Podczas uruchamiania mam nieznany proces top:

• Kiedy zabijam ten proces, znów pojawia się pod inną losową nazwą.
• kiedy sprawdzam poziomy rc.d i init.d, istnieje wiele losowych nazw podobnych do tego i ta też tam jest.
• kiedy próbuję apt-get usunąć lub coś jeszcze, to nadchodzi ponownie.
• kiedy podłączam kabel sieciowy, blokuje on całą naszą sieć.

Czy masz pomysł, jak mogę to usunąć?

Czym jest ta usługa / proces?

To jest plik exe, kiedy go usunę, znowu się pojawi.

/proc/**pid**/exe => symbolic link to /usr/bin/hgmjzjkpxa

Kiedy zaznaczę „netstat -natp”, adres zagraniczny zakładu to 98.126.251.114:2828. Kiedy próbuję dodać reguły do ​​iptables, to nie działa. Ale po próbie, a następnie zrestartowaniu, zmień ten adres na 66.102.253.30:2828 ten.

System operacyjny to Debian Wheeze

Mam pewne doświadczenia na temat tego losowego 10-bitowego trojana łańcuchowego, który wyśle ​​wiele pakietów do powodzi SYN.

1. Wyłącz swoją sieć

Trojan ma nieprzetworzony plik /lib/libudev.so, który skopiuje i rozwidli ponownie. Doda również cron.hourlyzadanie o nazwie gcc.sh, a następnie doda skrypt początkowy w twoim /etc/rc*.d(może być Debian, CentOS /etc/rc.d/{init,rc{1,2,3,4,5}}.d)

2. Użyj, rootaby uruchomić poniższy skrypt, aby zmienić uprawnienia do folderu:chmod 0000 /lib/libudev.so && rm -rf /lib/libudev.so && chattr +i /lib/

3. Usuń wszystkie /etc/rc{0,1,2,3,4,5,6,S}.dpliki, które zostały utworzone dzisiaj, Nazwa wygląda S01????????.

4. Edytuj crontab, usuń gcc.shskrypt w swoim /etc/cron.hourly, usuń gcc.shplik ( /etc/cron.hourly/gcc.sh), a następnie dodaj uprawnienia do swojego crontab:sed '/gcc.sh/d' /etc/crontab && chmod 0000 /etc/crontab && chattr +i /etc/crontab

5. Użyj tego polecenia, aby sprawdzić najnowsze zmiany pliku: ls -lrt

Jeśli znajdziesz podejrzane pliki o nazwie S01xxxxxxxx(lub K8xxxxxxxx), usuń je.

6. Następnie należy zrestartować komputer bez sieci.

Następnie trojan powinien zostać wyczyszczony i możesz zmodyfikować uprawnienia do folderów do pierwotnych wartości ( chattr -i /lib /etc/crontab).

Jest to znane jako XORDDos Linux Trojan Sztuką jest prowadzony killz -STOPza proces zostać wstrzymane, tak aby nie tworzyć nowego.

`kill -STOP PROCESS_ID`

Założę się o dolara to https://blog.avast.com/2015/01/06/linux-ddos-trojan-hiding-itself-with-an-embedded-rootkit/ . Wszystkie twoje objawy są dokładnie takie, jak opisano.

Dla mnie były dwie opcje:

1. W przypadku trojana, który ma problemy z plikami w / usr / bin, zrobiłem to tylko: echo> /lib/libudev.so Zabij PID trojana

2. Dla jednego bałaganu w / bin (tutaj zawsze było 5-10 procesów dla frakcji chattr + i / bin i postępuj zgodnie z krokami wspomnianymi przez rainysia

Mamy również do czynienia z tym samym problemem, nasze serwery również zostały zaatakowane przez hakerów i okazało się, że brutalnie wymusiły logowanie do ssh i osiągnęły sukcesy oraz wstrzyknęły trojana do naszego systemu.

Oto szczegóły:

mniej / var / log / secure | grep „Nieudane hasło” | grep „222.186.15.26” | uruchomiono wc -l 37772

i uzyskałem dostęp poniżej: Akceptowane hasło do roota z portu 222.186.15.26 65418 ssh2

I zgodnie z lokalizatorem adresów IP ten ip należy do gdzieś w Chinach.

