Veel outgoing traffic, rare dingen in tcpdump

[Endyyy]

Hallo allemaal,

Sinds een paar dagen heb ik last van veel outgoing traffic. Ik ben een amateur, maar de tcpdump laat volgens mij geen positieve dingen zien. Hier een klein stukje, maar het gaat constant door:



21:05:54.075814 IP rainbowwarrior.torservers.net.8693 > hosted-by.i3d.net.ies-lm: Flags [.], seq 70654517:70655977, ack 3160094378, win 653, length 1460
21:05:54.075874 IP rainbowwarrior.torservers.net.8693 > hosted-by.i3d.net.ies-lm: Flags [P.], seq 1460:2193, ack 1, win 653, length 733
21:05:54.075936 IP tor-relay.cs.usu.edu.etlservicemgr > hosted-by.i3d.net.60429: Flags [P.], seq 3772292667:3772293210, ack 1957282775, win 10194, options [nop,nop,TS val 1014230028 ecr 280217099], length 543
21:05:54.075938 IP anonymous.sec.nl.etlservicemgr > hosted-by.i3d.net.44645: Flags [.], ack 1749436877, win 2547, options [nop,nop,TS val 4208171076 ecr 280217224], length 0
21:05:54.075939 IP nl.toxiroxi.tor.https > hosted-by.i3d.net.60992: Flags [.], ack 1367933050, win 10227, options [nop,nop,TS val 108636007 ecr 280198105], length 0
21:05:54.075940 IP srv.oe3.ph3x.at.etlservicemgr > hosted-by.i3d.net.60326: Flags [.], ack 2179986689, win 3825, options [nop,nop,TS val 588714544 ecr 280198102], length 0
21:05:54.075942 IP 193.179.197.35.24408 > hosted-by.i3d.net.ies-lm: Flags [.], ack 3945043129, win 17520, length 0
21:05:54.075969 IP anonymous.sec.nl.etlservicemgr > hosted-by.i3d.net.44645: Flags [.], ack 2897, win 2550, options [nop,nop,TS val 4208171086 ecr 280217224], length 0
21:05:54.076064 IP 50.7.134.90.etlservicemgr > hosted-by.i3d.net.45599: Flags [.], ack 867083824, win 640, options [nop,nop,TS val 2865778833 ecr 280198103], length 0

Het lukt me niet om te achterhalen waar dit vandaan komt. Iemand enig idee wat dit is, en wat ik het beste kan doen.

[Patrick_st]

etlservicemgr is volgens Google poort 9001 en heeft te maken met Tor verkeer.
Heb je Tor geïnstalleerd op de machine?

[Bart L]

Zo niet, begin maar met csf installatie. Feitelijk kun je dan het beste opnieuw beginnen met opbouwen op een schone machine


Sent from my iPhone using webhostingtalk mobile app

[Endyyy]

Nee, dat heb ik niet zelf geinstalleerd. Ik was er al bang voor dat dit foute boel was. Heeft de aanvaller root toegang nodig gehad om dit te installeren?

Wat ook apart is, is dat ik de grote hoeveelheid dataverkeer niet zie met iftop of nload. Is daar dan ook mee geknoeid?

[uHost]

Op basis van de gegevens die we nu hebben kunnen we niet concluderen dat iemand root toegang heeft gehad. Je zou de processen moeten vinden die dit verkeer genereren. Mijn ervaring is dat als je het proces ook niet kunt vinden je beter het zekere voor het onzekere kunt nemen en zoals eerder aangegeven helemaal opnieuw beginnen, maar voordat je dat doet is het wellicht handig om te achterhalen hoe dit heeft kunnen gebeuren, want voor je het weet gebeurt dit weer.

En laat daar nu de uitdaging in zitten, je geeft aan dat je een amateur bent, zegt weinig over je kennis maar ik neem aan dat je daarmee bedoelt dat je kennis niet ver genoeg rijkt. Ik zal maar beginnen met wat pointers.

top (bekijk welke processen meeste CPU tijd in beslag nemen, vaak een goede aanwijzing)
ps -auxww (bekijk of je processen ziet die daar niet horen; is lastig als je niet weet welke processen er wel horen!)
netstat -npl (bekijk welke processen luisteren op binnenkomend verkeer)
server-status pagina van Apache

Heb je een kan koffie gezet, doe dan:
lsof > /tmp/lsof.txt

Bekijk dan de inhoud van lsof.txt, die kan koffie zul je nodig hebben. lsof toont namelijk alle bestanden die in gebruik zijn, en geeft aan door welk proces. Succes!

[Spyder01]

Als je via ps axufwfw kunt achterhalen welk process id er bij hoort, kun je vervolgens met lsof -p process id (bijvoorbeeld lsof -p 2598) zien welke files, libraries e.d. in gebruik zijn. Maar om dat goed te kunnen doen (weten wat "niet goed is") kan jouw beperkte kennis je opbreken.