Inizierò con cosa fare con il tuo sistema attuale:

1. Entra e fai un backup di tutto.
2. A meno che tu non possa dimostrare importante perdite ($ 10.000 +), non inizierei nemmeno a pensare di coinvolgere le forze dell'ordine. Hanno le mani impegnate e, dati gli schemi attuali su Internet, è molto probabile che il tuo colpevole si trovi in ​​un paese diverso da te. Nessuno eseguirà un processo di estradizione per i siti Wordpress compromessi. (Mi dispiace, so che è difficile da sentire, ma è la realtà.)
3. Brucia a terra il server corrente.
4. Considera ogni password sul tuo vecchio server compromessa.

Ora, come si crea un nuovo server per evitare che ciò accada di nuovo? Farò alcune ipotesi basate su ciò che hai scritto nel tuo post:

• Installazioni multiple di Wordpress.
• mod_php su Apache
• CPanel / WHM

Ecco alcuni consigli:

1. Ottieni il tuo nuovo server.
2. Esegui una nuova installazione delle tue applicazioni e configura Password / credenziali forti che nulla hanno a che fare con quelle vecchie.
3. Configura SELinux per limitare il più possibile l'esposizione di ogni sito.
4. Fai attenzione ai plugin di wordpress che installi. Hanno un track record di sicurezza molto peggiore rispetto a wordpress core.
5. Assicurati che le directory scrivibili dal server web mai interpretino i file come PHP.
6. Usa Autenticazione a due fattori per tutto ciò che puoi.
   • CPanel
   • SSH

Senza essere in grado di eseguire analisi forensi digitali sul tuo sistema, è difficile saperlo con certezza, ma esco su un arto e indovina cosa è successo:

1. L'attaccante esegue lo scanner alla ricerca di installazioni di Wordpress vulnerabili.
2. L'attaccante trova Wordpress vulnerabile sul server. Ottiene RCE come server web.
3. Esegue il dump degli hash delle password per i database wordpress.
4. Esegue il crack degli hash delle password, uno dei quali corrisponde a una password WHM / CPanel.
5. Entra in CPanel. Forse come amministratore, o forse la versione di CPanel aveva un bug che consente l'escalation dei privilegi all'amministratore.

Parli della paura di ritorsioni e dell'aggressore che ti insegue ancora e ancora. A meno che non sia personale (una vendetta di qualche tipo), non me ne preoccuperei. Gli aggressori come questo passeranno al loro prossimo host compromesso. Non dare loro un'altra possibilità.

La risposta di David ha fornito alcuni ottimi consigli (che consiglio vivamente di seguire). Focalizzerò invece la mia risposta sulle tue paure specifiche nella speranza di alleviarle.

Quello che voglio ottenere è acquisire quante più informazioni possibili sull'hacker. Voglio scaricare i miei backup precedenti. Voglio entrare e uscire il prima possibile.

Dici che vuoi ottenere quante più informazioni possibili su questa persona. Questo potrebbe non essere pratico se usassero una qualsiasi forma di anonimato. L'analisi post-break in è ancora importante, ovviamente. Il primo passo sarebbe fare un backup completo del disco. Se non hai già spento il sistema poiché è stato compromesso, potresti anche essere in grado di scattare un'istantanea della memoria sul sistema, rendendo possibile eseguire un'analisi forense successiva su di essa. La memoria conterrà molte più informazioni sull'aggressore in quanto non può controllare in modo affidabile ciò che rimane in memoria, mentre è molto facile impedire che informazioni preziose vengano salvate in una memoria persistente. Per questo motivo, è probabile che non sarai in grado di ottenere i registri disabilitati a meno che non esistessero già e siano stati successivamente eliminati.

Le mie precauzioni sono di rimanere dietro una VPN con killwitch e di dedicare il minor tempo possibile il più possibile.