Kroki naprawcze: wykonaj kroki podane przez: @rainysia

Kroki zapobiegawcze :

1. Według mnie jakiś system zarządzania powiadomieniami powinien być dostępny, gdy ktoś próbował ssh lub uzyskać dostęp do twojego serwera i wiele razy poniósł porażkę.
2. Kontrolery szybkości sieci powinny tam być, jeśli korzystasz z dowolnej platformy chmurowej, takiej jak aws, gcp, lazur itp.

Mam wirusa tego kurczaka, kiedy odsłoniłem domyślne porty, aby połączyć się ze zdalnym dostępem z mojego komputera domowego. w moim przypadku ta strona pomogła mi

Kroki

1) Wyświetl listę plików pod cronem godzinowym. Jeśli widzisz jakiś plik .sh, otwórz go.

root@vps-# ls -la /etc/cron.hourly/

++++++++++
CT-24007-bash-4.1# ls /etc/cron.hourly/
freshclam  gcc.sh
CT-24007-bash-4.1# 
++++++++++

2) Jeśli plik .sh pokazuje podobne dane, jak pokazano poniżej, to jest to program wirusowy !!

root@vps-#  cat /etc/cron.hourly/gcc.sh

++++++++++
 cat /etc/cron.hourly/gcc.sh
#! / Bin / sh
PATH = / bin: / sbin: / usr / bin: / usr / sbin: / usr / local / bin: / usr / local / sbin: / usr / X11R6 / bin
for i in `cat / proc / net / dev | grep: | awk -F: {'print $ 1'}`; do ifconfig $ i up & done
cp /lib/libudev.so /lib/libudev.so.6
/lib/libudev.so.6
++++++++++

3) Proszę, nie spiesz się! Zachowaj spokój i łatwość: D

Nie usuwaj gcc.sh ani nie usuwaj pliku crontab. Jeśli go usuniesz lub usuniesz, natychmiast wygeneruje się inny proces. Możesz usunąć skrypt sprawcy lub go wyłączyć. [Wolę go wyłączyć, aby pokazać klientowi dowód]

root@vps-# rm -f /etc/cron.hourly/gcc.sh; 

LUB

root@vps- #  chmod 0 /etc/cron.hourly/gcc.sh; chattr +ia /etc/cron.hourly/gcc.sh;  chattr + i /etc/crontab

4) Użyj polecenia top, aby wyświetlić wirusa lub złośliwy plik (np. „Mtyxkeaofa”) PID to 16621, nie zabijaj bezpośrednio programu, w przeciwnym razie program będzie ponownie generował, ale aby przerwać jego działanie, użyj poniższego polecenia.

root@vps- # kill -STOP 16621

Usuń pliki w /etc/init.d. lub wyłącz [wolę wyłączyć, aby pokazać klientowi dowód]

root@vps-# find /etc -name '* mtyxkeaofa *' | xargs rm -f

LUB

chmod 0 /usr/bin/mtyxkeaofa; 
chmod 0 /etc/init.d/mtyxkeaofa; 
chattr +ia /usr/bin/mtyxkeaofa; 
chattr +ia /etc/init.d/mtyxkeaofa; 

6) Usuń / usr / bin w archiwach.

root@vps-# rm -f /usr/bin/mtyxkeaofa;

7) Sprawdź / usr / bin archiwizuje ostatnie zmiany, wirus można również usunąć, jeśli inny podejrzany jest tym samym katalogiem.

root@vps-# ls -lt /usr/bin | head

8) Teraz zabij złośliwy program, który się nie wytworzy.

root@vps-# pkill mtyxkeaofa

9) Usuń ciało wirusa.

root@vps-# rm -f /lib/libudev.so

Trojan ten znany jest również jako trojan typu Chinese Chicken Multiplatform DoS, Unix - Trojan.DDoS_XOR-1, osadzony rootkit,

Uwaga: jeśli nie możesz znaleźć pliku .sh, możesz zainstalować ClamAV, RKHunter i sprawdzić dzienniki / raporty, aby znaleźć podejrzane / złośliwe

link do faktycznej strony

https://admin-ahead.com/forum/server-security-hardening/unix-trojan-ddos_xor-1-chinese-chicken-multiplatform-dos-botnets-trojan/