63factory.jp Users@mixiコミュの【緊急告知】サーバクラック&初期化について。

サーバがクラックされroot権限を持っていかれ、フィッシングサイトのプログラムをおかれていたということなので、一度初期化し再構築することになりました。

ここ一週間のバックアップはとってあるので、必要なユーザ各位にはお渡しをいたします。
また、その際不審なファイルや置いた覚えのないファイルもあわせて確認をお願いいたします。

今回の件に関しては悪質なこともあり、管理会社と相談し通報も考えております。
また、その際にはユーザの皆様にご協力をお願いすることもありますので、その節はご協力をお願いいたします。

下にメールを掲載しておきます。

--------引用ここから--------

平素は、弊社サービスをご利用いただきまして
誠にありがとうございます。


お客さまサーバーにつきまして、アタックに関する警告メールが来ておりました。


> *** このメールは注意喚起を目的としております。
>
> ご担当者様
>
> こちらは (株) カスペルスキーラブスジャパンと申します。
> 突然のご連絡でたいへん恐縮ではございますが
> 当社では以下のサイトがフィッシングサイトになっていることを
> 確認いたしましたのでお知らせ申し上げます。
>
> IP アドレス: 210.166.210.51 (ns.63factory.jp)
> URL: http://ns.63factory.jp/titolari/
> 日時: Mon Oct 12 22:20:54 JST 2009 (現在)
>
> フィッシングサイトは他人のクレジットカードのIDやパスワードを盗むサイトです。
> お手数ではございますが、フィッシングサイトとなったページを
> アクセスできなくするか、削除していただきますようお願い申し上げます。
>
> サーバ管理者様へのお願い：
> サーバ上にフィッシングサイトがあるということは
> 悪意ある第三者がシステムに侵入したことを示しています。
> したがいまして、下記の項目をご確認のうえ、安全であると判断できるまでは
> システムをインターネットから遮断し、サービスの一時停止をお願い申し上げます。
>
> ・悪意あるデータが無いか、また正常なデータが失われていないか、
> すべてのデータを詳細にご確認ください。
> ・ご利用中のソフトウェアが最新版に更新されているか、
> 最新のセキュリティパッチが適用されているかどうかをご確認ください。
> ・侵入者が仕掛けたバックドアやエクスプロイトを見つけ、
> セキュリティホールを閉じてください。
> ・ログは必ず保存・分析し、場合によっては警察機関へご連絡ください。
> ・ウイルス定義ファイルを最新版にアップデートしたアンチウイルスソフトウェアを利用して
> 完全なシステムチェックを行うことを強く推奨いたします。
>
> 尚、他の管理者、コンピュータ緊急事態対策チーム、警察機関、政府機関等への
> ご連絡・ご相談の際には、
> メールの最後に添付されております情報もご利用ください。
>
>
> フィッシングサイト確認時のマシン名 ns.63factory.jp、IPアドレス
> 210.166.210.51
>
> 既にご対応済みでございましたら、行き違いとなりましたことをご容赦ください。
> 以上、宜しくお願い申し上げます。
>
> -------------------
> 株式会社カスペルスキーラブスジャパン
> Anti-Phishing Group
> Incident Research and Response Team
> Kaspersky Lab
> http://www.kaspersky.co.jp
> http://viruslistjp.com




弊社にてサーバを調査の結果、root権限を剥奪されていることが判りました。


Checking `ifconfig'... INFECTED
Checking `pstree'... INFECTED


上記コマンドが改ざんされ、機能しない状態となっております。

rootの権限を取得されております為、SPAMの送信やsshスキャン
などを実行することも可能で、不正なプログラムも実行されて
いないように見えなくすることも可能であり、サーバー上で
どのようなプログラムが動いているか弊社でも分かりません。

この為、SPAM送信元として公開されているデータベースに
お客様のサーバーが登録される可能性もあり、最悪の場合
弊社全体のIPアドレスが登録されることもございます。
また、弊社が認識し停止しなかった場合、弊社にフィッシング
詐欺の損害を請求される可能性もございます。

root権限レベルでのクラックではログの書き換えやファイルの隠蔽、
コマンドの改ざんが行わなうことが可能となるため、旧サーバからの
データ移行による復旧は障害再発を伴う危険性がございます。
そのため弊社では、フォーマットされたハードディスクに、
OSを新しくインストールしなおす対応のみとさせていただいております。

この為、該当のサーバーを停止し、新規にインストールした
サーバーに置き換えを行わせていただきます。
必要でございましたら、別の仮IPアドレスに旧ディスクを
マウントした状態で起動させていただくことも可能となっております。

コンテンツの移動等はお客様にてお願い致します。
なお、root権限を取られている為、ファイルの内容が改変
されている可能性もございますので、必ず内容をご確認の上
移動していただくようお願い申し上げます。

パスワード情報・Webmin/Usermin のポート番号につきましては、
新しい情報を作業完了後に、FAXにてお送りさせていただく予定でございます。

また新規ディスクへの差替えにつきましては、弊社営業時間内
平日の11時から17時の間にて、交換日時をご指定くださりますよう、
お願い申し上げます。