Onderwerp: server gehackt ??

Hallo allemaal,

Volgens mij heb ik een ernstig probleem... mijn cpu is constant bezig met taken als ik bijv. top doe kan ik dit zien en daar staat apache met het comando perl te draaien en houd de cpu constant tot 99% bezig !

2939 apache 25 0 20348 4828 1816 R 99.9 0.2 606:00.17 perl

dit staat ook in mijn log wat ik opgestuurd krijg:

User apache:
/tmp/.../.ICE-unix/massbots/y2kupdate >/dev/null 2>&1: 1229 Time(s)

Connection attempts using mod_proxy:
128.241.236.106 -> 128.241.236.106:56213 : 6 Time(s)
194.109.21.230 -> 194.109.153.5:11111 : 2 Time(s)
212.241.208.226 -> 212.241.177.206:7250 : 2 Time(s)
66.207.164.22 -> 66.207.164.23:6670 : 4 Time(s)
66.252.30.122 -> 66.252.30.122:6667 : 2 Time(s)

ik heb al geprobeerd locate te doen voor y2kupdate en de contab dire bij apache staat eriuit gehaald... maar kennelijk makt dit niet uit ! weet iemand wat ik moet doen ? want volgens mij is mijn server gehackt !!

HELP!

ik draai fedora core 4 en plesk 8.1

bedankt voor de reacties !!

groeten Armando

killall perl

en dan je /tmp ff securen:

Met het volgende script kunt u veilige tmp mappen maken waarin kwaadwillenden oa. geen software kunnen starten.

touch ~/secure_tmp.sh

en voorzie het bestand van de volgende regels code:

---------KNIPPEN------------
#!/bin/sh
dd if=/dev/zero of=/tmp.bin bs=1M count=1000
mkfs.ext3 /tmp.bin -F
mv /tmp /tmp.old
mv /usr/tmp /usr/tmp.old
mv /var/tmp /var/tmp.old
mkdir /tmp
mount /tmp.bin /tmp -o noexec,nosuid,rw,loop
ln -s /tmp /usr/tmp
ln -s /tmp /var/tmp
chmod 777 /tmp
chmod 777 /usr/tmp
chmod 777 /var/tmp
echo "/tmp.bin /tmp ext3 noexec,nosuid,rw,loop 0 0" >> /etc/fstab
---------KNIPPEN------------

u kunt het uitvoeren met sh ~/secure_tmp.sh

Er zal nu een 1000mb bestand gemaakt worden die onder /tmp gemount wordt. Via een symlink zal dit bestand ook via /usr/tmp en /var/tmp beschikbaar zijn. De oude tmp mappen worden hernoemd naar tmp.old.

ook ls -las /tmp om dot folders weer te geven

ik krijg ook het volgende te zien:

[root@centralnexus tmp]# ls -h
0xc0000000 h00lyshit krad krad3 logwatch.eropI4jz psa

[root@centralnexus tmp]# cd /tmp/.
./ ../ .../ .home/ .ICE-unix/

[root@centralnexus tmp]# cd /tmp/.../
adeus bnc .ICE-unix/ massbots.tgz r00t shell.php telnetd
bd bot iv pico root sky zc.pl

DAMN

het gaat echt niet goed volgens mij !!!

als ik killall perl doe, blijft hij erbij staan in de lijst bij top

ok ik heb het batch bestand aangemaakt en uitgevoerd ... moe tik verder nog wat doen ? kan ik voor virussen scannen ofzxo ??

Misschien toch effe server uit zetten om erger te voorkomen?
Of als je 1 bepaald IP wantrouwt, schakel dit dan uit.

Oorspronkelijk geplaatst door ByteMe

Misschien toch effe server uit zetten om erger te voorkomen?
Of als je 1 bepaald IP wantrouwt, schakel dit dan uit.

Ik vraag me af of je dat doet als je zo'n 200 actieve klanten op een hostingmachine hebt staan? Genoemd probleem is een kleine inbraak via een lek script waarna er een aantal scripts zijn geïnstalleerd.

Met de juiste kennis staat het zo op non-actief en kun je het vervolgens vrij netjes verwijderen. En uiteraard het systeem updaten.
Om vervolgens zeker van een schoon systeem te zijn is een herinstallatie op een andere machine aan te raden, maar om direct een machine uit te zetten lijkt me iets overdreven.

Oorspronkelijk geplaatst door ByteMe

Misschien toch effe server uit zetten om erger te voorkomen?
Of als je 1 bepaald IP wantrouwt, schakel dit dan uit.

Zet jij je server maar ff uit ja . Ff lek dichten, processen killen en weer gaan met de banaan

Doe eens een rootkithunter scan?

Je hebt iig een lek in een webscript zoals Joomla/Mambo hoogstwaarschijnlijk.

Oorspronkelijk geplaatst door ByteMe

Misschien toch effe server uit zetten

Kunnen we die niet nomineren voor een of andere prijs-van-de-dag? Daarnaast is het vrij lastig een oplossing implementeren op een server die uit staat

Oorspronkelijk geplaatst door t.bloo

Kunnen we die niet nomineren voor een of andere prijs-van-de-dag? Daarnaast is het vrij lastig een oplossing implementeren op een server die uit staat

Naar mijn idee valt deze opmerking in de categorie kabel doorknippen voor een briljante beveiliging.

Misschien is het panic commando van iptables ook stap één als je een probleem hebt? (voor de gene die het commando niet kennen; niet uitvoeren op een productieserver)

Sorry, maar een titel 'server gehacked' deed mij die richting denken aangezien hij de processen ook niet gekilled kreeg. 'En je hebt toch waarsch toch meerdere ip's? Just my two cents

Crosspost.