Je vais commencer par ce qu'il faut faire avec votre système actuel:

1. Entrez et faites une sauvegarde de tout.
2. À moins que vous ne puissiez démontrer majeur pertes (10k $ +), je ne commencerais même pas à penser à impliquer les forces de l'ordre. Ils ont les mains pleines et, compte tenu des tendances actuelles sur Internet, il est fort probable que votre coupable se trouve dans un pays différent du vôtre. Personne ne va faire un processus d'extradition pour les sites Wordpress piratés. (Désolé, je sais que c'est difficile à entendre, mais c'est la réalité.)
3. Gravez le serveur actuel au sol.
4. Considérez que chaque mot de passe de votre ancien serveur est compromis.

Maintenant, comment construisez-vous un nouveau serveur pour éviter que cela ne se reproduise? Je vais faire quelques hypothèses basées sur ce que vous avez écrit dans votre message:

• Plusieurs installations de Wordpress.
• mod_php sur Apache
• CPanel / WHM

Voici quelques recommandations:

1. Obtenez votre nouveau serveur.
2. Effectuez une nouvelle installation de vos applications et configurez mots de passe / identifiants forts qui n'ont rien à voir avec les anciens.
3. Configurez SELinux pour limiter au maximum l'exposition de chaque site.
4. Faites attention aux plugins wordpress que vous installez. Ils ont un bilan de sécurité bien pire que wordpress core.
5. Assurez-vous que les répertoires inscriptibles par le serveur Web n'interprètent jamais les fichiers comme PHP.
6. Utilisation Authentification à 2 facteurs pour tout ce que vous pouvez.
   • CPanel
   • SSH

Sans pouvoir effectuer de criminalistique numérique sur votre système, il est difficile de le savoir avec certitude, mais je vais prendre des précautions et deviner ce qui s'est passé:

1. L'attaquant exécute un scanner à la recherche d'installations Wordpress vulnérables.
2. L'attaquant trouve Wordpress vulnérable sur votre serveur. Obtient RCE en tant que serveur Web.
3. Vide les hachages de mots de passe pour les bases de données wordpress.
4. Cracks les hachages de mots de passe, l'un d'eux correspond à un mot de passe WHM / CPanel.
5. Accède à CPanel. Peut-être en tant qu'administrateur, ou peut-être que la version de CPanel avait un bogue qui permet d'élever les privilèges à l'administrateur.

Vous parlez de la peur des représailles et de l'attaquant qui vous poursuit encore et encore. À moins que ce ne soit personnel (une sorte de vendetta), je ne m'inquiéterais pas à ce sujet. Les attaquants comme celui-ci passeront simplement à leur prochain hôte compromis. Ne leur donnez pas une autre chance.

La réponse de David a donné d'excellentes recommandations (que je vous recommande vivement de suivre). Je vais plutôt concentrer ma réponse sur vos peurs spécifiques dans l'espoir de les atténuer.

Ce que je souhaite accomplir est d'acquérir autant d'informations que possible sur le hacker. Je souhaite télécharger mes anciennes sauvegardes. Je veux entrer et sortir le plus tôt possible.

Vous dites que vous voulez obtenir le plus d'informations possible sur cette personne. Cela peut ne pas être pratique s'ils utilisent une forme quelconque d'anonymat. L’analyse post-interruption est bien entendu toujours importante. La première étape serait de faire une sauvegarde complète du disque. Si vous n'avez pas encore arrêté le système depuis qu'il a été compromis, vous pourrez peut-être également prendre un instantané de la mémoire sur le système, ce qui vous permettra d'effectuer ultérieurement une analyse médico-légale. La mémoire contiendra beaucoup plus d'informations sur l'attaquant car il ne peut pas contrôler de manière fiable ce qui reste en mémoire, alors qu'il est très facile d'empêcher l'enregistrement d'informations précieuses sur un stockage persistant. Pour cette raison, il est probable que vous ne pourrez pas obtenir les journaux désactivés à moins qu'ils n'existent déjà et aient été supprimés par la suite.

Mes précautions sont de rester derrière un vpn commuté et de passer aussi peu de temps là que possible.

