Docs

Guardian CCTV Seguridad: backdoors

Seguridad: backdoors

Al arrancar (tras Resources.BootGraceSeconds) Guardian lee, sin modificar nada, los scripts de todos los recursos iniciados y los archivos de txAdmin que usan algunos backdoors. Si encuentra algo grave lo resume en la consola con SERVIDOR COMPROMETIDO: N archivos en M recursos..., un aviso al staff y un único mensaje al webhook resources. guardian_scan repite el análisis.

Qué busca, entre otras cosas:

  • Código cifrado que se descifra y se ejecuta con eval (una lista larga de números y String.fromCharCode).
  • Scripts con letras falsas en el nombre, por ejemplo app.cсѕ.js: letras cirílicas que imitan .css, .json o .html.
  • DLL .net.dll declaradas como script de servidor; si además lanzan programas (ProcessStartInfo), es grave.
  • monitor/resource/sv_reportHeap.js (txAdmin) con código añadido al final.
  • Dominios y nombres conocidos (9ns1.com, miausass, cipher-panel.me).

Una familia muy extendida (dominios *.9ns1.com) se mete en un recurso filtrado ("leak") de pago, copia su cargador en decenas de recursos, añade una DLL que ejecuta programas en la máquina e instala en Windows un vigilante que vuelve a infectar el servidor aunque lo limpies. Si te sale el aviso:

  1. Apaga el servidor. No lo vuelvas a arrancar con esos archivos.
  2. Si el servidor corre en Windows, revisa esa máquina (o pide ayuda): en HKCU\Software\Microsoft\Windows\CurrentVersion\Run una entrada que lance wscript.exe con un .vbs (por ejemplo NodeCacheValidator con %LOCALAPPDATA%\npm-cache\validate.vbs), archivos .config o .loader-backup en npm-cache, %TEMP%\node-perf.log, y procesos wscript.exe en marcha. Lo más seguro es reinstalar Windows.
  3. No limpies a mano archivo por archivo: monta el servidor de nuevo con artefactos oficiales y recursos descargados de su origen. Borra cualquier recurso de pago que no hayas comprado tú.
  4. Desde otro dispositivo limpio, cambia todas las contraseñas: base de datos, sv_licenseKey, txAdmin, rcon, webhooks de Discord, Discord, correo, GitHub, Tebex y lo que tuvieras guardado en el navegador de esa máquina.

El screenshot-basic que acompañaba a Guardian 2 contenía un backdoor de ejecución remota. Si lo llegaste a arrancar, borra esa carpeta, instala el oficial y sigue los pasos anteriores.