Eu tenho um processo desconhecido quando executo top:

• Quando eu mato o processo, ele volta com outro nome aleatório.
• quando eu verifico os níveis do rc.d e o init.d, existem muitos nomes aleatórios semelhantes a este e este também está lá.
• quando tento apt-get remove ou qualquer outra coisa, está voltando.
• quando conecto o cabo de rede, ele está bloqueando toda a nossa rede.

Você tem alguma idéia de como removê-lo?

O que é este serviço / processo?

Este é o arquivo exe, quando eu o apago, ele está voltando também.

/proc/**pid**/exe => symbolic link to /usr/bin/hgmjzjkpxa

Quando eu checo "netstat -natp", o endereço estrangeiro do estabelecimento é 98.126.251.114:2828. Quando tento adicionar regras ao iptables, ele não está funcionando. Mas depois de tentar e, em seguida, reiniciar esse endereço, mude para 66.102.253.30:2828.

OS é Debian Wheeze

Eu tenho algumas experiências sobre este trojan aleatório de 10 bits, que enviará muitos pacotes para o SYN flood.

1. Reduza sua rede

O cavalo de Tróia tem um arquivo bruto vindo /lib/libudev.so, ele será copiado e bifurcado novamente. Ele também adicionará um cron.hourlytrabalho nomeado e gcc.sh, em seguida, um script inicial no /etc/rc*.d(Debian, o CentOS pode ser /etc/rc.d/{init,rc{1,2,3,4,5}}.d)

2. Use rootpara executar o script abaixo para alterar os privilégios da pasta:chmod 0000 /lib/libudev.so && rm -rf /lib/libudev.so && chattr +i /lib/

3. Exclua todos os /etc/rc{0,1,2,3,4,5,6,S}.darquivos que foram criados hoje, o nome se parece S01????????.

4. Edite seu crontab, exclua o gcc.shscript no seu /etc/cron.hourly, exclua o gcc.sharquivo ( /etc/cron.hourly/gcc.sh) e adicione privilégios para o seu crontab:sed '/gcc.sh/d' /etc/crontab && chmod 0000 /etc/crontab && chattr +i /etc/crontab

5. Use este comando para verificar as alterações mais recentes do arquivo: ls -lrt

Se você encontrar algum arquivo suspeito chamado S01xxxxxxxx(ou K8xxxxxxxx), exclua-o.

6. Então você deve reiniciar sem rede.

Em seguida, o trojan deve ser limpo e você pode modificar os privilégios da pasta para os valores originais ( chattr -i /lib /etc/crontab).

Isso é conhecido como Trojan do XORDDos Linux. O truque é executar killcom -STOPque o processo seja pausado para não criar um novo.

`kill -STOP PROCESS_ID`

Aposto um dólar a você: https://blog.avast.com/2015/01/06/linux-ddos-trojan-hiding-itself-with-an-embedded-rootkit/ . Todos os seus sintomas são exatamente como descritos.

Para mim, havia duas opções:

1. Para o cavalo de Troia que está mexendo com os arquivos em / usr / bin, fiz isso apenas: echo> /lib/libudev.so Mate o PID do cavalo de Troia

2. Para quem mexe com / bin (aqui sempre havia 5 a 10 processos em execução para uma fração chattr + i / bin e siga as etapas mencionadas por rainysia

Também enfrentamos o mesmo problema: nossos servidores também são hackeados e descobri que eles forçaram o login ssh e obtiveram sucesso e injetaram trojan em nosso sistema.

A seguir estão os detalhes:

menos / var / log / secure | grep 'Senha com falha' | grep '222.186.15.26' | wc -l 37772 iniciado

e obteve acesso no tempo abaixo: Senha aceita para root a partir da porta 222.186.15.26 65418 ssh2

E de acordo com o IP Location Finder, este IP pertence a algum lugar na China.