Il existe un certain nombre de méthodes que les pirates peuvent utiliser pour obtenir l'IP d'origine derrière un VPN, en raison de l'architecture des VPN. L'utilisation de Tor ou d'un réseau d'anonymat similaire serait préférable. Passer le moins de temps possible peut ne pas être souhaitable car vous risquez de manquer quelque chose d'important. Rester un peu plus longtemps n'augmente pas les chances d'être détecté. Le pirate peut même penser que vous êtes un autre pirate qui a fait irruption en utilisant la même vulnérabilité. S'ils vous remarquent, peu importe qui ils pensent que vous êtes, ils vous déconnecteront simplement du serveur.

Les journaux SSH côté serveur, entre autres, contiennent probablement votre adresse personnelle de toute façon.

Existe-t-il un moyen de récupérer d'une manière ou d'une autre ces journaux désactivés? Que dois-je regarder d'autre si l'objectif est de compiler suffisamment de données pour transformer ce type en autorités?

Si les journaux ont été désactivés , vous ne pourrez probablement pas les récupérer. S'ils étaient toujours écrits mais simplement supprimés, vous pourrez peut-être les récupérer à partir de l'espace du système de fichiers non alloué. À moins que le système ne se soit arrêté depuis le compromis et que vous ne puissiez prendre un instantané complet de la mémoire du système, il est peu probable que vous puissiez récupérer les informations fournies dans les journaux.

Comme David l'a déjà mentionné, vous n'obtiendrez probablement pas grand-chose en impliquant les forces de l'ordre. Le mieux que vous puissiez obtenir en obtenant ces informations est d'en savoir plus sur la façon dont le pirate a fait irruption, ce qui vous permet de fermer le trou qu'ils ont exploité et de l'éviter à l'avenir.

Ma peur est que, même avec un serveur réimagé et tout le durcissement dont je suis capable, ce gars connaît les domaines de mon site et attaquera probablement à nouveau. Je suppose que cela devrait être une question distincte, mais dois-je me préparer à devoir abandonner complètement mes domaines en raison de son niveau de compétence? Je déteste le faire, mais j'ai peur qu'il fasse tout ce qu'il peut pour détruire à nouveau le serveur et les sites, puis procède comme avant à la destruction de mon réseau domestique et de tous les appareils.

Honnêtement, vous n'avez pas à vous soucier des représailles. Vous n'êtes qu'une garantie aléatoire de leurs activités, pas une victime soigneusement sélectionnée. Ils ne se souviendront probablement même pas de votre domaine dans une semaine. Bien sûr, ce sont des généralisations, et si vous avez un ennemi réel avec une vendetta personnelle contre vous, les choses sont un peu différentes. Il existe quelques classifications possibles qui peuvent convenir à votre attaquant:

• Curieux - Un pirate qui s'introduit dans un site parce qu'il est curieux ou veut améliorer ses compétences en piratage le fera souvent sans se soucier des résultats de ses actions, mais il le fait pas pour vous. Si vous les verrouillez, ils voudront peut-être trouver un moyen de revenir, mais ils ne seront probablement pas en colère. Ils pourraient même y voir un défi.

• Criminel - Un hacker purement criminel a quelque chose à gagner en attaquant des serveurs, tels que de l'argent ou des ressources numériques . Ils ne perdront pas de temps à se venger. Ces attaquants sont comme de l'eau. Ils recherchent le chemin de moindre résistance.

• Automatisé - Il est très possible qu'aucune personne n'ait attaqué votre site. Une entreprise criminelle veut maximiser ses profits, donc pour être plus efficace, elle automatise souvent les attaques. Un script peut rechercher sur Internet des services vulnérables et les attaquer. Après son effraction, il fera son sale boulot et tentera d'établir sa persévérance. Vous ne pouvez pas mettre un script en colère.

• Script kiddie - Un script kiddie est un hacker junior qui pense tout savoir. Ils sont plus susceptibles de chercher à se venger, car ils peuvent considérer que vous récupérez votre serveur comme personnel. Ils n'ont pas les compétences nécessaires pour nuire réellement à votre réseau domestique. Le pire qu'ils puissent faire est de tenter de vous DDoS. Ne vous inquiétez pas pour eux.

• Ennemi personnel - Si vous avez un ennemi réel avec une vendetta personnelle contre vous, vous avez plus à vous soucier . Comme vous n’avez pas indiqué que c’était le cas, je suppose que ce n’est pas le cas.

