Likes: 
Het viel mij op dat de load van een van de servers al 24 uur bijzonder hoog was.
Via ssh bleek dat er al 24 uur een telnet proces liep welke flink wat resources trok.
Deze gekilled en op zoek gegaan.
* Via een lek in waarschijnlijk een upload script, heeft iemand het voor elkaar gekregen om de welbekende cgitelnet.pl te uploaden in cgi-bin.
* Deze is vervolgens benaderd en via cgitelnet is vervolgens 3proxy gepoogd up te loaden. Deze is terecht gekomen in /tmp. De .tar.gz is hier vervolgens in uitgepakt, echter kon deze niet geinstalled worden ivm no-exec op /tmp.
* In mijn logs zie ik dat er gepoogd is om oa te pingen naar een (inmiddels niet meer bestaande) viagra pillen site.
* Na 5 minuten proberen zie ik geen activiteit meer. De telnet (via cgitelnet) staat echter daarna nog 24 uur te idlen.
Eea is geen auto-script geweest die eea automatisch probeert de installeren. Dit omdat ik in de logs terug zie dat commando's als ls-all (ipv ls -all) en meer typefouten voorbij komen. IP (mexicaans) is inmiddels geblocked in de firewall.
Iemand enig idee wat nu de bedoeling is geweest? Waarom een proxyserver proberen te installeren? En waarom pingen naar pillensites?
Quote
