Sunucu rootlanmış gibi ama?

Bugün maillere baktığımda cpanel hackcheck'ten bir mail geldiğini gördüm, "rool" diye bir kullanıcının root yetkisine sahip olduğunu belirtiyordu.



Evet gerçektende "rool" diye bir kullanıcı sunucuda var;



Sonra mailin geldiği tarihe göre access_log'u inceledim, tek şüpheli istek buydu.




Daha sonra sunucuda biraz daha araştırma yaptığımda, cpanel'in tam o saatlerde güncelleme yaptığını buldum ;



Yine mailin geldiği saatlerde değişen tüm dosyaların listesini çıkardım ve incelemeye başladım;



Not: Sunucuda yalnızca 1 site var, sitenin parolaları çok zor 32 karakterli oluşturulmuş şifreler.

Sizden ricam, bu konuda yapılabilecekler, benim aklıma gelmemiş olan incelenmesi gereken log dosyaları vs.

Yardımlarınızı bekliyorum arkadaşlar

Not2: Sunucuda birden fazla firewall yazılımı var, benim aklıma tek gelen datacenter trafiğine müdahale edilip, cpanel update sunucuları yerine kendine ait bir update yüklemiş olabilecekler, ancak o kadar büyük bir site değil.


/var/log/secure Çıktısı

Öncesi yok otomatik rebootta sıfırlanmış.

Fikri olan yok mu arkadaşlar?

unixguru80 eklersen arkadaş yarımcıolabilir

Teşekkürler ekledim

whm açık iken yeni tab açıp işlem yaptığın oluyor muydu ?

2 Senedir hiç whmye girilmedi hocam

o zaman siteyi harici bir müdahale sonrası sunucuya erişim sağlandı ve root yetkisi alındı.kullanılan os için aktif bir local exploit mevcut mu ? ya da güncelleme geldi de siz atladınız mı ? diğer addonlarda olabilir cpanel , php versiyon vs.

Sunucunun sürümü eskiydi ama herhangi bir remote/local root exploiti mevcut değil, 3.parti bir uygulama kullanmıyorum, cpanel sürümü sürekli otomatik güncelliyordu.

Durumu anlamadım büyük ihtimalle ofisteki pclerden birine virüs girdi, ordan direk root olarak giriş yapıldı ve yeni kullanıcı açıldı.

Edit2:

Sunucuya tüm giriş çıkış loglarını,
Tüm gelen post ve get paketlerini,
Tüm konsol komut geçmişini,

İnceledim ve hiç bir hata yok, bana göre cpanelin bir saçma bir buguydu, ancak ben yinede önlem olarak sunucuyu güncelleyip daha kapsamlı bir firewall kurulumu yaptım.

Teşekkürler, konu kilitlenebilir

cpanelin saçma bir bugu olduğunu var sayarsak dünya üzerinde cpanel kullanan arkadaşların hepsinde o kullanıcı oluşmuştur ve bu tehlikeli bir şeydir cpanel'in öyle bir bug bırakacağini sanmıyorum ilginç bir şey yaşamışsın