Il y a de fortes chances que son niveau de compétence ne soit pas aussi élevé que vous le pensez. Pénétrer dans un site Wordpress et ajouter une porte dérobée ne prend pas un professionnel. En tant que tel, je ne craindrais pas de me débarrasser de vos domaines. Il est absolument possible de se protéger de ce hacker en utilisant les conseils donnés dans une autre réponse. Dès que le site de quelqu'un d'autre est plus vulnérable que le vôtre, un pirate passe à autre chose.

Dans ce cas, vous ne savez pas comment l'attaquant a pu entrer, vous avez donc raison de craindre que la même chose se reproduise même si vous effectuez une réinstallation complète. Pour résoudre ce problème, vous devez configurer votre système pour la journalisation à distance. Un ordinateur séparé dédié enregistre les journaux système qui ne peuvent pas être falsifiés. Vous devez configurer votre journal d'accès au serveur Web pour envoyer une copie en temps réel au serveur de journalisation ainsi que tout ce qui concerne la sécurité, en plus du journal système normal. Les journaux doivent être séparés afin que si l'un d'entre eux devient trop gros et doit être réduit, cela n'affectera pas les autres.

Vous ne savez pas comment ils sont entrés. Votre propre ordinateur pourrait être compromis et le mot de passe aurait pu être intercepté. Quelqu'un chez le fournisseur de VPS aurait pu y accéder, ou quelqu'un qui louait un autre VPS à côté du vôtre aurait pu exploiter quelque chose. En supposant que ces choses ne se sont pas produites, la prochaine étape peut être de s'assurer que tout ce qui est vulnérable est mis à jour lors de la nouvelle installation, puis de configurer un logiciel de sécurité tel que SELinux. Assurez-vous que les violations de la politique SELinux sont envoyées au serveur de journalisation distant.

Mes précautions sont de rester derrière un VPN Killswitched et d'y passer le moins de temps possible.

C'est le vaudou infosec. En supposant que vous êtes derrière un routeur avec PAT, l'attaquant n'aura aucun moyen de se reconnecter à vous. En fait, le VPN crée un tunnel à travers la couche PAT, vous augmentez donc votre exposition en l'utilisant! (Bien que la politique VPN puisse empêcher les connexions entrantes.)

Le risque beaucoup plus grand est que si l'attaquant a toujours accès au système compromis, la saisie de votre mot de passe est dangereuse, c'est-à-dire un login interactif SSH ou un mot de passe sudo pourrait être volé par un utilisateur root sur le système compromis. Si vous avez configuré l'authentification par clé publique, vous pouvez l'utiliser en toute sécurité tant que vous n'utilisez pas sudo, mais consultez ma note ci-dessous sur les sauvegardes ...

La meilleure pratique consiste à supprimer le disque dur lecteur de la machine compromise et l'analyser de manière légale sur une machine distincte (un professionnel utiliserait un bloqueur d'écriture médico-légale) afin que l'attaquant n'ait pas la possibilité d'intervenir.

En tant que client VPS, vous n'êtes pas en mesure de le faire vous-même. À moins que votre fournisseur ne veuille le faire pour vous (peu probable car cela perturberait d'autres locataires sur le même matériel), vous feriez mieux de supprimer le VPS et de repartir de zéro.

J'espère que je peux obtenir ce dont j'ai besoin des sauvegardes et des [snip]

Les sauvegardes doivent toujours être stockées sur un système séparé. Si vos seules sauvegardes sont stockées sur le service compromis, alors vous vous êtes mis dans une très mauvaise position. Si vous devez saisir un mot de passe pour accéder aux sauvegardes, l'attaquant peut voler votre mot de passe.

Même si vous n'avez pas besoin de saisir un mot de passe (par exemple, l'authentification par clé publique), vous restaurez des données qui ont déjà été violées. Si l'attaquant avait installé une porte dérobée auparavant, cette porte dérobée serait enregistrée dans les sauvegardes et vous finiriez par restaurer cette porte dérobée sur votre nouveau serveur! Ou si l'attaquant a utilisé d'autres moyens pour compromettre le système, l'attaquant aurait pu insérer une porte dérobée dans vos sauvegardes afin de retrouver l'accès après que vous ayez ré-image.

