「不審ﾌｧｲﾙ削除」＆「Access_log解析」
【運用再開後の遡及記事です。】
【追記 12月12日「Movable Type 7 r.5004」へｱｯﾌﾟﾃﾞｰﾄしました。】
そもそも外部投稿ﾂｰﾙ等は使用していないので、脆弱性の根源となっている「mt-xmlrpc.cgi」を即座に削除します。
公開ﾃﾞｨﾚｸﾄﾘ上の見慣れないﾌｧｲﾙを集めました。
いずれも改ざんによる不審ﾌｧｲﾙだと思われますので、躊躇なく削除。
ｻﾌﾞﾃﾞｨﾚｸﾄﾘ内の膨大なﾌｧｲﾙを目視で確認しましたが、本当に疲れました。（汗）
「Fox-C」ﾃﾞｨﾚｸﾄﾘだけはﾕｰｻﾞｰ権限で削除できなかったので、ｻｰﾊﾞｰ管理者に依頼して削除していただきました。
2日間にわたる必死の作業で、どうにかCMS運用再開にこぎつけました。（ﾔﾚﾔﾚ）
その後、これまでの作業記録を整理して、遡及記事を書くのにもかなり時間が掛かりましたが。・・・（苦）
脆弱性に関する知識は何もありませんが、過去1年分のｱｸｾｽﾛｸﾞが残っているので悪意のあるｱｸｾｽの足跡を追ってみます。
先ずは、1日単位で圧縮されたgzﾌｧｲﾙを一つずつ解凍し、1年分の記録をｴﾃﾞｨﾀｰに展開していきます。
膨大なｱｸｾｽ記録を目視で確認するのは困難なことなので、ｷｰﾜｰﾄﾞ検索で探っていきました。
代表的な攻撃例を挙げてみます。
11月10日、最初の「xmlrpc.cgi」へのｱﾀｯｸ。
11月14日、「DIZ.php」「DKIZ.php」ﾘｸｴｽﾄ。
11月22日、「vm145.php」「fox.php」ｱｸｾｽ。
CMSを運用して8年間、数多くのｾｷｭﾘﾃｨｱｯﾌﾟﾃﾞｰﾄがありましたが、いずれも他人事でした。（major upgradeはしています）
ところが今回ばかりは、自分のｳｪﾌﾞｻｲﾄが改ざんされるという事態に、年老いた田舎のﾗｼﾞｵ少年は大ﾋﾟﾝﾁでした。（汗汗）
Movable Typeは商用利用されているので、きちんとした会社では迅速なｾｷｭﾘﾃｨｱｯﾌﾟﾃﾞｰﾄと共に、被害の経緯・対処結果・今後の方針などをきちんと公開されています。
今回は個人のｻｲﾄなので、この程度で収束宣言させていただきますが、目に見えないところで攻撃の踏み台にされていたかもしれません。
年老いた田舎のﾗｼﾞｵ少年の個人ｻｲﾄが何とか復旧できたのは、ｻｰﾊﾞ管理者やﾈｯﾄ情報のお陰です。（感謝感謝）
【運用再開後の遡及記事です。】
【追記 12月12日「Movable Type 7 r.5004」へｱｯﾌﾟﾃﾞｰﾄしました。】
そもそも外部投稿ﾂｰﾙ等は使用していないので、脆弱性の根源となっている「mt-xmlrpc.cgi」を即座に削除します。
公開ﾃﾞｨﾚｸﾄﾘ上の見慣れないﾌｧｲﾙを集めました。
いずれも改ざんによる不審ﾌｧｲﾙだと思われますので、躊躇なく削除。
ｻﾌﾞﾃﾞｨﾚｸﾄﾘ内の膨大なﾌｧｲﾙを目視で確認しましたが、本当に疲れました。（汗）
「Fox-C」ﾃﾞｨﾚｸﾄﾘだけはﾕｰｻﾞｰ権限で削除できなかったので、ｻｰﾊﾞｰ管理者に依頼して削除していただきました。
2日間にわたる必死の作業で、どうにかCMS運用再開にこぎつけました。（ﾔﾚﾔﾚ）
その後、これまでの作業記録を整理して、遡及記事を書くのにもかなり時間が掛かりましたが。・・・（苦）
脆弱性に関する知識は何もありませんが、過去1年分のｱｸｾｽﾛｸﾞが残っているので悪意のあるｱｸｾｽの足跡を追ってみます。
先ずは、1日単位で圧縮されたgzﾌｧｲﾙを一つずつ解凍し、1年分の記録をｴﾃﾞｨﾀｰに展開していきます。
膨大なｱｸｾｽ記録を目視で確認するのは困難なことなので、ｷｰﾜｰﾄﾞ検索で探っていきました。
代表的な攻撃例を挙げてみます。
11月10日、最初の「xmlrpc.cgi」へのｱﾀｯｸ。
11月14日、「DIZ.php」「DKIZ.php」ﾘｸｴｽﾄ。
11月22日、「vm145.php」「fox.php」ｱｸｾｽ。
CMSを運用して8年間、数多くのｾｷｭﾘﾃｨｱｯﾌﾟﾃﾞｰﾄがありましたが、いずれも他人事でした。（major upgradeはしています）
ところが今回ばかりは、自分のｳｪﾌﾞｻｲﾄが改ざんされるという事態に、年老いた田舎のﾗｼﾞｵ少年は大ﾋﾟﾝﾁでした。（汗汗）
Movable Typeは商用利用されているので、きちんとした会社では迅速なｾｷｭﾘﾃｨｱｯﾌﾟﾃﾞｰﾄと共に、被害の経緯・対処結果・今後の方針などをきちんと公開されています。
今回は個人のｻｲﾄなので、この程度で収束宣言させていただきますが、目に見えないところで攻撃の踏み台にされていたかもしれません。
年老いた田舎のﾗｼﾞｵ少年の個人ｻｲﾄが何とか復旧できたのは、ｻｰﾊﾞ管理者やﾈｯﾄ情報のお陰です。（感謝感謝）
早くもｾｷｭﾘﾃｨｱｯﾌﾟﾃﾞｰﾄの追加ﾘﾘｰｽです。
【Movable Typeで2021/10/20にﾘﾘｰｽしたｾｷｭﾘﾃｨｱｯﾌﾟﾃﾞｰﾄにおける「XMLRPC APIへのOSｺﾏﾝﾄﾞｲﾝｼﾞｪｸｼｮﾝの脆弱性への修正が不十分」であることがわかりました。
脆弱性への対策として「Movable Type 7 r.5005」をﾘﾘｰｽします。】
ということで早速ｱｯﾌﾟﾃﾞｰﾄしましたが、どこまでもｲﾀﾁｺﾞｯｺが続くのですね。（汗）