Ci sono una serie di metodi che gli hacker possono utilizzare per ottenere l'IP originale dietro una VPN, a causa dell'architettura delle VPN. Sarebbe preferibile utilizzare Tor o una rete di anonimato simile. Trascorrere il minor tempo possibile potrebbe non essere consigliabile in quanto potresti perdere qualcosa di importante. Rimanere un po 'più a lungo non aumenta le possibilità di essere rilevato. L'hacker potrebbe persino pensare che tu sia un altro hacker che ha introdotto la stessa vulnerabilità. Se ti notano, è probabile che indipendentemente da chi pensano che tu sia, ti disconnetteranno semplicemente dal server.

I log SSH lato server, tra gli altri, probabilmente contengono comunque il tuo indirizzo di casa.

Esiste un modo per recuperare in qualche modo questi registri disabilitati? Cos'altro dovrei guardare se l'obiettivo è quello di raccogliere dati sufficienti per trasformare questo tizio in autorità?

Se i log fossero disabilitati , probabilmente non puoi recuperarli. Se erano ancora scritti ma semplicemente cancellati, potresti essere in grado di recuperarli dallo spazio del filesystem non allocato. A meno che il sistema non si sia spento dopo la compromissione e tu non sia in grado di acquisire un'istantanea completa della memoria del sistema, è improbabile che tu possa recuperare le informazioni fornite nei log.

Come ha già detto David, probabilmente non otterrai molto dal coinvolgimento delle forze dell'ordine. Il meglio che puoi ottenere dall'ottenere queste informazioni è sapere di più su come l'hacker è entrato, permettendoti di chiudere il buco che ha sfruttato ed evitarlo in futuro.

La mia paura è che, anche con un server reimaging e tutto l'hardening di cui sono capace, questo ragazzo conosce i domini del mio sito e probabilmente attaccherà di nuovo. Suppongo che questa dovrebbe essere una domanda a parte, ma dovrei prepararmi a dover rinunciare del tutto ai miei domini a causa del suo livello di abilità? Odio farlo, ma temo che farà tutto il possibile per distruggere di nuovo il server ei siti, quindi procedere come prima alla distruzione della mia rete domestica e di tutti i dispositivi.

Onestamente, non devi preoccuparti delle ritorsioni. Sei solo una garanzia casuale delle loro attività, non una vittima accuratamente selezionata. Probabilmente non ricorderanno nemmeno il tuo dominio in una settimana. Ovviamente queste sono generalizzazioni, e se hai un vero nemico con una vendetta personale contro di te, le cose sono un po 'diverse. Ci sono alcune possibili classificazioni che potrebbero adattarsi al tuo aggressore:

• Curioso : un hacker che si intromette in un sito perché è curioso o desidera migliorare le proprie capacità di hacking lo farà spesso con poco riguardo per i risultati delle proprie azioni, non per prenderti. Se li blocchi fuori, potrebbero voler trovare un modo per rientrare, ma probabilmente non si arrabbieranno. Potrebbero persino vederlo come una sfida.

• Criminale : un hacker puramente criminale ha qualcosa da guadagnare attaccando i server, come denaro o risorse digitali . Non sprecheranno tempo con la vendetta. Questi aggressori sono come l'acqua. Cercano il percorso di minor resistenza.

• Automatizzato : è assolutamente possibile che nessuna persona abbia attaccato il tuo sito. Un'impresa criminale vuole massimizzare i profitti, quindi per essere più efficiente, spesso automatizza gli attacchi. Uno script può eseguire la scansione di Internet alla ricerca di servizi vulnerabili e attaccarli. Dopo l'irruzione, farà il lavoro sporco e tenterà di stabilire la persistenza. Non puoi far arrabbiare uno script.

• Script kiddie - Uno script kiddie è un hacker giovane che pensa di sapere tutto. È più probabile che cerchino vendetta perché potrebbero ritenere personale l'atto di recuperare il tuo server. Non hanno le competenze necessarie per arrecare danni reali alla tua rete domestica. Il peggio che possono fare è tentare di attaccarti. Non preoccuparti per loro.

• Nemico personale - Se hai un vero nemico con una vendetta personale contro di te, hai più di cui preoccuparti . Dato che non hai fornito alcuna indicazione che questo sia il caso, presumo che non lo sia.