Etapas corretivas: siga as etapas fornecidas por: @rainysia

Etapas preventivas ::

1. De acordo com mim, algum gerenciador de notificações deve estar lá quando alguém tentar ssh ou acessar seu servidor e falhar várias vezes.
2. Os controladores de taxa de rede devem estar lá se você estiver usando qualquer plataforma em nuvem como aws, gcp, azure etc ...

Eu peguei esse vírus de galinha, quando expus as portas padrão para conectar ao acesso remoto da minha máquina doméstica. no meu caso, este site me ajudou

Passos

1) Liste os arquivos em cron horário. Se você puder ver qualquer arquivo .sh, abra-o.

root@vps-# ls -la /etc/cron.hourly/

++++++++++
CT-24007-bash-4.1# ls /etc/cron.hourly/
freshclam  gcc.sh
CT-24007-bash-4.1# 
++++++++++

2) Se o arquivo .sh estiver exibindo dados semelhantes aos mostrados abaixo, é um programa de vírus !!

root@vps-#  cat /etc/cron.hourly/gcc.sh

++++++++++
 cat /etc/cron.hourly/gcc.sh
#! / Bin / sh
PATH = / bin: / sbin: / usr / bin: / usr / sbin: / usr / local / bin: / usr / local / sbin: / usr / X11R6 / bin
for i in `cat / proc / net / dev | grep: | awk -F: {'print $ 1'}`; do ifconfig $ i up & done
cp /lib/libudev.so /lib/libudev.so.6
/lib/libudev.so.6
++++++++++

3) Agora, por favor, não se apresse! Fique calmo e tranquilo: D

Não exclua gcc.sh ou não remova o crontab. Se você excluí-lo ou removê-lo, outro processo será gerado imediatamente. Você pode remover o script culpado ou desativá-lo. [Prefiro desativá-lo para mostrar a prova ao cliente]

root@vps-# rm -f /etc/cron.hourly/gcc.sh; 

OU

root@vps- #  chmod 0 /etc/cron.hourly/gcc.sh; chattr +ia /etc/cron.hourly/gcc.sh;  chattr + i /etc/crontab

4) Use o comando top para visualizar vírus ou arquivo malicioso (por exemplo: "mtyxkeaofa"). O PID é 16621, não elimine diretamente o programa, caso contrário ele será novamente produzido, mas para interromper sua operação, use o comando abaixo.

root@vps- # kill -STOP 16621

Exclua arquivos em /etc/init.d. ou desabilite-o [prefiro desabilitá-lo para mostrar a prova ao cliente]

root@vps-# find /etc -name '* mtyxkeaofa *' | xargs rm -f

OU

chmod 0 /usr/bin/mtyxkeaofa; 
chmod 0 /etc/init.d/mtyxkeaofa; 
chattr +ia /usr/bin/mtyxkeaofa; 
chattr +ia /etc/init.d/mtyxkeaofa; 

6) Exclua / usr / bin dentro dos arquivos.

root@vps-# rm -f /usr/bin/mtyxkeaofa;

7) Verifique as alterações recentes do arquivo / usr / bin, o vírus também poderá ser excluído se o outro suspeito for o mesmo diretório.

root@vps-# ls -lt /usr/bin | head

8) Agora mate o programa malicioso, ele não produzirá.

root@vps-# pkill mtyxkeaofa

9) Remova o corpo do vírus.

root@vps-# rm -f /lib/libudev.so

Esse cavalo de Troia também é conhecido como botnets de frango chinês multiplataforma DoS Trojan, Unix - Trojan.DDoS_XOR-1, rootkit incorporado,

Nota: Se você não conseguir encontrar o arquivo .sh, instale o ClamAV, RKHunter e verifique os logs / relatórios para encontrar as informações suspeitas / maliciosas

link para o site real

https://admin-ahead.com/forum/server-security-hardening/unix-trojan-ddos_xor-1-chinese-chicken-multiplatform-dos-botnets-trojan/