Y a-t-il un moyen de d'une manière ou d'une autre récupérer ces journaux désactivés?

Oui, il est possible de récupérer les données supprimées du journal à l'aide d'une analyse médico-légale, mais pour les raisons indiquées ci-dessus, il est peu probable que cette option soit disponible pour vous.

Comme alternative, votre fournisseur peut avoir des journaux sur les adresses IP qui se connectent à leurs systèmes, et il peut être disposé à partager ces données avec vous si vous le demandez gentiment.

Je crains que, même avec un serveur réimagé et tout le durcissement dont je suis capable, ce type connaisse les domaines de mon site et attaquera probablement à nouveau.

Je ne le suis pas vraiment sûr de ce que vous entendez par "domaines". Vous pouvez conserver votre compte d'hébergement et vos noms de domaine existants, en supposant que votre mot de passe a été réinitialisé à quelque chose de sécurisé.

Le scénario le plus probable est que vous avez été compromis en raison d'une vulnérabilité non corrigée dans WordPress ou l'un de vos plugins (ou code personnalisé si vous en avez écrit vous-même). Pour éviter un futur compromis, vous devez partir de zéro (n'utilisez pas de sauvegarde de données) et vous assurer que toutes vos applications et plugins sont la dernière version. Désactivez tous les plugins dont vous n'avez pas absolument besoin.

On dirait que vous êtes peut-être un peu au-dessus de votre tête. Vous gérez vous-même des logiciels complexes et vous ne savez pas comment le compromis précédent s'est produit. Peut-être devriez-vous déplacer votre site vers un fournisseur offrant de meilleurs correctifs et une meilleure sécurité, comme l'hébergement via WordPress.com, afin que la responsabilité ne soit pas à 100% sur vous.

La plupart des hébergeurs mettent à disposition une petite image du système d'exploitation (dont le but est de faciliter l'installation initiale du système d'exploitation lorsqu'un client souhaite un système d'exploitation personnalisé, ou de corriger les erreurs empêchant le système d'exploitation de démarrer; généralement appelé «système de secours» ou quelque chose du genre) que vous pouvez démarrer et accéder au VPS compromis sans jamais lancer de malware que les attaquants auraient pu y mettre. Il vous suffit de monter votre ou vos volumes, de copier toutes les données nécessaires et de les examiner à votre guise.

Si vous ne pouvez pas faire cela, votre seul souci est de ne pas accorder d’autres vecteurs d’attaque aux attaquants. N'utilisez pas de SSH vers d'autres machines à partir de la machine compromise, assurez-vous de ne pas utiliser le transfert d'agent SSH, le transfert X11, etc. Tarez simplement les fichiers intéressants, puis scp le fichier tar de votre machine locale. Ou faites quelque chose comme ssh -C root @ compromised-host cat / dev / the-root-device >compromised-root-dev.img si vous savez quoi faire avec l'image alors.

Ou peut-être simplement demander au fournisseur d'hébergement de créer une image du système de fichiers et de vous l'envoyer d'une manière ou d'une autre (ce qui équivaudrait à la même procédure avec laquelle j'ai commencé).

Existe-t-il un moyen de récupérer d'une manière ou d'une autre ces journaux désactivés?

Oui.

Si la machine virtuelle entière vous appartient (et que vous ne l'êtes pas le partager avec quelqu'un d'autre), obtenez une sauvegarde de l'ensemble de votre machine virtuelle. Faites-le immédiatement. Cela inclura tous les journaux de votre machine.

Demandez également à Bluehost les journaux pertinents qu'il peut fournir. Faites-le immédiatement afin qu'ils ne perdent pas les journaux. (De nombreux endroits feront tourner les journaux au fil du temps, alors assurez-vous que quelqu'un sait comment conserver les journaux qui sont considérés comme potentiellement intéressants.)

Ensuite, concentrez-vous sur la mise en service d'une machine sûre. (Comme le mentionne BlueHost, cela implique probablement un rechargement du système d'exploitation.) Assurez-vous que vos données sont en sécurité. (par exemple, si vos données incluent des informations sur les comptes et incluent un compte que l'attaquant utilise pour y accéder, cela n'est pas sûr.) Faites en sorte que cette machine sûre utilise les données sûres que vous appréciez. Faites tout cela aussi vite que possible.