È probabile che i suoi livelli di abilità non siano così alti come pensi. Entrare in un sito Wordpress e aggiungere una backdoor non richiede un professionista. In quanto tale, non mi preoccuperei di sbarazzarmi dei tuoi domini. È assolutamente possibile proteggersi da questo hacker utilizzando i consigli forniti in un'altra risposta. Non appena il sito di qualcun altro diventa più vulnerabile del tuo, un hacker va avanti.

In questo caso non sai come è riuscito a entrare l'aggressore, quindi hai ragione a preoccuparti che la stessa identica cosa accadrà di nuovo anche se esegui una reinstallazione completa. Per affrontare questo problema, è necessario configurare il sistema per la registrazione remota. Un computer separato dedicato salva i registri di sistema che non possono essere manomessi. È necessario configurare il registro di accesso del server Web per inviare una copia in tempo reale al server di registrazione e qualsiasi cosa relativa alla sicurezza, oltre al normale registro di sistema. I registri dovrebbero essere separati in modo che se uno diventa troppo grande e deve essere ridotto, non influirà sugli altri.

Non sai come sono entrati. Il tuo computer potrebbe essere compromesso e la password potrebbe essere stata intercettata. Qualcuno del provider VPS potrebbe avervi accesso, oppure qualcuno che noleggiava un altro VPS accanto al tuo potrebbe aver sfruttato qualcosa. Supponendo che queste cose non siano accadute, il passo successivo potrebbe essere quello di garantire che tutto ciò che è vulnerabile sia aggiornato sulla nuova installazione, quindi configurare il software di sicurezza come SELinux. Assicurati che le violazioni delle policy di SELinux vengano inviate al server di registrazione remoto.

Le mie precauzioni sono di rimanere dietro a una vpn killswitched e di passarci il minor tempo possibile.

Questo è infosec voodoo. Supponendo che tu sia dietro un router con PAT, l'attaccante non avrà modo di riconnettersi a te. In effetti, la VPN crea un tunnel attraverso il livello PAT, quindi stai effettivamente aumentando la tua esposizione usandolo! (Sebbene la politica VPN possa impedire le connessioni in entrata.)

Il rischio molto maggiore è che se l'aggressore ha ancora accesso al sistema compromesso, digitare la tua password è pericoloso, ad esempio login interattivo SSH o password sudo potrebbe essere rubato da un utente root sul sistema compromesso. Se hai configurato l'autenticazione con chiave pubblica, allora sarebbe sicuro da usare fintanto che non usi sudo, tuttavia vedi la mia nota sotto sui backup ...

La migliore pratica è rimuovere l'hard guidare dalla macchina compromessa e analizzarla in modo forense su una macchina separata (un professionista userebbe un blocco di scrittura forense) in modo che l'aggressore non abbia la capacità di interferire.

In qualità di cliente VPS, non hai la possibilità di farlo da solo. A meno che il tuo provider non sia disposto a farlo per te (improbabile poiché interromperebbe altri tenant sullo stesso hardware), faresti meglio a eliminare il VPS e ricominciare da capo.

Spero di poterlo ottenere cosa mi serve dai backup e [snip]

I backup dovrebbero essere sempre archiviati su un sistema separato. Se i tuoi unici backup sono archiviati sul servizio compromesso, ti sei messo in una posizione molto negativa. Se devi digitare una password per accedere ai backup, l'aggressore può rubare la tua password.

Anche se non è necessario digitare una password (ad es. autenticazione con chiave pubblica), si ripristineranno i dati che sono già stati violati. Se l'attaccante ha installato una backdoor in precedenza, quella backdoor verrebbe salvata nei backup e si finirebbe per ripristinare quella backdoor sul nuovo server! Oppure, se l'aggressore ha utilizzato altri mezzi per compromettere il sistema, potrebbe aver inserito una backdoor nei tuoi backup per riottenere l'accesso dopo la nuova immagine.

C'è un modo per recuperare in qualche modo questi registri disabilitati?

