Вредоносные плагины и бэкдоры: как не заразить сервер

Коротко: качайте плагины только с Hangar, Modrinth, SpigotMC, BukkitDev или из релизов GitHub самого автора и никогда не ставьте «бесплатные» сливы платных плагинов. Проверяйте, кому выдан OP и какие плагины лежат в plugins/. Если сервер заражён, считайте скомпрометированной всю машину: остановите сервер, смените все пароли и ключи с другого устройства и восстановите сервер с чистых файлов.

Почему плагин опасен#

Плагин — это Java-код, который сервер запускает у себя. Ограничений у него нет: он может выдать OP любому нику, выполнить команду консоли, прочитать конфиги с паролями баз данных, скачать и запустить другую программу. Документация Paper предупреждает об этом отдельным блоком: плагины получают полный и неограниченный доступ к серверу и к машине, поэтому ставить их можно только из источников, которым вы полностью доверяете.

Откуда берутся вредоносные плагины#

Реальный случай: fractureiser#

В 2023 году на CurseForge и dev.bukkit.org нашли вирус fractureiser. По данным команды, которая его расследовала, автор загрузил несколько безобидных на вид модов и плагинов. Один из них скачал разработчик популярной сборки, вирус заразил файлы на его компьютере — и заражённая копия рабочего проекта ушла на CurseForge как обычный файл. Так заразились копии нескольких популярных плагинов и модов.

• Вирус работал на Windows и Linux и состоял из нескольких стадий: заражённый jar скачивал и запускал следующую.
• Последняя стадия пыталась заразить все jar-файлы на диске, украсть cookies и пароли браузеров, данные Discord, Microsoft и Minecraft, подменить адреса криптокошельков в буфере обмена.
• Команда расследования советовала считать потенциально опасной любую загрузку с CurseForge и BukkitDev с февраля по июнь 2023 года.
• На Linux заражение выдавали файлы ~/.config/.data/lib.jar и служба systemd-utility.service.

Вывод неприятный: официальный каталог снижает риск, но не обнуляет его. Поэтому кроме выбора источника нужны проверка и готовый план на случай заражения.

Где качать плагины#

• Hangar — каталог плагинов от PaperMC; документация Paper называет его лучшим местом для поиска.
• Modrinth и BukkitDev — их Paper тоже называет; SpigotMC — каталог плагинов сообщества Spigot.
• GitHub — многие авторы выкладывают сборки в релизах. Берите релиз из репозитория автора, на который ведёт страница плагина, а не из форков.
• Платный плагин — только там, где его продаёт автор. Если он «бесплатно» лежит на другом сайте, это слив.

Как проверить сервер#

1. 1

   Сверьте список плагинов

   plugins в консоли и содержимое папки plugins/. Каждый jar должен быть вам знаком: вы помните, откуда его скачали.

2. 2

   Проверьте OP

   Откройте ops.json: там должен быть только владелец. Лишний оператор — первый признак бэкдора, подробнее — в статье OP и белый список.

3. 3

   Проверьте права

   /lp log recent в LuckPerms покажет, кто и когда менял права. Право * у случайного игрока — тревога.

4. 4

   Посмотрите лог

   В logs/latest.log ищите команды, которые никто из команды не вводил, и входы с незнакомых ников с правами.

5. 5

   Проверьте машину

   Незнакомые процессы, службы systemd и задания cron на VPS. Если сервер в Docker, проверьте и хост.

Для fractureiser команда расследования выпустила сканеры jar-файлов, например от Overwolf. Но сканер ищет известную заразу и новый бэкдор может не увидеть — поэтому главная защита остаётся прежней: известный источник.

Если сервер заражён#

1. 1

   Остановите сервер

   И отключите его от сети, если можете. Считайте скомпрометированной всю машину, а не одну папку.

2. 2

   Смените пароли с другого устройства

   Хостинг, панель, SSH, почта, Discord, аккаунт Microsoft, пароли баз данных и RCON, forwarding.secret прокси. Включите двухфакторный вход везде, где он есть.

3. 3

   Перевыпустите ключи

   Ключ лицензии DGuard лежит в plugins/DGuard/config.yml: выпустите новый ключ в панели — старый сразу перестанет работать.

4. 4

   Переустановите с чистого листа

   Команда расследования fractureiser советует как надёжный вариант просто переустановить систему. Миры и конфиги возьмите из бэкапа до заражения, а все jar скачайте заново из официальных источников — копии jar из бэкапа тоже могут быть заражены.

5. 5

   Проверьте мир

   Посмотрите CoreProtect: что успели сделать операторы-самозванцы, и откатите.

Античит из надёжного источника#

Античит стоит на сервере с теми же правами, что и любой плагин, поэтому к нему требования строже всего. DGuard — лучший античит для современного сервера Minecraft — скачивается только из вашей панели на сайте DGuard, а обновляется сам: новая версия ставится только после проверки подписи, и если в скачанном файле изменён хоть байт, подпись не сойдётся и файл будет удалён. «Слитый» DGuard без ключа из панели не заработает — и неизвестно, что в него добавили.

Готовые настройки DGuard из магазина конфигов — это файлы config.yml, а не код: каждую версию перед публикацией проверяет команда DGuard, а ключи, пароли, токены, хосты и IP вырезаются из файла автоматически.

Частые вопросы#