usr/bin/flock -w 0 /home/jmj/kill_donate.cron.lock /home/jmj/kill_donate.sh
* * * * * root sleep 40; /usr/bin/flock -w 0 /home/jmj/kill_donate.cron.lock /home/jmj/kill_donate.sh
* * * * * root sleep 50; /usr/bin/flock -w 0 /home/jmj/kill_donate.cron.lock /home/jmj/kill_donate.sh