Sì, è possibile recuperare i dati di registro cancellati utilizzando l'analisi forense, ma per i motivi sopra indicati, è improbabile che questa sia un'opzione disponibile per te.

In alternativa, il tuo provider potrebbe avere registri su quali indirizzi IP si connettono ai propri sistemi e potrebbe essere disposto a condividere quei dati con te se lo chiedi gentilmente.

La mia paura è che, anche con un server reimaging e tutto l'hardening di cui sono capace, questo ragazzo conosca i domini del mio sito e probabilmente attaccherà di nuovo.

Non lo sono davvero sicuro di cosa intendi per "domini". Puoi mantenere il tuo account di hosting e i nomi di dominio esistenti, supponendo che la tua password sia stata reimpostata su qualcosa di sicuro.

Lo scenario più probabile è che tu sia stato compromesso a causa di una vulnerabilità senza patch in WordPress o uno dei tuoi plugin (o codice personalizzato se ne hai scritto tu stesso). Per evitare un futuro compromesso, è necessario ricominciare da capo (non utilizzare un backup dei dati) e assicurarsi che tutte le applicazioni e i plug-in siano la versione più recente. Disattiva tutti i plugin di cui non hai assolutamente bisogno.

Sembra che tu sia un po 'sopra la tua testa. Stai gestendo software complesso da solo e non sai come si è verificato il compromesso precedente. Forse dovresti spostare il tuo sito su un provider che offra patch e sicurezza migliori, come l'hosting tramite WordPress.com, in modo che la responsabilità non sia tua al 100%.

La maggior parte dei provider di hosting rende disponibile una piccola immagine del sistema operativo (il cui scopo è facilitare l'installazione iniziale del sistema operativo quando un client desidera un sistema operativo personalizzato, o correggere errori che impediscono l'avvio del sistema operativo; generalmente chiamato "sistema di salvataggio" o qualcosa del genere) che puoi avviare e ottenere l'accesso al VPS compromesso senza mai lanciare alcun malware che gli aggressori avrebbero potuto mettere lì. Devi solo montare i tuoi volumi, copiare tutti i dati necessari ed esaminarli a tuo piacimento.

Se non puoi farlo, la tua unica preoccupazione è non concedere agli attaccanti ulteriori vettori di attacco. Non eseguire SSH su altre macchine da quella compromessa, assicurati di non utilizzare l'inoltro dell'agente SSH, l'inoltro X11 e simili. Basta tarare i file interessanti e poi scp il file tar dalla macchina locale. Oppure fai qualcosa come ssh -C root @ compromised-host cat / dev / the-root-device >compromised-root-dev.img se sai cosa fare con l'immagine.

O magari chiedi al provider di hosting di creare un'immagine del filesystem e te la invii in qualche modo (il che equivarrebbe alla stessa procedura con cui ho iniziato).

Esiste un modo per recuperare in qualche modo questi log disabilitati?

Sì.

Se l'intera macchina virtuale è tua (e tu no condividendolo con qualcun altro), ottieni un backup dell'intera macchina virtuale. Fallo immediatamente. Ciò includerà tutti i log che la tua macchina ha.

Chiedi anche a Bluehost tutti i log rilevanti che possono fornire. Fallo immediatamente in modo che non perdano i registri. (Molti luoghi eseguiranno ciclicamente i log nel tempo, quindi assicurati che qualcuno sappia come preservare i log ritenuti potenzialmente interessanti.)

Quindi concentrati su come rendere operativa una macchina sicura. (Come menzionato da BlueHost, questo probabilmente implica un ricaricamento del sistema operativo.) Assicurati che i tuoi dati siano al sicuro. (ad esempio, se i tuoi dati includono informazioni sugli account e includono un account che l'attaccante utilizza per ottenere l'accesso, ciò non è sicuro.) Fai in modo che quella macchina sicura utilizzi i dati sicuri che apprezzi. Fai tutto questo il più velocemente possibile.