Que dois-je regarder d'autre si l'objectif est de compiler suffisamment de données pour transformer ce type en autorités?

D'où vient cet attaquant? Qui est cet attaquant?

Comme le note Forest, il est peu probable que les "autorités" s'en soucient beaucoup. Il y a de fortes chances que vous ayez été attaqué par une autre machine compromise. Par conséquent, la personne qui possède cette machine est également une victime, et essayer d'attaquer légalement cette personne ne profitera probablement pas beaucoup à personne. Ce que vous devez faire est de vous attaquer à la personne qui a vraiment lancé l'attaque. Malheureusement, plusieurs méthodes de redirection étant possibles, de nombreux attaquants ne sont pas traçables.

Ma crainte est que, même avec un serveur réimagé et tout le durcissement dont je suis capable, cela mec connaît les domaines de mon site et va probablement attaquer à nouveau.

Ouais. C'est une préoccupation. Jusqu'à ce que la personne soit arrêtée, il y a un tel potentiel. J'espère que vous réussirez mieux à empêcher les prochaines attaques. L'éducation et les efforts continus devraient vous amener à ce point, espérons-le le plus tôt possible. En attendant, assurez-vous d'avoir de bonnes sauvegardes accessibles et de bien dormir la nuit en sachant que vous pouvez restaurer à partir d'une sauvegarde.

Je suppose que cela devrait être une question distincte, mais devrais-je me préparer de devoir abandonner complètement mes domaines en raison de son niveau de compétence?

Non. Ne cédez pas.

Je déteste le faire, mais j'ai peur qu'il fasse tout ce qu'il peut pour détruire à nouveau le serveur et les sites,

Cela peut arriver si vous ne sécurisez pas le serveur avec plus de succès. Essayez de passer du temps à faire cela. Assurez-vous également que vous disposez de bonnes sauvegardes. Ne faites pas simplement confiance à Bluehost. Je n'essaye pas de dire quelque chose de mal à propos de Bluehost. Je dis, ne faites pas confiance à une seule solution de sauvegarde, surtout si des problèmes sont attendus.

puis continuez comme avant pour détruire mon réseau domestique et tous les appareils.

Oh, c'est tout simplement terrible. Pourquoi des dommages à une machine virtuelle distante, exécutée sur un site d'hébergement professionnel, affecteraient-ils votre réseau domestique? Il y a des problèmes de sécurité majeurs si cela se produit.

Cela en vaut-il la peine? Il est capable de bien pire que ce qu'il a fait et je crains des représailles.

Obtenez des sauvegardes de votre site Web.
Obtenez des sauvegardes de données importantes sur votre réseau domestique.

Si vous faites du bon travail, même si le vol finit par être possible (une copie d'informations confidentielles peut être volée), vous pouvez toujours récupérer.

Obtenez simplement une image du lecteur du serveur Web. Il est peu probable que son montage sur une nouvelle machine virtuelle présente un risque significatif. Le code du lecteur monté ne doit pas s'exécuter, vous pouvez parcourir les données à votre guise.

Il n'est certainement pas sûr de se connecter à une machine compromise avec un protocole d'accès à distance. Alors que les serveurs sont plus constamment disponibles pour être compromis, le logiciel client se connectant à un serveur malveillant peut être exploité (si un exploit existe).

Tenter de restaurer votre contenu Web à partir du contenu du lecteur monté est probablement mauvais informé. Les modifications apportées aux fichiers de code peuvent être assez cachées et difficiles à trouver. En utilisant PHP, ils peuvent facilement fournir une porte dérobée à votre prochaine machine VPS ...

Les éléments de la base de données SQL peuvent être modifiés pour contenir du code pour attaquer les visiteurs de votre site Web.

Si vous voulez vraiment durcir votre site vous débarrasser de WordPress. Des choses merveilleuses sont faites avec les générateurs de sites statiques (Gatsby, Jekyll, etc ...)

Comme certaines informations y ont fait allusion, si vous avez utilisé ces identifiants compromis n'importe où , vous devez changer vos mots de passe. De préférence, vous devriez utiliser un bon outil comme Keepass ou Lastpass qui vous permet de protéger n'importe quel nombre de mots de passe forts, générés et aléatoires, et vous n'avez qu'à vous souvenir de la seule phrase de passe principale.