Mi servidor Debian 8.5 (x64) está infectado con un rootkit, que he detectado al usar un CD en vivo para mostrar el contenido de /tmp y /var/tmp .
Descubrí la infección al ver altas cargas de CPU debido a un cryptominer.
Los directorios anteriores contienen archivos binarios que ls no muestra cuando el sistema se está ejecutando. Supongo que el rookit está interceptando llamadas al sistema.
Ya he ejecutado chkrootkit y lynis , pero sin ningún resultado, excepto advertencias (modificadas) sobre:
kernel.core_uses_pid
kernel.dmesg_restrict
kernel.kptr_restrict
kernel.sysrq
kernel.yama.ptrace_scope
Quiero lograr:
- Localiza el rootkit.
- Eliminar el rootkit (si es posible).
¿Alguna sugerencia?