Cos'altro dovrei guardare se l'obiettivo è raccogliere dati sufficienti per trasformare questo ragazzo in autorità?

Da dove viene questo aggressore? Chi è questo aggressore?

Come osserva la foresta, è improbabile che alle "autorità" importi molto. È probabile che tu sia stato attaccato da qualche altra macchina compromessa. Pertanto, anche la persona che possiede quella macchina è una vittima e cercare di attaccare legalmente quella persona probabilmente non gioverà molto a nessuno. Quello che devi fare è cercare la persona che ha realmente iniziato l'attacco. Sfortunatamente, essendo possibili diversi metodi di reindirizzamento, molti attaccanti non sono tracciabili in modo fattibile.

La mia paura è che, anche con un server reimaging e tutto l'hardening di cui sono capace, questo ragazzo conosce i domini del mio sito e probabilmente attaccherà di nuovo.

Sì. Questa è una preoccupazione. Fino a quando la persona non viene fermata, c'è un tale potenziale. Si spera che tu riesca a prevenire i prossimi attacchi. L'istruzione e gli sforzi continui dovrebbero portarti a quel punto, si spera prima o poi. Nel frattempo, assicurati di avere backup validi e accessibili e di dormire bene la notte sapendo che puoi eseguire il ripristino dal backup.

Suppongo che questa dovrebbe essere una domanda a parte, ma dovrei prepararmi per aver dovuto rinunciare del tutto ai miei domini a causa del suo livello di abilità?

No. Non arrenderti.

Odio farlo, ma temo che farà tutto il possibile per distruggere di nuovo il server e i siti,

Ciò potrebbe accadere se non proteggi il server con maggiore successo. Cerca di passare il tempo a farlo. Inoltre, assicurati di avere buoni backup. Non fidarti solo di Bluehost. Non sto cercando di dire niente di negativo su Bluehost. Sto dicendo, non fidarti solo di una soluzione di backup, specialmente se sono previsti problemi.

quindi procedi come prima per distruggere la mia rete domestica e tutti i dispositivi.

Oh, ora è semplicemente terribile. Perché un danno a una macchina virtuale remota, eseguito su un sito di hosting professionale, influirebbe sulla tua rete domestica? Ci sono alcuni grossi problemi di sicurezza se ciò si verifica.

Ne vale la pena? È capace di fare molto di peggio di quello che ha fatto e temo ritorsioni.

Ottieni backup del tuo sito web.
Ottieni backup di dati importanti sulla tua rete domestica.

Se fai un buon lavoro, anche se il furto finisce per essere possibile (una copia di informazioni riservate potrebbe essere rubata), puoi comunque recuperare.

Ottieni solo un'immagine dell'unità del server web. È improbabile che il montaggio su una nuova macchina virtuale causi rischi significativi. Il codice dell'unità montata non dovrebbe essere eseguito, puoi esaminare i dati a tuo piacimento.

Non è certamente sicuro connettersi a una macchina compromessa con un protocollo di accesso remoto. Sebbene i server siano sempre più disponibili a essere compromessi, il software client che si connette a un server dannoso può essere sfruttato (se esiste un exploit).

Il tentativo di ripristinare il contenuto web dal contenuto sull'unità montata è probabilmente malato consigliato. Le modifiche ai file di codice possono essere abbastanza nascoste e difficili da trovare. Usando PHP, possono facilmente fornire una backdoor alla tua prossima macchina VPS ...

Le cose nel database SQL potrebbero essere modificate per contenere codice per attaccare i visitatori del tuo sito web.

Se vuoi davvero rafforzare il tuo sito sbarazzarti di WordPress. Si stanno facendo cose meravigliose con i generatori di siti statici (Gatsby, Jekyll, ecc ...)

Come alcune informazioni a cui si allude qui, se hai utilizzato queste credenziali compromesse ovunque altro, devi cambiare le tue password. Preferibilmente, dovresti usare un buon strumento come Keepass o Lastpass che ti consente di proteggere un numero qualsiasi di password forti, generate e casuali e devi solo ricordare l'unica passphrase principale.