VIRUS sur DOMOTICZ

[e111111]

Salut iloveraffa,

j'ai commencé par regarder comment fonctionnait cette saleté, puisqu'il m'en laissait le loisir,
j'ai noté les lignes qu'il ajoutait dans mes crons, avec une adresse ip différente de celle que l'on trouve dans les liens en haut du post.

Ensuite, un par un j'ai nettoyé mais fichiers cron (il y en a plusieurs à différents endroits) puis à chaque fichier nettoyé je l'ai ensuite verrouillé en écriture. (attention d'en prendre la liste avant de modifier)

Étape suivante, j'ai repris à peu de choses près que qui est indiqué dans les liens cités au début, suppression des fichiers, kill des tâches ...

Ensuite, rebooté, mise à jour de DSM, et laissé en l'état quelques jours pour voir si tout fonctionnait correctement, après avoir remis mon cron en état avec mes lancements de tâches.

Quand j'ai vu que tout était ok, j'ai redonné leurs droits initiaux aux fichiers qui étaient dans ma liste, et je les ai vérifiés de temps en temps pour voir si pas de récidive, jusque là tout semble ok, le NAS est redescendu d'une bonne dizaine de degrés et Domoticz se comporte de nouveau normalement.

Voilà, j'espère t'avoir un peu aidé, courage, il faut y passer un peu de temps, mais ce malware n'est pas très méchant, cela aurait pu être pire, une bonne leçon pour sécuriser sa machine...

[iloveraffa]

Merci de ton aide ! Ça m'a l'air assez compliqué et technique, moi quand je vais sur :

Code : Tout sélectionner

crontab -e

j'avais ajouté une seule ligne donc en la supprimant, et en enregistrant le fichier cron ça devrait repartir ? Je ne pense pas que j'ai forcément bien saisi ce que tu m'expliquais...

Mais e vais peut-être partir sur une réinstallation totale du Raspberry, en ayant fait une sauvegarde préalable de Domoticz... J'ai vraiment pas pigé comment cette erreur :

Code : Tout sélectionner

ERROR: ld.so: object '/usr/local/lib/libkk.so' from /etc/ld.so.preload cannot be preloaded

pouvait anéantir tout le système, c'est terrible !

[e111111]

Bonjour,

ah oui, attention, je t'ai donné la procédure pour le Syno, pour la RPI c'est un peu différent au niveau des
emplacements de fichiers et procédures, mais le fond reste le même, il faut avoir accès root par SSH.

[iloveraffa]

Et saurais-tu m'indiquer l'emplacement de ces "fichiers et procédures" sur RPI par hasard ?

[e111111]

Je connais pas suffisamment le RPI, un des liens cités plus haut concerne cette machine,
après pour les crons, tu fais une recherche cron*.*, c'est comme ça que j'ai fait, après sur le syno
j'utilise Winscp, donc je ne saurais t'expliquer pour le pi.